2016년이 문화적, 정치적으로 '최악의 해'로 기억된다는 데 이견은 없을 것이다. 그렇다면 보안 분야는 어떠했을까? 그리고 잇따른 유출, 침해, 감시 강화 사태에서 우리는 무엇을 배울 수 있을까?
끝없이 이어진 데이터 유출
웹사이트 해킹과 데이터 유출은 수년간 우리의 온라인 일상에서 주요 이슈였다. 하지만 2016년은 모든 사람이 이 문제에 주목하게 된 해였다. 주요 피해 사례로는 클라우드 스토리지 드롭박스(Dropbox)와 전문 소셜 네트워크 링크드인(LinkedIn)이 있다.
드롭박스 해킹으로 6,800만 계정이 노출됐으며, 그중 절반만 안전하게 암호화돼 있었다. 링크드인은 당시 사용자 기반의 73%에 해당하는 1억 1,700만 개의 자격 증명을 분실하며 이를 넘어섰다. 이 공격이 5월에 밝혀졌음에도 마이크로소프트는 한 달도 채 지나지 않아 262억 달러에 링크드인을 인수했다. 링크드인의 악재는 여기서 그치지 않아 온라인 학습 사이트 린다(Lynda) 역시 침해된 정황이 포착됐다.
스포티파이(Spotify)는 4월 원인 불명의 유출로 수백 개 계정이 페이스트빈(Pastebin)에 올라왔다. 인기 게임 마인크래프트(Minecraft)도 예외는 아니었으나, 이번에는 회사 자체가 아닌 팬사이트 라이프보트(Lifeboat)가 공격당해 700만 개 이상의 계정과 허술한 보안 관행이 드러났다.
드롭박스와 링크드인 측에 변론의 여지를 주자면, 주요 데이터 대부분은 2012년에 발생한 공격에서 유출된 것이다. 그 사이 두 기업은 보안 노력을 크게 개선했다. 하지만 이미 개인정보가 온라인에 노출된 수백만 사용자에게는 냉소적인 위안에 불과하다.
그들만의 일이 아니었다
영국 인터넷 서비스 제공업체 토크토크(TalkTalk)는 17세 소년의 해킹을 당했고, 동영상 공유 사이트 데일리모션(Dailymotion)은 8,520만 개의 사용자명과 이메일 주소를 유출했다. 샌프란시스코 교통 시스템은 100비트코인(당시 약 8만 달러)의 몸값을 요구받으며 랜섬웨어에 인질로 잡혔다.
작년 애슐리 매디슨(Ashley Madison) 유출은 역대 최악의 성인 사이트 유출로 기록됐다. 성적 취향 데이터가 공개되면서 협박과 평판 훼손의 도구로 악용됐다. 해커들이 사용자 악용 수단을 찾자 브라저스(Brazzers)와 어덜트프렌드파인더(AdultFriendFinder) 등 더 많은 성인 사이트가 공격당했다.
이러한 유출 자체만으로도 공격자가 계정 내 데이터에 접근하면 심각한 피해를 입힌다. 문제는 많은 사람이 여전히 여러 사이트에서 로그인 정보를 재사용한다는 점이 드러나면서 악화됐다. 이는 팀뷰어(TeamViewer), 지메일(Gmail) 등 유명 사이트가 해킹당한 것처럼 보이는 '자격 증명 재사용 공격(Credential Stuffing)'으로 이어졌다.
누구도 예외는 아니다
아이러니하게도 트위터 CEO 잭 도시(Jack Dorsey)의 트위터 계정이 아워마인(OurMine) 그룹에 의해 해킹당했다. 이 그룹은 페이스북 CEO 마크 저커버그(Mark Zuckerberg)의 트위터와 핀터레스트 계정도 변조했다. 여기에 구글 순다르 피차이(Sundar Pichai), 우버 트래비스 칼라닉(Travis Kalanick), 스포티파이 다니엘 에크(Daniel Ek) 등 다른 기술 기업 CEO들도 표적이 됐다. 잠시 실소할 수 있겠지만, 막강한 기술 수장들도 우리와 똑같은 보안 실수에 속수무책으로 당한다는 사실에서 교훈을 얻어야 한다.
