사이버 공격은 세계 곳곳에서 끊임없이 반복되는 악명 높은 사건입니다. 우리 사용자들은 몇 가지 대비책으로 해커에게서 스스로를 지킬 수 있지만, 모든 위협을 막을 수 있는 것은 아닙니다. 그렇기 때문에 우리는 사용 중인 기술이나 기기를 개발하는 사람들에게 의지할 수밖에 없습니다. 하지만 이러한 지속적인 공격은 오히려 '오직 자신만을 믿어야 한다'고 말하는 듯합니다.
대체 얼마나 큰 공격이 있어야 이 테크 거인들이 사이버 범죄자보다 한발 앞서 나가기 위해 움직이게 될까요?
이번 사건의 주인공은 누구?
마이크로소프트(Microsoft)와 닌텐도(Nintendo)의 서버가 잇따라 공격당했습니다. '레일리(Raylee)' 또는 '슬립스트림(Slipstream)'이라는 별칭으로 활동한 24세 보안 연구원 자미스 클라크(Zammis Clark)가 마이크로소프트와 닌텐도 네트워크에 불법 침입해 민감한 정보를 탈취한 혐의로 유죄 판결을 받았습니다. 그는 지난 목요일 런던 크라운 법정(London Crown Court)에서 해당 혐의에 대해 유죄를 인정했습니다.
그는 어떻게 침입했을까?
이 해커는 2017년 1월 24일, 내부용 사용자 이름과 비밀번호를 이용해 마이크로소프트 서버에 접근했습니다. 이후 웹 셸(web shell)을 업로드해 최소 3주 동안 서버에 원격으로 접근할 수 있었으며, 그 기간 동안 여러 개의 셸을 추가로 설치하면서 마이크로소프트 네트워크를 검색하고 데이터를 다운로드하고 파일을 업로드하는 등 더 깊은 권한을 확보했습니다. 이 침입으로 총 43,000개의 파일이 도난당했습니다. 도난된 파일에는 출시 전 윈도우(Windows) 버전의 기밀 사본이 포함되어 있었는데, 이는 윈도우 개발자들에게 초기 베타 코드를 배포하는 데 사용되던 자료였습니다.
해커는 고유한 빌드 번호(build number)에 집중해 출시 전 윈도우 버전에 대한 정보를 파악했습니다. 뿐만 아니라 IRC(Internet Relay Chat)를 통해 접근 권한을 공유해 다른 사람들도 기밀 정보를 손에 넣을 수 있게 만들었습니다. 클라크가 마이크로소프트 네트워크에 악성코드를 업로드한 뒤 2017년 6월 체포되면서 이 모든 행각이 막을 내렸습니다.
잠시 상상해 봅시다. 만약 악성코드가 설치되지 않았다면, 이 침입은 마이크로소프트의 코앞에서 영원히 계속될 수도 있었을 것입니다. 다행히 사용자 데이터는 도난당하지 않았지만, 만약 유출되었다면 결과는 어떠했을까요?
하지만 이것이 끝이 아니었습니다! 그는 보석으로 석방되었고 컴퓨터 사용 제한도 받지 않았습니다. 결국 이 틈을 이용해 2018년 3월 닌텐도 서버를 해킹했습니다. 이번에는 VPN을 이용해 회사의 극비 게임 개발 서버에 접근했고, 최소 2,365개의 사용자 이름과 비밀번호를 훔쳤습니다. 닌텐도는 2018년 5월에야 사태를 뒤늦게 인식했습니다.
이것만이 이 해커가 저지른 사건의 전부도 아닙니다. 더욱 납득하기 어려운 점은, 처음 검거되었을 때 그를 블랙리스트에 등록하고 면밀히 감시하지 않았다는 사실입니다. 그것이야말로 가장 기본적인 조치 아닌가요?
물론 이 해커는 자신의 죄에 합당한 처벌을 받았습니다. 이번 사건이 몇몇 사람들에게 교훈이 될 수도 있을 것입니다. 하지만 모든 테크·IT 거인들에게 묻고 싶습니다. 애초에 왜 이런 변덕스러운 인물들에게 활동할 공간을 주는 것인가? 우리 사용자들이 믿고 의지할 수 있는 존재가 되어야 하지 않습니까?
서버조차 안전하게 지키지 못한다면, 수집한 사용자 데이터를 어떻게 안전하게 관리하겠다는 말입니까?
모든 IT 거인들이 인터넷 보안을 한층 강화하고, 침해 사고의 통로가 될 수 있는 모든 허점을 시급히 막아주기를 간절히 바랍니다.