[스페셜리스트] 이병길 “보안도 메르스도 역학조사 중요”

[인터뷰] 경찰청 사이버안전국 이병길 수사관

[보안뉴스 김경애] “마치 메르스 감염 원인을 역학조사하듯 사이버침해사고 발생시 역학조사를 통해 정확한 침해규모 파악과 함께 사이버범죄조직 박멸을 위해 최선을 다해야 합니다. 하지만 침해사고 원인에 대한 정밀한 파악과 조치가 제대로 이루어지지 않는 것 같아 아쉽습니다.”

▲ 사이버안전국 사이버테러수사팀 이병길 수사관

경찰청 사이버안전국 사이버범죄대응과 사이버테러수사팀 이병길 수사관은 사이버침해사고에 대한 정확한 원인규명이 이루어져야 사이버범죄의 재발률을 줄일 수 있다고 강조했다.

지난 2004년 6월경 사이버수사 특채 3기로 경찰에 투신한 그는 전국에서 발생하는 사이버범죄 사건을 직접 수사하는 13년 경력의 베테랑 수사관이다. 그러다 보니 그의 손을 거처간 굵직한 사이버범죄 사건도 수도 없이 많다. 이에 본지는 스페셜리스트 코너에서 공공기관에 근무하는 사이버보안 전문가들과의 인터뷰를 진행하고, 그들이 생각하는 사이버보안 이슈에 대해 들어본다. 다음은 그 첫 타자인 이병길 수사관과의 일문일답 내용이다.

Q. 최근 관심 있게 보고 있는 보안위협은 무엇인가요?

스피어 피싱이나 드라이브 바이 다운로드 방식의 APT 공격에 대해 관심있게 보고 있습니다. APT 공격은 특정기관 또는 대상을 노리고 성공할 때까지 공격하기 때문에 가장 위협적일 수 있습니다. 따라서 이러한 보안위협에 대한 시각을 넓혀야 합니다. 단순히 웹사이트의 악성코드 유포로만 볼 게 아니라 특정 목적의 APT 공격인지 등을 파악하고, 큰 그림을 보고 접근해야 합니다. 그러기 위해선 우선 피해자의 컴퓨터를 파악해야 합니다. 그래야 공격목적을 알 수 있기 때문이죠.

Q. 가장 기억에 남는 사건이나 사이버공격은?

7.7 디도스 공격입니다. 규모가 컸고, 언론에서 이슈가 많이 됐던 사건이기 때문입니다. 특히, 악성코드 유포 방법이 기존 패턴과 달랐어요. 웹하드로 침입해 업데이트 파일을 변조해서 순식간에 10만명 이상의 PC를 감염시켰거든요. 좀비PC가 된 사용자 PC들의 원인 규명과 유포방식 등의 확인이 쉽지 않아 상당한 노력이 필요했습니다.

Q. 정보보호 활동을 하면서 가장 기억에 남는 에피소드는?

매번 발생하는 사건마다 특징이 달라 모두 새롭긴 하지만 아무래도 수사관이다보니 첫 사건이 가장 기억에 남습니다. 사이버 관음증이라고 표현할 수 있을 것 같은데요. 여자대학교의 PC를 다량으로 악성코드에 감염시켜 악성프로그램을 설치하고, 몰래 훔쳐본 사건이었습니다. 당시 범인은 보안업체 근무자로 스크린샷과 키로깅을 특정서버에서 중앙집중식으로 관리했으며, 보안커뮤니티에서 닉네임이 있는 사람이었습니다. 특히, 보안업무와 관련한 직업군은 무엇보다 윤리의식이 중요합니다.

Q. 사이버안전국에서 일하면서 가장 보람되는 때는 언제인가요?

아무래도 제가 직접 수사했던 사건사고 사례를 후배들의 교육자료로 사용하거나, 사고예방을 위해 내부적으로는 관계기관, 대외적으로는 컨퍼런스 등에서 발표할 때 그간 해왔던 업무가 헛된 일이 아니었다는 생각에 보람을 느끼곤 합니다.

Q. 근무하면서 애로사항이 있다면?

예전보다 인식이 많이 달라지긴 했지만 전체적인 측면에서 아직까지 중소기업이나 개개인의 인식이 부족합니다. 침입을 당했지만 피해가 없다고 생각하거나, 심지어 사고가 났는지 조차도 모르는 경우가 적지 않습니다. 또한, 침해상황을 제시해도 사태가 심각한지 모르는 경우도 비일비재 합니다. 그러다보니 사건의 원인 규명에 있어 웹로그, 웹사이트 소스를 봐야 함에도 불구하고, 피해기관의 협조가 쉽지 않습니다.