최선의 대책은 비밀번호 관리자를 사용하는 것이다. 라스트패스(LastPass)와 대시레인(Dashlane)이 가장 대중적이지만, 훌륭한 오픈소스 대안들도 많다. 비밀번호를 안전하게 관리한 뒤에는 이중 인증(2FA)을 활성화해 보안 계층을 하나 더 추가하자.
최악에서 더 최악으로 치달은 야후
데이터 유출 주제에서 야후(Yahoo)를 빼놓을 수 없다. 마리사 메이어(Marissa Mayer) 체제에서 회생에 실패한 야후는 매각을 결정했고, 버라이즌(Verizon)이 인수 의사를 밝혔다. 그런데 야후는 2년 전 5억 개 계정 유출 사실을 뒤늦게 인정하며 매각 기회를 스스로 걷어찼다. 게다가 NSA가 사용자 계정에 무제한 접근하도록 허용해 온 사실까지 드러났다.
5억 개 유출과 정부 감시만으로도 충격적인데, 야후는 연말에 추가로 10억 개 계정이 유출됐다고 발표했다. '할 거면 크게 하라'는 식이다. 지금이야말로 야후 메일에서 탈출할 때다. 프로톤메일(ProtonMail) 같은 안전한 대안이 존재한다.
악성코드에 인질로 잡히다
바이러스와 악성코드는 인터넷 연결이 시작된 이래 전 세계 컴퓨터 사용자의 골칫거리였다. 다행히 기업들이 취약점 탐지와 패치에 능숙해지면서 공격의 영향은 크게 줄었다. 하지만 해커들은 상대적으로 취약한 모바일 운영체제, 특히 안드로이드로 눈을 돌렸다.
올해 안드로이드 기기에서 두 가지 대형 익스플로잇이 발견됐다. 여름에는 안드로이드 기기에 널리 쓰이는 퀄컴 칩셋의 취약점 '쿼드루트(Quadroot)'가 공개됐다. 네 가지 취약점 중 하나를 이용해 기기의 루트 권한을 탈취한다. 보안 패치가 배포됐지만, 시스템 업데이트 배포가 제때 이뤄지지 않아 수많은 기기가 여전히 위험에 노출돼 있다.
두 번째는 '굴리간(Gooligan)'이라는 악성코드를 설치해 루트 권한을 탈취하는 방식이다. 악성 링크나 서드파티 마켓의 불량 앱을 통해 감염된다. 이 익스플로잇은 마시멜로(6.0) 이전 구형 안드로이드 버전에만 영향을 미치지만, 이는 여전히 구글 OS 기기의 약 75%에 달한다.
랜섬웨어의 부상
가장 골치 아픈 악성코드는 단연 랜섬웨어다. 올해 이 극악한 악성코드의 발생 건수가 전례 없는 수준으로 치솟았다. 랜섬웨어는 기기 기능을 잠그거나 파일과 데이터를 인질로 잡고, 화면에 메시지를 띄워 금전을 요구한다. 하지만 돈을 지불해도 해커들은 카드 부정 청구만 할 뿐 악성코드를 제거해 주지 않는 게 보통이다.
공격자들의 유포 수법도 교묘해지고 있다. 악명 높은 록키(Locky) 랜섬웨어의 새로운 변종은 사용자가 소프트웨어 설치를 동의할 필요조차 없다. 대신 자바스크립트를 이용해 임베디드 파일을 다운로드하고 실행해 감염시킨다. 앞서 언급한 샌프란시스코 교통 해킹도 랜섬웨어의 일종으로, 몸값을 지불할 때까지 승객들을 무료 탑승하게 만들었다. 이 추세는 2017년에도 이어져 해커들이 도시, 교통, 주요 인프라를 인질로 잡고 금전적 이득을 취하는 사례가 늘어날 전망이다.
더욱 침식된 프라이버시
우리가 디지털 세상에 방대한 개인 데이터를 남긴다는 건 공공연한 사실이다. 일부는 소셜 미디어에 자발적으로 올리는 정보지만, 상당수는 우리도 모르는 사이 백그라운드에서 수집된다.
