당신이 해킹을 당하는 이유? (1)

당신이 해킹을 당하는 이유는?

 

해킹, 보안 - 지금 머릿속에 떠오르는 키워드는 무엇인가요?

어려워, 정보보호, 불편, 리눅스, 스파이, 서버, Hack, 뉴스, 협박, 해킹, 윈도우, 공격, 감염, 피해행위, 하이테크, 랜섬웨어, 범죄조직, 무서워, 위조, 데이터, 피해금액, 사기, 가져갈것이없을텐데, 위장, 위험해, 정보유출, 개인정보, 설마, 범죄, 사회공학기법, 고통, 악성코드, 뉴스, 보안교육, 바이러스, 백신, 파괴, 셧다운, 불통, 사고, 위협, 다운로드, 취약점, 분석, 백신, 탈취 ...

 

해킹과 보안

여행이라는 단어를 들으면 누군가는 바다를, 누군가는 맛집을 떠올립니다. 하나의 키워드는 사람마다 서로 다른 이미지를 연상하게 만듭니다. 그리고 그 차이는 우리가 평소 해당 키워드를 얼마나 자주 접했고, 얼마나 깊이 이해하고 있는지에 따라 달라집니다.

어떤 키워드는 쉽게 설명할 수 있지만, 그렇지 않은 경우도 있습니다. 우리의 머릿속을 복잡하게 만들고 한마디로 정의하기 어려운 개념들이 있습니다. 많은 사람들에게 '해킹'과 '보안'이 바로 그런 키워드입니다.

주변 동료 중에 IT 전문가가 있다면 해킹과 보안에 대해 대화를 시도해보길 바랍니다. 이 키워드가 얼마나 방대하고 고차원적이며 진입장벽이 높은지 조금이나마 알 수 있습니다.

흥미로운 사실은 IT 전문가들조차 해킹과 보안을 완벽하게 설명하거나 이해하기 어렵다고 느낀다는 점입니다. 아무리 깊이 파고들어도 새로운 기술과 공격 기법이 계속 등장하고, 어느 날 갑자기 전혀 새로운 위협이 나타나기도 합니다. 마치 끊임없이 진화하는 생명체의 한순간을 들여다보는 것 같은 느낌마저 듭니다.

주변에 IT 전문가가 있다면 해킹과 보안에 대해 대화를 시도해 보길 바랍니다. 이 분야가 얼마나 방대하고 복잡하며 진입장벽이 높은지 조금이나마 느낄 수 있을 것입니다.

 

"해킹 당했어요! 왜 하필 제가 당한 거죠?"

이 분야에서 10년 넘게 일하면서 가장 자주 들은 질문 중 하나입니다.

"왜 하필 제가 해킹을 당한 거죠?"

사실 이 질문에는 중요한 전제가 숨어 있습니다. 많은 사람들은 해킹 피해가 무작위로 발생한다고 생각합니다. 하지만 실제로는 그렇지 않은 경우가 많습니다. 옆자리 동료도, 다른 부서 직원도 아닌 바로 당신이 공격 대상이 된 데에는 나름의 이유가 존재합니다.

 

"내 PC에는 가져갈 것이 없는데요?"

정보보안 업계 밖의 사람들에게서 흔히 볼 수 있는 생각입니다.

"내 컴퓨터에는 가져갈 것이 없는데?"
"그 많은 컴퓨터 중에 설마 내 컴퓨터가 감염되겠어?"

지금 이 글을 읽으며 비슷한 생각을 하고 있다면, 잠시만 그 생각을 내려놓고 다음 내용을 읽어보길 바랍니다.

 

해킹을 당하는 사람들의 특징

원숭이도 나무에서 떨어집니다. 보안 전문가라고 해서 해킹으로부터 완전히 자유로울 수는 없습니다. 그렇다면 전문가를 포함해 해킹 피해를 경험한 사람들에게는 어떤 공통점이 있을까요?

2018년 미시간 주립대학교 형사사법학과의 토마스 홀트(Thomas Holt) 교수는 악성코드와 관련된 사이버 범죄 피해와 자기 통제력(Self-Control)의 관계를 연구했습니다. 약 6,000명이 참여한 이 연구에서 그는 자기 통제력이 낮을수록 사이버 범죄의 피해자가 될 가능성이 높다는 상관관계를 발견했습니다.

