‘유령’에 등장한 사회공학적 해킹, 이보다 더 위험할 수 없다!

사람의 특성과 심리 악용한 사회공학적 해킹기법의 위험성 잘 그려내

꾸준한 보안이슈 제기로 사이버범죄에 대한 경각심 심어주길 기대

[출처 : SBS 드라마 유령 홈페이지]

[보안뉴스 권 준] 최근 인기리에 방영 중인 SBS 수목드라마 ‘유령’이 회를 거듭하면서 사이버보안과 사회적 이슈를 접목해 풍부한 이야깃거리를 양산하고 있다.

경찰청 사이버수사대와 해커들의 이야기를 다루고 있는 ‘유령’은 현재 4회까지 방영된 상태로 각종 사이버범죄 유형을 소개함은 물론 이를 파헤치는 사이버수사대의 활동상, 그리고 악성 댓글과 SNS의 급속한 파급력에 대한 문제를 제기하면서 우리나라 사이버문화와 사이버범죄에 대해 다시금 생각할 수 있는 계기를 만들고 있는 것.

‘유령’ 3, 4회에서는 전설적인 해커 하데스가 죽은 소지섭(김우현 역)으로 페이스오프 한 후, 경찰조직에 들어가 연예인 자살사건을 수사하는 과정이 밀도 있게 그려졌다. 특히, 이 과정에서 죽은 여배우에 대해 지속적으로 악성 댓글을 달았던 안티 카페 회원들이 하나둘씩 살해되는 사건이 다뤄지는데, 여기서 보안 분야에서는 이제 널리 알려진 사회공학적 기법이 등장한다.

드라마에 등장하는 살인자이자 악성 해커가 자신이 좋아하는 연예인에게 악성 댓글을 단 안티 카페 회원들을 연극 무대에 초청하기 위한 방법으로, 무료초청 이벤트 메일을 가장해 악성코드를 삽입한 이메일을 보내게 되는데 여기서 이용하는 사이버범죄 유형이 바로 사회공학적 기법이다.

이러한 사회공학적 기법은 PC나 네트워크 시스템의 취약점이 아닌 사람의 특성과 취약점을 악용한 공격을 의미하는 것으로, 아무리 보안 시스템이 철저히 구축돼 있다하더라도 막기 힘든 방법이라고 할 수 있다.

드라마 상에서 악성코드가 삽입된 메일을 받은 안티 카페 회원은 이메일에 숨겨진 악성코드를 무심코 자신의 PC에 다운로드 함으로써 살인자는 피해자의 PC에 대한 관리자 권한을 획득할 수 있게 됐고, 회원의 PC를 마음대로 원격에서 조정함은 물론 PC에 섬뜩한 문자를 새겨 넣을 수도 있게 된 것이다. 결국 이를 통해 살인에까지 이르게 된다.

이와 관련해 드라마 상에서 한 출연자가 “의심스런 이메일은 절대 열어보지 않아야 겠다”고 얘기하자, 한 사이버수사대원이 사회공학적 기법에 대해 설명하는 부분이 등장하는데, 이는 최근 특정계층을 대상으로 사회공학적 기법을 활용한 APT 공격이 자주 발생하는 현재의 상황에 딱 들어맞는 대사라고 할 수 있다.

가령 대학생들에게는 성적표나 논문에 관한 이메일을 보내고, 해외업무가 많은 사람들에게는 국제화물 주문서의 제목으로 메일을 보내는 등 특정 계층이 반드시 열어볼 수 있게 타깃화된 이메일을 보내고, 이를 통해 사용자의 PC에 악성코드를 심는 것이다.

근래에도 정보보호관련 논문 투고에 관한 이메일을 발송해 보안전문가들을 대상으로 한 타깃 공격을 시도하거나 美 거래개선협회 명의의 이메일을 통해 기업들이 믿고 이메일에 첨부된 악성코드를 열어보도록 한 사례 등 사회공학적 기법을 이용한 사이버 공격 및 해킹 사례가 자주 발생하고 있다.

또한, 특정계층을 대상으로 타깃을 하는 것뿐만 아니라 크리스마스나 발렌타인데이 등의 특정 시즌이나 올림픽과 월드컵 등의 국제적 행사 및 이벤트를 악용해 악성코드가 첨부된 이메일을 보내는 것 역시 사회공학적 기법을 활용한 사이버공격이라 할 수 있다.

이와 관련해 한 보안전문가는 “유령 3,4회의 경우는 사회공학적 기법을 이용한 해킹과 사이버 공격이 주 테마를 이루는 것 같다”며, “자신이 사랑하는 여배우에 대해 악성 댓글을 단 피해자들을 위협하고 살해하기 위한 방법으로 사회공학적 해킹기법이 악용됐다”고 설명했다.

덧붙여 그는 “일반인들에게도 이메일에 대한 경각심을 준 기회가 됐을 것으로 본다”며, “특히, 이벤트 메일이나 첨부파일이 있는 이메일은 함부로 열어보지 말아야 하고, PC는 실시간 감시기능 활성화와 함께 보안 업데이트를 통해 항상 최신 보안상태를 유지해야 한다”고 강조했다.

보안종사자들에게 본방사수 프로그램이 되고 있는 드라마 유령. 앞으로도 보안이슈를 지속적으로 제시하면서 일반인들이 사이버범죄의 위험성과 심각성에 대해 보다 더 경각심을 가질 수 있도록 기여했으면 하는 바람이다.

[권 준 기자(editor@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)