Q. 정보보호에 있어 개선되지 않는 가장 큰 문제점은?

마치 메르스 감염을 역학 조사하듯 사이버침해사고 발생시 정확한 침해규모 파악과 완벽한 박멸이 필요합니다. 하지만 원인에 대한 정확한 파악과 조치가 제대로 이루어지지 않는 것 같습니다. 정보보호 담당자가 1명인 경우도 태반이고, 사고 조치나 대응할 수 있는 환경이 낙후되어 있는 곳도 상당수입니다. 또한, 웹사이트를 외주업체에 맡겨놓고, 근본적인 조치가 아닌 매번 똑같은 임시방편식 조치도 문제입니다. 이러한 문제점들로 사건이 반복해서 발생하게 됩니다.

Q. 최근 스마트폰이 대중화되면서 모바일 수사 사건도 많이 늘었을 것 같은데 모바일 사건사고 동향에 대해 말씀해 주신다면?

모바일 동향으로 보면 스미싱을 통한 개인정보 유출부터 소액결제 사기, 몸캠 피싱 사건까지 다양하지만 결국 스마트폰과 관련된 범죄는 악성앱이 가장 큰 문제입니다. 그리고 스마트폰과 PC의 기능이 갈수록 동일해지면서 향후 발생되는 범죄유형도 PC를 타깃으로 한 범죄와 유사하지 않을까 생각합니다.

Q. 사이버안전국에서 가장 많이 접하는 수사 사건은?

아무래도 제가 사이버범죄대응과 사이버테러수사팀에서 근무하다보니 국내외에서 발생하는 사이버 침입을 비롯해 악성프로그램 유포, 개인정보 유출, 디도스 공격 사건 등을 주로 처리하고 있습니다.

Q. 사이버범죄의 공통점과 특징은 무엇인가요?

기존의 사기, 도박 등의 전통적인 범죄유형이 사이버로 유입되면서 사이버사기, 사이버 불법도박사건 등이 신규로 발생하고 있습니다. 특히 사이버범죄의 경우 젊은 층이 많으며, 기술적인 이해도가 있는 사람들로 범죄에 연루된 도박사이트에서 근무하는 엔지니어 등이 이에 해당됩니다. 특히, 이들은 범죄를 통해 돈을 벌어들이는 것이 특징이죠. 이를테면 신용카드를 대량으로 구입해서 복제하거나 재판매한 대학생의 경우, 쉽게 돈을 벌 수 있다는 유혹 때문에 재범을 저지는 것처럼 말이죠.

이처럼 10여년 전 사이버범죄자는 기술적인 호기심으로 인해 실행에 옮긴 반면, 현재는 금전적이든 정치적이든 목적이 분명합니다. 또한, 기능적으로도 구분되어 있습니다. 취약점을 찾아내 판매하는 자와 취약점을 구매해 금전적인 목적으로 이용하는 자로 나뉘어지죠. 이들은 돈이 목적이거나 정치적인 성향이 다른 사이트에 대한 테러로 그 규모가 점점 커지고 있습니다. 악성코드를 대량으로 유포하기 때문에 피해기업 및 기관도 대거 발생합니다. 또한, 시스템을 날려버리거나 중요 문서를 유출하는 등 직접적인 피해를 입히는 게 특징입니다.

Q. 모바일 분야에서 포렌식 기술의 역할은 무엇인가요?

모바일 기기는 개인정보보호를 위해 암호화를 하거나 분실해도 데이터를 취득하지 못하도록 보호하지만, 포렌식은 이와 정반대입니다. 관련 정보를 분석해 용의자의 혐의를 찾거나, 거짓 진술을 밝혀내는데 사용됩니다.

Q. 앞으로 계획 또는 목표는 무엇인가요?

사이버범죄 수사를 전담하는 부서가 생긴지 10년이 넘긴 했지만 기존의 살인이나 폭력 등 전통이 있는 수사영역보다는 역사가 짧습니다. 그러다보니 디지털 포렌식 기법을 분류하고 전문화하기 위해선 많은 노력이 필요합니다. 이를 보다 전문화 및 체계화시키는데 이바지하고 싶습니다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)