2017년 3월 7일, CIA가 극비리에 보관해 온 기밀 문서 저장소 '볼트 7(Vault 7)'의 대규모 유출 소식이 세상에 알려졌습니다. 이 소식은 소셜 미디어에서 큰 파장을 일으켰고, 로이터 등 주요 언론이 잇달아 보도하는 가운데 CNN이 이를 외면한 듯한 태도를 보여 의아함을 자아냈습니다. 위키리크스(WikiLeaks)에 공개된 볼트 7 문서에는 CIA가 2013년부터 2016년까지 수집하고 발견한 방대한 해킹 기법과 익스플로잇 데이터베이스가 담겨 있습니다. 그러나 이 소식을 보도한 언론들은 표면적인 사실만을 다룰 뿐, 깊이 있는 분석은 미흡했습니다.
궁금한 점이 많으실 텐데요, 이번 글에서는 반복적으로 보도된 내용에서 빠져 있던 정보와 함께 여러분의 궁금증을 풀어드리겠습니다.
볼트 7에는 무엇이 담겨 있었나?
대단히 호기심이 많으시다면(유출된 문서가 이미 공개되어 있으므로) 모든 문서를 직접 확인하실 수 있습니다.
참고로 이번 유출이 볼트 7의 마지막이 아닐 가능성이 높습니다. 줄리언 어산지(Julian Assange)는 통상 정보를 한꺼번에 공개하지 않고 나누어 공개하는 경향이 있는데, 이는 각 내용이 충분히 분석될 시간을 확보하고, 며칠 만에 잊히는 단발성 폭탄 기사가 아니라 지속적인 뉴스 흐름을 만들기 위한 전략으로 추측됩니다. 물론 이는 순전히 추측이니 참고만 하시기 바랍니다.
이번에 유출된 문서는 총 8,000페이지가 넘습니다. 따라서 문서 분석이 더 진행될 때까지는 세부 내용이 다소 불명확할 수 있다는 점을 감안해 주시기 바랍니다.
문서의 내용을 살펴보면, 여러 범주와 하위 범주로 나뉘어 방대한 정보가 공개되었습니다. 대부분은 리눅스(Linux), 맥 OS(Mac OS), 윈도우(Windows), 안드로이드(Android), iOS 등 다양한 운영체제의 취약점 악용과 관련된 것들입니다. 더욱 우려되는 프로젝트도 있었는데, 바로 '위핑 엔젤(Weeping Angel)'입니다. 문서를 분석한 결과, 이 도구는 삼성 F8000 스마트 TV의 취약점을 악용해 TV가 꺼진 것처럼 보이는 대기 상태로 전환한 뒤 마이크를 계속 작동시켜, TV가 있는 방에서 오가는 대화를 몰래 청취하는 기능을 수행합니다. 또 다른 프로젝트인 '하피이글(HarpyEagle)'은 애플의 무선 공유기인 에어포트 익스트림(AirPort Extreme)에서 루트 권한을 획득하는 것을 목표로 개발되었습니다.
걱정해야 할까?
어느 정도는 그렇습니다. 볼트 7에 담긴 내용 대부분은 취약점 악용에 관한 참고 자료와, 이러한 작업을 쉽게 수행할 수 있게 해주는 웹상의 도구 위치 정보입니다. 애플은 테크크런치(TechCrunch)에 "오늘 유출된 문제점 중 상당수는 최신 iOS에서 이미 패치되었다"고 밝혔습니다(전체 성명 보기). 하지만 동시에 "확인된 취약점을 신속하게 해결하기 위해 계속 노력하겠다"고 덧붙였는데, 이는 아직 패치되지 않은 취약점이 남아 있을 가능성을 시사합니다.
iOS 이야기를 좀 더 하자면, 이 성명에는 볼트 7의 익스플로잇 목록이 운영체제 버전별로 깔끔하게 정리되어 있다는 사실이 고려되지 않았다는 점도 주목할 가치가 있습니다. 즉, 최신 iOS로 업그레이드할 수 없는 구형 스마트폰 사용자라면 해당 기기는 이번에 공개된 취약점에 영원히 노출될 수밖에 없습니다.
저희 역시 볼트 7에서 발견된 안드로이드 취약점과 관련해 구글에 입장을 요청했지만 아직 답변을 받지 못했습니다. 글을 쓰는 현재 기준으로 구글 공식 블로그에도 이번 유출에 대한 어떤 성명도 게시되어 있지 않습니다.
당장 말씀드릴 수 있는 것은, 야심 찬 해커라면 누구나 이 정보를 활용해 신형·구형 시스템에 존재하는 취약점을 악용할 수 있다는 점입니다.
반면, 큰 '피해' 없이 이 사건을 넘길 가능성이 높다고 보는 것이 안전합니다. 다만 이번 사건은 클라우드블리드(Cloudbleed)나 하트블리드(Heartbleed) 같은 '배경 소음' 수준은 결코 아닙니다. '재앙적'이라는 표현은 과할지 몰라도, 어떤 기기나 운영체제를 사용하든 일반적인 우려의 대상이 되는 것은 분명합니다. 요컨대, 해킹의 세계가 한층 더 흥미로워질 것입니다.
이런 상황에서 우리가 할 수 있는 일
안타깝게도 이번 유출로 공개된 익스플로잇으로부터 개인이 기기를 완벽히 보호할 방법은 많지 않습니다. 하지만 민감한 데이터는 '에어갭(air-gap)' 방식으로 보호할 수 있습니다. 인터넷에 연결되지 않은 컴퓨터에 가장 중요한 정보를 저장하면 원격 개입으로부터 완전히 자유로워집니다. 집안의 스마트 기기는 감시가 걱정된다면 사용 후 스위치가 달린 멀티탭으로 전원을 차단하는 것이 좋습니다. 또한 사용하는 모든 운영체제에 최신 업데이트를 빠짐없이 설치하고, 개발사들이 이번에 드러난 문제들을 해결할 때까지 추가 업데이트를 기다리시기 바랍니다.
이번 유출과 관련해 다른 조언이 있다면 댓글로 자유롭게 알려주세요!