CIA의 흔적 지우기 및 증거 조작 능력 발견돼
사이버전 수사, 투명하게 진행되고 있는 것 맞나...의문 제기돼
[보안뉴스 문가용 기자] 위키리크스가 볼트 7(Vault 7)이란 이름으로 폭로한 CIA 문건 때문에 정부기관이 개입된 사이버전 사건의 포렌식 절차가 도마 위에 올랐다. 특히 지난 미국 대선 때 민주당을 해킹한 것이 러시아임이 분명하다는 주장이 다시 한 번 의심을 받기 시작했다. 볼트 7 폭로 직후에는 “CIA가 아이폰과 삼성 스마트TV를 통해 당신을 도청해왔다”는 것이 큰 이슈였고, 이 사건이 두 번째 국면으로 접어든 것이라고 볼 수 있다.
러시아가 정말로 민주당을 해킹했을까, 라는 의심이 제기된 건 볼트 7 문건 중 흥미로운 CIA의 사이버전 수행 능력이 발견되었기 때문이다. 보다 정확히는 CIA가 자신의 흔적을 감추는 다양한 방법들과 전적들이 볼트 7에 담겨 있었다고 한다. 일부러 다른 나라가 해킹한 것처럼 보이게 했던 이력이 드러난 것인데, 그 ‘다른 나라’가 대부분 러시아였다고 살롱(Salon)이나 더힐(The Hill), 아이텍포스트(iTech Post) 등의 외신들은 보도하고 있다.
여기서 자주 등장하고 있는 용어가 ‘귀인 유도 전략(misdirect attribution tactic)’이다. 즉 엉뚱한 전자지문을 현장에 남겨 전혀 다른 인물들을 용의자 혹은 범죄자로 만들어버리는 것이다. 애초부터 미국의 첩보기관과 백악관이 제일 먼저 러시아가 범인이라고 지목하고, 그 주장을 계속해서 관철해왔다는 걸 생각해보면, 뭔가 묘하게 맞물리기도 한다.
게다가 늘 미국 정부의 편에 서서 유리한 사이버 보안 활동을 펼쳐 왔던 보안 전문 업체인 크라우드스트라이크(CrowdStrike)도 최근 러시아가 해킹했다는 자신들(과 정부)의 주장을 담은 보고서를 작성하기 위해 “러시아가 아닐 수도 있다는 증거를 일부러 빠트렸다”는 걸 인정한 바 있다. 해당 보고서에서 크라우드스트라이크가 러시아를 지목한 증거는 1) 키릴어로 작성된 텍스트 파일과 2) 모스크바 표준시간대와 겹치는 주요 활동 시간이었다. 미국 정부기관과 많은 수사와 작업을 같이 하는 파이어아이(FireEye)도 비슷한 근거로 비슷한 주장을 해왔다.
더 많은 은밀한 증거가 있는지 어떤지 모르겠지만 결국 대중에게 제시된 증거라고는 언어설정과 시간대 정보뿐이라는 것이다. 이에 야샤 레바인(Yasha Levine)이라는 기자는 다음과 같이 일갈한다.
“활동 시간대가 모스크바의 출퇴근 시간과 겹친다는 게 증거라고? 아니, 세상에 어떤 해커가 출퇴근 시간을 꼭꼭 지켜가며 활동을 하겠는가? 게다가 모스크바와 같은 시간대에 있는 나라나 도시들 중 러시아어 구사자를 찾을 수 있는 곳이 얼마나 많은 줄 아는가? 이스라엘, 벨라루스, 에스토니아, 라트비아, 몰도바, 루마니아, 리투아니아, 우크라이나다.
“언어 환경 설정 바꾸는 게 아주 기초적이고 간단한 일이라는 걸 감안해 ‘러시아어’ 구사자를 용의 선상에서 제외하면 모스크바와 같은 시간대에 있는 나라들은 그리스, 핀란드, 터키, 요르단, 레바논, 시리아, 이라크, 사우디아라비아, 소말리아, 예멘, 에티오피아, 케냐로 늘어난다. 누구나 설정을 바꿀 수 있는 언어 옵션과 좁디좁은 활동 시간을 가지고 러시아를 지목하다니, 얼마나 우스꽝스러운가?”
