[연시 부끄부끄 3] 2015년은 결국 우리의 과거다

소니 픽처스 사태를 통해 들춰보는 우리 일상의 트리거들

미래를 조정할 수는 없어도 악화를 느리게 할 수는 있어

[보안뉴스 문가용] 지난 12월 30일과 31일, 2014년 해외 정보 보안 업계에서 일어났던 일들을 간략하게 정리해보았다. 소문만 무성했던 경우가 있었는가 하면 전혀 예측할 수 없었던 일들이 예측하기 힘든 규모로 터진 경우도 있었다. 사물인터넷 시대를 잔뜩 긴장한 채 기다렸는데, 그 시대를 선도할 것으로 여겨졌던 웨어러블은 아직 시장에서 큰 주목을 받고 있지 못하고 있으며, 도난의 대상이라고 상상하기 힘든 개인의 의료기록은 전통적으로 달콤한 꿀단지였던 신용카드 정보보다 훨씬 더 많은 사랑을 해커들로부터 받았다.

▲ 이런 살얼음 위에 집을 지어 올릴 수는 없는 노릇이다.

백만 단위, 천만 단위의 정보가 유출된 사건도 수두룩하고 백악관이나 미국 우체국 같은 영향력 강한 공공기관도 전혀 안전하지 않은 것이 여실히 드러났다. 그러나 그 모든 것들이 마치 소소한 사건처럼 보이게 하는 사건이 바로 소니 픽처스 해킹이다. 특히 우리나라 보안 업계에는 더더욱 중요하고 엄중한 사건이니, 이를 한 번 복기해보고자 한다.

1. 냉전시대, 우리나라의 위치

소니 해킹 사건을 들여다보려면 먼저 냉전시대에 대한 사실 몇 가지를 간략히 짚고 넘어가는 게 도움이 된다. 이유는, 2014년에 가장 두드러지게 된 정보 보안 관련 사건은 흡사 냉전시대를 떠올리게 하는 진영 싸움으로 이미 벌어져 있고, 여전히 그 흐름의 중심에는 미국이라는 나라와 러시아, 중국이 티격태격 함께 있기 때문이다.

한국은 냉전의 주인공은 아니었지만 가장 큰 희생양 중 하나가 되었다. 냉전의 시작이 되었던 세계2차대전 직후, 냉전의 주역이었던 미국과 소련에 의해 나라가 이미 두 동강 났고, 러시아와 중국은 물리적으로 가까이 있었을뿐 아니라 당시 미국의 영향력 아래 있었던 일본과도 지척에 있었으므로 미국 역시 정치적으로 멀리 있다고 할 수 없었기 때문이다. 게다가 우린 얼마든지 주무를 수 있는 약소국이었다. 하필이면 전쟁의 주인공들 틈바구니에 터전을 잡았다는 과거의 행적 때문에 세계 유일의 분단국가로 남아있는 것이다.

이런 약소국이란 터전 위 강대국들 사이의 긴장감은 6.25라는 한국 역사의 깊은 상처가 되는 사건으로 터져버렸고, 남한과 북한은 지금까지도 전혀 다른 길을 걷고 있다. 고래 싸움에 새우등 터진다는 말, 한국의 현대사는 그 말 하나로 정리된다.

2. 그런데, 북한?

작년 한 해를 정리하는 키워드 중 많은 전문가들이 ‘사이버전’을 꼽는다. 중국이 미국 정부 기관이나 업체를 공격하고, 러시아는 여기에 서유럽 국가 기관에 과거 소련 연방 소속이었던 국가들의 네트워크에 관심이 무척 많다. 여태까지는 물 밑에서 진행되어 왔던 것이 2014년엔 본격적으로 수면위로 드러났고, 이에 미국 및 국제적인 법 집행 기관은 때론 힘을 합하고, 때론 각자의 실력으로 보복 절차를 밟아갔다. 방법과 매체가 다를 뿐 미국, 중국, 러시아로 대표되는 사이버 전쟁은 냉전시대의 주인공을 그대로 답습하고 있다.