연구에 따르면 자기 통제력의 부족은 다양한 형태로 나타납니다.

• 근시안적 판단 (눈앞의 현상만 바라보는 경향)
• 부주의한 행동
• 충동적인 신체적·언어적 행동
• 즉각적인 만족을 추구하는 성향

홀트 교수는 사이버 범죄자들이 이러한 특성을 매우 잘 이해하고 있다고 설명합니다. 공격자들은 사람들이 무엇에 관심을 가지는지, 어떤 방식으로 행동하는지, 언제 경계심을 낮추는지를 분석하고 이를 공격에 활용합니다.

이 연구는 "왜 하필 내가 해킹을 당한 걸까?"라는 질문에 대한 하나의 힌트를 제공합니다.

물론 해킹 피해의 모든 책임이 피해자에게 있다는 의미는 아닙니다. 하지만 우리가 평소 '습관'이라는 이름으로 중요하게 여기지 않았던 행동들이 위험을 키우고 있는 것은 아닌지 돌아볼 필요는 있습니다.

 

우리가 이미 경험했던 사례

국내에서도 비슷한 사례를 찾아볼 수 있습니다.

COVID-19 긴급재난지원금 기부 취소 사태를 기억하시나요?

전액기부 체크 박스가 있는 정부 긴급재난지원금 신청서

당시 전액 기부 체크박스를 자신도 모르게 선택한 이용자들이 다수 발생하면서 지원금 기부 취소 요청이 잇따르는 일이 있었습니다.

이는 일부 이용자들이 작은 체크박스를 습관적으로 선택한 뒤 신청을 완료했고, 이후 자신의 의사와 다른 결과가 발생했음을 인지하여 기부 취소를 요청했을 가능성을 보여줍니다.

특히 온라인 서비스 회원가입 과정에서 약관 동의를 위해 체크박스를 클릭하는 행위를 반복적으로 경험한 결과, 해당 행위를 단순한 절차로 인식했을 가능성이 있습니다. 따라서 내용을 충분히 확인하지 않은 채 별다른 주의 없이 습관적으로 체크했을 가능성도 배제하기 어렵습니다.

 

해킹은 기술보다 습관을 먼저 공격한다

사이버 범죄자들은 바로 이러한 습관을 노립니다.

사람들은 중요하다고 생각하는 순간에는 주의를 기울이지만, 익숙한 행동을 반복할 때는 경계심을 낮추는 경향이 있습니다. 이메일의 첨부파일을 열거나, 링크를 클릭하거나, 로그인 페이지에 계정을 입력하는 순간에도 같은 현상이 발생합니다.

흥미로운 점은 대부분의 피해자가 해킹 기술을 몰라서 공격당한 것이 아니라는 사실입니다. 공격자는 복잡한 기술보다 사람이 가진 습관과 부주의함, 그리고 "설마 나겠어"라는 심리를 먼저 공략합니다.

결국 해킹은 컴퓨터를 공격하는 행위인 동시에 사람의 행동을 공격하는 행위이기도 합니다.

우리는 흔히 해킹을 이야기할 때 뛰어난 프로그래밍 기술이나 영화 속 해커를 떠올립니다. 하지만 실제 공격의 상당수는 훨씬 평범한 곳에서 시작됩니다. 무심코 누른 체크박스, 자세히 확인하지 않은 링크, 귀찮아서 넘겨버린 경고 메시지처럼 말입니다.

어쩌면 해킹을 당하는 이유는 최첨단 기술이 아니라 너무나 익숙해진 우리의 행동 습관에 있을지도 모릅니다.

그렇다면 한 가지 질문을 남겨보겠습니다.

지금까지 해킹을 당하지 않았다고 해서 앞으로도 해킹을 당하지 않을 것이라고 확신할 수 있을까요?

다음 글에서는 왜 우리 모두가 해킹을 당할 가능성을 가지고 살아가는지, 그리고 공격자들이 우리의 어떤 습관을 노리고 있는지 조금 더 구체적으로 살펴보겠습니다.

---

MSU(미시간 주립 대학교) 토마스 홀튼 교수의 논문 정보는 아래 MSU 공식 사이트에서 확인하실 수 있습니다.
URL: https://scholars.msu.edu/scholar/10097/THOMAS-HOLT