[보안을 바라보는 새로운 눈③] 심리편

지피지기면 백전불태! 해커의 생각·심리를 알아야 이길 수 있다

[인터뷰] 사이버범죄자 심리 꿰뚫는 서울마포경찰서 장재영 경위

[보안뉴스=이규형·최이주 객원기자] 최근 들어 지능형 지속 위협, 일명 APT 공격이 기승을 부리고 있다. 이렇듯 해커들은 목표를 해킹하기 위해서 APT 공격을 비롯한 다양한 방법과 수단을 동원하여 침투를 시도한다.

몇 년 전부터 꾸준히 사용되고 있는 사회공학적 방법 가운데 하나로 현혹되기 쉬운 문서나 악성링크를 첨부한 이메일을 통해 악성코드를 유포하기도 하고, 유명한 홈페이지를 악성코드 경유지로 만들기도 한다. 이렇기 때문에 해커와 싸우는 정보보안전문가는 모든 공격루트를 차단하기 위해 노력한다. 다시 말해 매우 비효율적인 싸움을 하고 있는 셈이다.

만약 정보보안전문가가 해커의 공격루트를 비롯해 어떤 형태의 공격기법 등을 사용할지 어느 정도 예측할 수 있다면 어떤 결과가 나타날까? 그렇게 된다면 정보보호 업무를 수행함에 있어 지금보다는 한층 유리한 입장이 되지 않을까? 이에 본지는 해커 등의 사이버범죄자들의 행동과 심리를 파헤치기 위해 이들을 오랜 기간 수사해온 경찰내 대표적인 사이버보안전문가중 한 사람인 서울마포경찰서 장재영 경위를 인터뷰했다.

사이버범죄자들이 범죄를 저지르는 이유

사이버범죄자들이 범죄를 왜 저지르는지 알고 있다면, 또한, 그들의 범죄심리 행태 등에 대해 이해할 수 있다면 이는 추후 보안전문가 양성 교육에도 큰 도움이 될 수 있다. 이와 관련 장재영 경위는 사이버범죄자들의 범죄목적을 금전적인 측면과 자기과시 측면 등 크게 2가지로 나눌 수 있다고 말했다.

금전적인 측면에 있어 소매치기, 절도 등 오프라인 상에서의 범죄가 아닌 사이버범죄를 저지르는 이유에 대해 장 경위는 “해커 입장에서 매우 효과적이고 쉬운 범죄이기 때문”이라고 덧붙였다. 예를 들어 기업들은 이익 추구를 위한 투자비중보다 보안문제에 대한 투자와 관심이 상대적으로 적을 뿐만 아니라 개개인의 PC에 있어서도 보안취약점의 보안 업데이트가 더디게 이루어지는 경우가 많기에 범죄자들에게 매우 유리한 환경이 조성돼 있다는 것이다.

사이버범죄자들의 연령대별 유형과 특징

사이버범죄자들의 연령대별 범죄유형은 어떻게 다를까? 이에 대해 장 경위는 “몇 년 전까지만해도 10대 청소년들은 온라인 게임, 음란물 관련 사이버범죄가, 20~30대는 전문 해킹 기술을 이용한 사이버범죄가, 그리고 40~50대는 명예훼손, 허위사실 유포와 같은 화이트컬러 계층의 사이버범죄 비율이 높아 뚜렷이 구분됐다”고 설명했다.

그러나 최근 사이버공간에서는 익명성이 보편화돼 이러한 연령별 범죄형태의 구분이 모호해지고 있다는 게 그의 설명이다. 다만 현재까지는 각 연령별 특징이 어느 정도 구별되는 만큼 이에 따른 맞춤형 교육 및 윤리교육을 강화한다면 범죄예방 측면에서 큰 효과를 볼 수 있을 것으로 장 경위는 기대했다. 반면, 온라인·오프라인을 불문하고 범죄자들의 성장환경은 천차만별이라는 것.

사이버범죄 예방 첫걸음은 바로 ‘심리 꿰뚫기’

미국의 오바마 행정부는 “사이버전을 제5의 전장”으로 간주하고 ‘사이버 범죄=물리적 범죄’의 공식을 만들어 사이버범죄에 적극 대응하고 있다. 최근 5년간 굵직한 사이버보안 사건을 겪어왔던 우리나라도 사이버범죄에 좀더 능동적인 대응이 요구되고 있다. .

이와 관련 장 경위는 “광역화·기동화 추세를 보이는 사이버범죄에 대응하는데 있어 각종 법·제도 시스템과 규제가 때로는 사이버수사관들의 발목을 잡는 경우가 있다”며, “온라인에서 빠르게 흔적을 지우고 도주하는 사이버범죄자를 목전에서 놓친다면 열정을 갖고 범인을 추적·수사해온 대다수 경찰관들은 허탈해질 수밖에 없고, 피해자들은 더욱 억울한 상황에 처하게 된다”고 우려했다.

덧붙여 그는 “사이버범죄로부터의 피해를 최소화하고 안전한 정보화시대를 앞당기기 위해서는 사이버범죄자들의 심리와 행동 연구가 보다 활성화되고, 이를 바탕으로 체계적인 대책을 수립해야 한다”며, "이를 위해서는 보안전문업체, 학교 및 연구기관, 국가기관 간의 협력체계를 강화하는 한편, 청소년들의 사이버윤리 교육을 강화해 올바른 인터넷 문화를 확산시키는 것이 무엇보다 중요하다“고 강조했다.

[이규형(ttuu44@naver.com)·최이주(eju94@naver.com) 객원기자]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)