가장 유명한 데이터 수집가는 페이스북(Facebook)이다. 이 소셜 미디어 거인은 사용자 정보를 수집하는 수많은 경로를 보유하며, 이를 자사 제품에 활용하거나 제3자에게 판매한다. 하지만 이들이 유일한 주체는 아니다. 피트니스 트래커조차도 불순한 목적으로 활용되고 있다.
피트니스 트래커, 웨어러블 기기, 건강 앱은 광고주와 보험사가 눈독 들일 만한 엄청난 양의 유용한 데이터를 생성한다. 대다수 국가에서 의료·건강 정보의 프라이버시는 엄격히 보호된다. 그러나 기술 시장이 규제를 앞지르면서, 당신의 '비공개' 데이터가 그대로 유지된다는 보장은 없다.
포켓몬 고(Pokémon GO) 해프닝
여름, 증강현실 게임 포켓몬 고가 출시 일주일 만에 1,000만 다운로드를 돌파하며 깜짝 메가히트를 쳤다. 하지만 출시 초반 요구하는 권한 수준을 두고 큰 논란이 일었다. iOS에서 구글 계정으로 로그인할 때 개발사 나이앤틱(Niantic)에 구글 계정 '전체 접근 권한'을 강제로 넘겨야 했는데, 이는 구글 자사 앱에만 허용되는 특권이었다. 다행히 로그인 구현 실수로 밝혀져 수정됐다.
이 논쟁은 적어도 사용자들이 개인정보 제공의 함의를 이해하기 시작했음을 보여줬다. 스마트폰은 주요 데이터 유출 통로지만, 다행히 안드로이드와 iOS 모두 프라이버시 보호를 위한 설정 조정이 가능하다. 윈도우 10은 과도한 데이터 수집으로 비판받았으나, 레드먼드로 전송되는 데이터를 최소화하는 방법들이 존재한다.
빅 브라더의 부상
디지털 감시는 새로운 개념이 아니다. 중국은 10년 넘게 이를 실시해 왔다. 2013년 스노든 폭로로 전 세계 정보기관이 우리의 일거수일투족을 추적하는 보이지 않는 네트워크를 구축했음이 드러났다. 대중의 분노가 커지면서 정부가 감시 관행을 축소할지도 모른다는 기대가 있었다.
하지만 올해 우리는 정반대 현실을 확인했다. 전 세계 정부와 정보기관은 감시를 강화하고, 이를 합법화하려 시도 중이다. 영국의 '수퍼 챠터(Snoopers Charter, 공식 명칭: 조사권한법)'가 대표적이다. 11월 발효된 이 법은 ISP가 네트워크상 모든 활동 로그를 최대 1년간 보관하고, 이를 수많은 정부 기관과 공유하도록 강제한다. 명분은 불분명하다.
NSA의 광범위한 감시를 합법화하는 유사한 입법도 예상된다. 불행히도 '국가 안보'라는 명분 아래 프라이버시 파괴에 대한 대중의 반대는 무너지고 있다. 소셜 미디어는 극단주의자와 테러리스트에게 플랫폼을 제공하며 이 내러티브를 지원했고, 기업들은 두더지 잡기 식 대응에 급급했다.
범람하는 데이터베이스
페이스북, 트위터, 마이크로소프트, 유튜브가 테러 관련 콘텐츠 데이터베이스를 공동 구축해 손쉬운 삭제를 돕기로 한 점은 평가할 만하다. 하지만 이 데이터베이스가 또 다른 감시 도구로 변질될 우려도 크다. 이는 트위터의 잠재적 검열 기구 '신뢰 및 안전 위원회(Trust & Safety Council)'와도 맞물린다.
FBI도 '차세대 식별 시스템(Next Generation Identification, NGI)'이라는 감시 친화적 데이터베이스를 개발 중이다. 이는 '세계 최대이자 최고 효율의 생체 인식 및 범죄 이력 전자 저장소'가 될 전망이다. 이는 생체 인식이 식별의 미래가 아닐 수 있음을 시사한다. 정부뿐 아니라 민간 조사원과 아마추어 탐정들도 웹상에서 개인을 추적하는 방법을 개발하고 있다.