그런데 과거와는 다르게 북한이 강력하게 개입했다. 이미 여러 제보와 보고서를 통해 북한의 해커부대에 대한 움직임이 소니 픽처스 사건 이전부터 알려져 왔다. 물론 해외의 많은 전문가들은 북한이 진범이다 아니다를 놓고 아직도 의견이 분분한 상태다. 중요한 건 2014년 벌어진 사이버전에서 가장 핵심이라고 손꼽히는 사건에 북한이 언급되고 있다는 사실이다. 전문가들의 의견이 분분함에도 이미 미국은 북한이 주범이라고 결론을 내린 상태라는 것도 적잖은 의미를 가지고 있다. 드디어 세계 무대에 우뚝 선 우리 민족의 자랑? 아니, 그런 거 말고.

3. 정말 중요한 사건일까?

그런데 먼저는 소니 픽처스 사태가 정말로 그다지도 중요한 사건이냐는 것인지 살펴보는 것이 필수다. 북한이라는, 우리에게 묘할 수밖에 없는 세력이 개입되어 있는 것 말고, 보다 객관적인 시각에서 말이다. 소프트웨어 엔지니어이자 작가인 데이비드 오어바흐(David Auerbach)는 자신의 블로그를 통해 “이 사건이 주는 충격은 해킹 기술에 있지 않다. 오히려 한 회사와 그 회사의 직원들을 겨냥한 파괴력에 있다. 이는 9/11을 떠올리게 하는 테러행위에 준한다”고 표현하고 있다. 기존의 해킹 사건들은 ‘도난’에 근거하고 있었다면 이번 소니 픽처스는 ‘테러’에 해당한다는 것이고, 이는 즉 해킹의 본질 자체의 변형이라는 것이다.

이방인의 눈으로 봤을 때, 미국 내 많은 전문가들의 의견도 그렇지만, 미국 정부가 이번에 내린 결론은 다소 성급한 면이 분명히 있다. 정말 북한이 저지른 일이든 아니든 말이다. 여기서 기억나는 건 9/11에 대처했던 미국의 모습이다. 또한 국토 방위에 극도로 신경을 쓰는 미국이라는 나라의 전통 역시 떠오르는 장면이다. 이미 2차대전이 끝난 40년대 이후로 신경질적으로 정보 보호 관련 인프라를 구축해왔던 미국이고, 9/11이라는 사건 직후인 9월 20일 곧바로 테러와의 전쟁을 선포하고 다음 달인 10월 7일 알카에다를 침공했던 미국이다. 이 전쟁이 정당했느냐 아니냐의 문제는 더 깊이 판단해야 할 문제라 여기서는 생략하겠다. 중요한 건 테러 행위로부터 한 달도 되지 않는, 상상을 초월한 빠른 미국의 전쟁 개시 능력이다. 방어 본능이 강한 국가에, 그것도 9/11이라는, 전쟁 영화에도 나오지 않을 듯한 뼈아픈 테러 행위를 상처로 가진 미국으로서는 다소 성급해보이더라도 빠르게 북한을 지목할 수밖에 없었을 것이다. 자라 보고 놀란 가슴, 솥뚜껑 보고 놀란다고 하지 않는가.

4. 한국에게도 중요한가?

결국 테러 행위에 대해 큰 상처를 가지고 있는 미국으로서는 소니 픽처스 사태가 테러 행위로 간주되고 있고, 그러니 빠르게 반응할 수밖에 없을 정도로 중요한 사건이라는 것이다. 미국의 입장은 그렇다. 중요한 건 비슷한 맥락에서 우리나라도 이에 촉각을 곤두세울 수밖에 없다는 것이다. 미국에 9/11 테러에 대한 아픈 기억이 있다면, 우리에겐 냉전시대의 애꿎은 희생양이라는, 어찌 보면 더 아픈 기억이 있기 때문이다.

