디도스와 차원 다른 악의적 수법 … 신문제작 서버 집중공격

중앙일보

입력

업데이트

10일 서울 서소문로 중앙일보 J빌딩 서버 관리실에서 담당 직원이 서버를 점검하고 있다. 경찰은 해킹 근원지와 방식·경로 등에 대한 수사에 착수했다. [조문규 기자]

이번 중앙일보 서버 공격은 자신의 실력을 과시하기 위한 일반적인 해킹과는 차원이 다르다. 많이 알려진 분산서비스거부(디도스·DDoS) 공격은 네티즌들이 특정 서비스를 이용하지 못하도록 방해하는 방식이다. 공격자는 특정 시점에 특정 사이트에 접속하라는 명령을 담은 악성코드를 무차별적으로 배포한다. 백신소프트웨어 등으로 적절하게 방어하지 못한 수백, 수천대의 개인용 컴퓨터들이 악성코드에 감염된 '좀비PC'가 된다. 특정 시점에 한 사이트에 감당할 수 없는 숫자의 접속 요청이 집중되면 해당 서버가 마비된다. 사이트를 이용하려는 사람들이 불편을 겪지만 상대적으로 피해는 적다. 접속 서버가 파괴되거나 데이터베이스 자체가 사라지는 것은 아니기 때문이다.

9dlf 해킹된 직후 중앙일보 홈페이지(joongang.co.kr)에는 고양이 사진과 ‘이스원이 해킹했다(Hacked by IsOne)’라는 메시지가 떴다. 열흘 간격으로 다른 사이트 두 곳에 대한 공격을 암시하는 글도 함께 올라왔다. 현재 중앙일보는 홈페이지를 통한 뉴스 서비스를 차질 없이 제공하고 있다.

반면 접속서버가 아니라 운영체제(OS)와 각종 정보를 담은 메인 서버에 침투해 정보를 빼돌리거나 파괴하는 '크래킹'은 디도스와는 비교도 하기 어려울만큼 큰 피해를 남긴다. 공격자는 빼돌린 정보를 외부에 팔거나 해당 사이트 관리자에게 블랙메일(협박장)을 보내 돈을 요구하는 방법으로 이득을 취한다. 전문가들은 "중앙일보 서버에 대한 공격은 일반적인 해킹 차원을 넘어선 강력하고 악의적인 수법"이라며 입을 모았다. 공격자는 독자정보를 담은 서버에는 손대지 않고 신문을 만드는데 필요한 정보를 담은 서버를 주 대상으로 삼았다. 단순 해킹 혹은 디도스 공격이 아니라 심각한 크래킹 수준이라는 것이다.

따라서 보안 전문가들은 해커와 크래커를 구별해야 한다고 지적했다. 해커는 정보 공유와 보안의 취약점을 알리기 위해 네트워크에 침투한다. 마크 저커버그 페이스북 창업자가 올해 초 기업공개를 앞두고 "해커 정신으로 회사를 운영하겠다"고 밝힌 것도 이런 맥락에서다. 해커를 끊임 없이 실험하고 도전하는 사람이라는 의미로 쓴 것이다. 반면 크래커는 돈을 벌거나 정보를 파괴하는 것이 목적이다. 보안 전문가로 활동하는 해커들을 크래커와 구분하기 위해 '화이트 해커'라고 부르기도 한다. 중앙일보에 대한 공격은 크래킹 중에서도 악질에 속한다. 개인정보를 빼내 돈을 벌려는 의도보다는 메인 서버를 파괴해 신문 발행에 타격을 주려는 의도기 때문이다. 지난해 4월 일어난 농협 해킹 사건과 가장 비슷한 유형이다.

이처럼 장기간에 걸쳐 치밀하게 준비하는 형태의 크래킹 공격을 지능형지속위협(APT)라고 분류하기도 한다. 보통 APT는 공격 대상 기업의 서버 운영 권한을 가진 내부자를 파악하고, 그의 PC에 악성코드를 심어 관리자 아이디와 비밀번호 등을 알아낸 뒤 그 PC로 내부 망에 접속하면 서버에 침투해 장악하는 단계를 거친다. 일단 서버에 침투하면 정보를 빼돌리건 전산 시스템을 파괴하건 공격자의 마음대로다.

익명을 요청한 한 보안업체 관계자는 "APT의 경우 서버 관리자의 움직임을 길게는 몇 개월씩 감시하며 침투 기회를 노리기 때문에 방화벽이나 백신 같은 일반적인 방법으로는 막을 수 없다"고 설명했다. 전산시스템의 허점이 아니라 사람에 대한 공격이기 때문이다. 'USB에 담긴 음악이나 동영상을 잠깐만 확인해달라'는 부탁이나 '이번 회의 결과입니다', '요즘 인터넷에서 최고 화제인 영상입니다' 등의 제목을 단 e메일 등을 여는데 신중해야 하는 이유다. 이 관계자는 "방어벽을 아무리 잘 구축해도 전산 담당자나 내부 사용자들의 보안 의식이 약하면 무용지물"이라고 덧붙였다.

경찰은 중앙일보에 대한 공격의 실체를 밝히기 위한 수사에 들어갔다. 공격자의 신원과 의도는 뭔지, 어떤 경로를 통해 악성코드가 서버로 유입됐는지 등이 주요 수사 대상이다. 하지만 공격자들이 외국서버의 인터넷주소(IP)를 여러 차례 거쳤을 가능성이 크기 때문에 결과가 나오기 까지는 적지 않은 시일이 소요될 전망이다.