올해 미국 대선이 있었다는 건 다들 알 것이다. 정당들은 유권자 정보를 수집하는 새로운 방식을 동원했다. 더 우려스러운 건 경찰이 '비웨어(Beware)'라는 논란의 소프트웨어를 도입하기 시작했다는 점이다. 소셜 미디어 계정을 분석해 개인에게 '위협 점수'를 매기는 시스템이다. 이는 영화 마이너리티 리포트(Minority Report)를 연상시키며, 소셜 미디어에 무엇을 공유할지 신중해야 함을 경고한다.
그래도 희망은 있다
이토록 혼란스러운 한 해를 돌이키면, 정부와 해커가 우리의 사적 데이터를 만천하에 공개하며 세상이 무너지는 듯 느껴진다.
그러나 상황을 개선하려는 기업들도 있다. 파이어폭스(Firefox) 개발사 모질라(Mozilla)가 대표적이다. 모질라 선언문에는 인터넷의 보안과 접근성을 지키는 10대 원칙이 명시돼 있다. 그 일환으로 최근 iOS용 프라이버시 중심 브라우저 '파이어폭스 포커스(Firefox Focus)'를 출시했다.
인터넷의 근간 기술도 긍정적으로 변화하고 있다. 전송 계층 보안(TLS)이 보안 소켓 계층(SSL)을 점차 대체하며 사용자와 웹사이트 간 더 안전한 연결을 제공한다. 100% HTTPS 도입 추세도 가속화되고 있다. 보안 기업 시만텍(Symantec)은 웹사이트에 무료 인증서를 제공하며 유료 부가 서비스를 운영하고, '렛츠 인크립트(Let's Encrypt)'도 공익 법인 ISRG가 운영하며 무료 인증서를 발급한다.
비트코인의 미래 역할은 불확실하지만, 블록체인 기술은 우리 세상을 더 안전하게 만들 것이다. 전자 투표를 현실화할 수도 있고, 콘텐츠 창작자가 자신의 저작물을 통제하는 블록체인 기반 움직임이 주류로 다가오고 있다. 전통 금융 시스템의 보안 강화에도 기여할 수 있다.
프라이버시 통제권 지키기
전 세계 감시 체계에서 오웰적 테마가 등장하는 건 섬뜩한 일이다. 다행히 인터넷이 프라이버시 블랙홀이 되지 않도록 당신을 대신해 싸우는 수많은 단체가 있다.
일부 논평가들의 주장과 달리, 암호화는 당신의 보안을 지키는 열쇠다. 페이스북 와츠앱(WhatsApp) 메시징 서비스에서도 종단간 암호화를 활성화할 수 있다. ISP의 과도한 감시로부터 자신을 보호하려면 로그를 남기지 않는 VPN(로그리스 VPN)으로 갈아타는 것도 방법이다.
2017년, 보안을 더 단단히 조이자
또 다시 내 계정이 해킹당했다는 소식을 듣는 데 지쳤을 것이다. 하지만 '보안 피로(Security Fatigue)'를 극복하지 못하면 안전할 수 없다. 프라이버시를 지키는 가장 좋은 방법 중 하나는 인터넷에 의도적으로 올리는 정보를 바꾸는 것이다. 자녀가 온라인 세상을 안전하게 누리도록 보호하는 방법도 많다.
새해를 맞아 연례 보안 점검을 실시해 가능한 한 최고 수준의 보안을 갖출 것을 권한다. 그런 뒤 '해브아이빈폰드(haveibeenpwned)' 같은 사이트에 가입해 계정 유출 시 알림을 받는 등 선제적 조치를 취하자.
당신의 2016년은 어땠나? 산더미 같은 해킹의 피해자였나? 랜섬웨어에 당했나? 아래 댓글로 알려주고, 안전하고 보안이 철저한 2017년을 맞이하길 바란다!