일단 위에서 미국의 빠른 전쟁 개시 능력을 짚어보았다. 그런 미국이 혹여 전쟁이라도 불사하겠다고 나서면 어떻게 될까? 남한이 안전할까? 소니 픽처스 사건의 중심이 되었던 영화 <더 인터뷰>가 인터넷 여기저기에 풀리는 바람에 쉽게 구할 수 있었는데, 그 영화를 보면 북한에 대한 미국인들의 인식이 엿보인다. 물론 코미디를 표방한, 고증의 절차와는 거리가 먼 장르의 한계가 있긴 하지만, 그런 점을 고려한다고 하더라도 영화 상영 시간이 이어지면 질수록 북한이 아니라 아예 우리나라 전체를 깎아내리기 위해 만든 영화인가 하는 불편함이 쌓이기 때문이다.

KBS 시사 및 다큐멘터리를 오랫동안 만들어온 김혜옥 방송작가는 자신의 SNS를 통해 “영화를 보는 내내 기분이 나빴다”며 “평양에 도착하자마자 개그랍시고 곤니찌와라고 인사하는 미국인들, 동해를 Sea of Japan이라고 표현하는 부분, 강아지를 탈출시키면서 개고기 먹는 땅에서 벗어나 미국으로 데려가겠다는 부분”을 지적했다. 또한 북한이 주 무대인 영화이면서 “한국어를 모국어로 쓰는 사람은 단 한 명도 없고, 발음은 물론 어법 자체가 엉망진창이어서 영어 자막을 봐야 겨우 이해가 갈 정도”라며 “우리나라를 정말 우습게 알고 있다는 걸 확인할 수 있었다”라는 생각이 들었다고 평했다.

싫든 좋든 북한은 한국에게 이런 존재가 아니다. 똑같이 북한을 소재로 만든 영화 <나의 독재자>에서 나왔듯이, 그리고 현재 한국 정치판에서 벌어지고 있는 진영싸움의 중심에 북한이 존재하듯이, 오준 UN 대사가 “대한민국 사람들에게 북한은 그저 아무나가 아닙니다”라고 표현했듯, 갈라져 있어도 가를 수 없는, 항상 붙어있는 존재다. 어떤 형태로건 우리는 분명히 북한과 상관이 있다. 헌법에 따르면 북한은 심지어 우리나라 그 자체이다. “대한민국의 영토는 한반도와 그 부속도서로 한다.”

5. 보안 업계가 가져가야 할 의미

결국 “우리는 한 민족, 우리의 소원은 통일, 뭉쳐야 산다”는 이야기인가, 라고 뻔한 결말을 예상할 수도 있다. 다행스럽게 아니다. 본지는 시사 전문 매체도 아니며 국제 관계를 분석하는 장도 아니다. 게다가 미국이 우리를 <더 인터뷰>에서처럼 개고기 먹는 미개한 족속으로 여기고 있어도 어쩔 수 없는 현실이고, 설사 그것이 전쟁으로 발전하고 우리나라가 다시 50년대로 돌아간다고 하더라도 그 큰 움직임을 어떻게 막을 수 있을까.

글을 길게 늘였지만 정리해보자면 다음과 같다. 1) 소니 픽처스 사건이 터졌는데 2) 이는 테러 행위와 궤를 같이하고 있어 기존의 해킹 사건들과는 차원이 다르고 3) 마침 테러 행위에 대한 깊은 상처가 있는 미국은 재빨리 사건의 주모자를 발색해 대응을 해야 했는데 4) 그게 하필이면 북한이 되었으며 5) 미국의 과거 전적 상 미국을 위협한 중대한 사건의 주범이 바로 우리 지척에 있을 뿐 아니라 우리의 적이기도 하면서 가족이기도 한 북한이 되었다는 건 - 사실 여부를 떠나 - 남한을 긴장시키게 한다 6) 그러나 과거 냉전시대에서도 그랬듯 우리가 할 수 있는 일은 사실 상 아무 것도 없다. 허무한 결론이다. 그저 불똥 안 튀기를 바라고 기도하는 것이 우리가 할 수 있는 일의 전부라는 듯한.

ESET의 보안 연구원인 리사 마이어스(Lisa Myers)는 기고문을 통해 “2015년에 일어날 일들은 결국 지난 과거에 일어났고 해결하지 못한 오류와 실수들의 결과일 것”이라고 지적했다. 실수인지 아닌지는 모르겠지만 우리나라가 지정학적으로 민감한 위치에 자리 잡았다는 과거가 결국 냉전시대의 아픔으로까지 이어졌고, 9/11에 대한 과거의 아픔이 소니 픽처스에 대응하는 미국의 현재 자세를 만들었다. 이데올로기의 차이로 갈라서겠다 혹은 가르겠다는 여러 세력들의 판단이 한국을 분단국가로 남겨두고 있으며, 완벽히 대처하지 못한 멀웨어는 2014년을 통해 내내 그랬듯 화려하게 복귀한다.

일개 영화 제작사일 뿐인 소니 픽처스 사건이 국제 관계로까지 일파만파 퍼지는 데에는 기사에서 언급한 것 외에도 수없는 이유가 있을 것이다. 거대하게 커져가는 사건, 너무 커져서 옆에서 불똥이 튀지 않기를 기도하며 지켜볼 수밖에 없는 대단한 사건들이라도 작은 곳에서 시작한다는 뜻이다. 더불어 우리의 매일은 셀 수 없는 복잡다단한 과거와 얽혀 있고, 이 과거란 것은 팽팽하게 당겨진 트리거와 같아 조금만 잘못 건드려도 지금 소니 픽처스 사태처럼 후폭풍 거센 폭탄이 되기도 한다. 그렇다고 지금에 와서 과거를 다 청산할 수는 없다. 결국 우리 주위의 트리거들을 제거하기란 불가능하다는 일이다. 과연 우리의 일상은 나뿐 아니라 누군가가 트리거를 작동시키지 않기를 바라는 살얼음판에서의 전진이다.

소니 픽처스 사건을 이렇게 해석한다면 2015년 우리의 할 일은 보다 명확해지고 구체적이 된다. 바로 지금부터라도 트리거 설치를 멈추는 것이다. 2015년이 결국은 우리 과거의 총합체일 것이라는 리사 마이어스의 글에 적극 동의하는 바, 그의 2015년 새해 결심을 조금 옮겨 적는 것으로 기사를 마무리하고자 한다.

1) 같은 것에 또 당하지 말자 : 하트블리드, 쉘쇼크, 푸들, 유니콘 등 화려한 부활을 통해 이름을 떨친 오래된 취약점의 경우를 보았을 때, 이미 발견된 취약점들에 대해 보다 꼼꼼히 대처하는 자세가 필요하다는 걸 알 수 있다.

2) ‘편리’보다는 ‘보안’ : 보안 조치는 귀찮은 게 사실이다. 보안 조치를 철저히 한다고 해서 해커들을 다 막을 수는 없다. 하지만 최소한 그들의 공격을 더 어렵고 험난하게 만들 수는 있다. 해킹이 더 쉬워지게 하지 말자.

3) 새 것과 헌 것의 경계가 없는 멀웨어 : 매체들의 헤드라인에 등장하는 멀웨어들은 새로운 것들이 많을 수밖에 없는데 여기에 너무 휘둘리지 말자. 과거의 멀웨어들을 응용하는 공격이 아직 효과를 발휘하고 있고, 그렇기 때문에 너도 나도 해커 되기가 상당히 쉬워졌다.

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)