결국 사이버전의 포렌식이라 함은 대상을 정해놓고 맞는 증거들만 취사 선택하고 있는 것 아니냐고, 레바인은 현 시점에서 굉장히 타당한 질문을 던졌고, 이는 업계에 일파만파 번지고 있는 것으로 보인다. 정보보안의 기술력과 올바른 양심이 결국 정치라는 커다란 프레임 안에서 꼭두각시놀음만 하고 있을 뿐이라는 지적인 것이기 때문이다.
그러나 이 분위기를 전달하고 있는 매체들은 “그렇다고 러시아가 아니라는 것도 아니”라는 점을 상기시킨다. 살롱지는 “분명히 지금 이 시각에도 수많은 정부의 각 첩보 기관들이 엄청난 자원을 투자해 다른 나라를 해킹하고 있는 건 분명한 사실”이라고 말한다. 그러면서 “볼트 7로 인해 CIA의 우회 능력이 드러났다고 해서 러시아가 혐의를 벗는 건 아니”라고 강조하기도 한다.
미국 정부는 이전에 민주당 해킹 사건에 대해 러시아를 범인으로 지목하며 “공개하기에 곤란한 증거를 확보했다”고 말하기도 했다. 하지만 완전히 투명해지지 않고서는 완전한 신뢰를 얻어내기가 힘들다. 공개할 수 없는 증거가 있긴 했을까? 있다면 뭐였을까? 러시아가 했느냐 안 했느냐라는 논쟁의 불이 위키리크스의 뜻밖의 폭로를 통해 ‘사이버전 포렌식 보고서가 얼마나 투명한가’로 옮겨 붙고 있다. 더불어 이런 흐름 때문에 위키리크스가 그저 러시아의 도우미일뿐이라는 시각도 견고해지고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
- 아시아 최대 규모의 종합 보안 전시회 SECON 2017 - 3월 15일(수)~17일(금) 개최
- IFSEC과 BlackHat 주관사인 UBM이 직접 투자한 한국 유일 전시회
- 해외 보안 분야 바이어들과 1:1 전문 상담
- 가상현실, 심폐소생술, 드론 해킹, 1인 가구 안전 체험 등 다양한 코너 마련
사이버전 수사, 투명하게 진행되고 있는 것 맞나...의문 제기돼
▲ 근데 투명해도 굴절되는데...
러시아가 정말로 민주당을 해킹했을까, 라는 의심이 제기된 건 볼트 7 문건 중 흥미로운 CIA의 사이버전 수행 능력이 발견되었기 때문이다. 보다 정확히는 CIA가 자신의 흔적을 감추는 다양한 방법들과 전적들이 볼트 7에 담겨 있었다고 한다. 일부러 다른 나라가 해킹한 것처럼 보이게 했던 이력이 드러난 것인데, 그 ‘다른 나라’가 대부분 러시아였다고 살롱(Salon)이나 더힐(The Hill), 아이텍포스트(iTech Post) 등의 외신들은 보도하고 있다.
여기서 자주 등장하고 있는 용어가 ‘귀인 유도 전략(misdirect attribution tactic)’이다. 즉 엉뚱한 전자지문을 현장에 남겨 전혀 다른 인물들을 용의자 혹은 범죄자로 만들어버리는 것이다. 애초부터 미국의 첩보기관과 백악관이 제일 먼저 러시아가 범인이라고 지목하고, 그 주장을 계속해서 관철해왔다는 걸 생각해보면, 뭔가 묘하게 맞물리기도 한다.
게다가 늘 미국 정부의 편에 서서 유리한 사이버 보안 활동을 펼쳐 왔던 보안 전문 업체인 크라우드스트라이크(CrowdStrike)도 최근 러시아가 해킹했다는 자신들(과 정부)의 주장을 담은 보고서를 작성하기 위해 “러시아가 아닐 수도 있다는 증거를 일부러 빠트렸다”는 걸 인정한 바 있다. 해당 보고서에서 크라우드스트라이크가 러시아를 지목한 증거는 1) 키릴어로 작성된 텍스트 파일과 2) 모스크바 표준시간대와 겹치는 주요 활동 시간이었다. 미국 정부기관과 많은 수사와 작업을 같이 하는 파이어아이(FireEye)도 비슷한 근거로 비슷한 주장을 해왔다.
더 많은 은밀한 증거가 있는지 어떤지 모르겠지만 결국 대중에게 제시된 증거라고는 언어설정과 시간대 정보뿐이라는 것이다. 이에 야샤 레바인(Yasha Levine)이라는 기자는 다음과 같이 일갈한다.
“활동 시간대가 모스크바의 출퇴근 시간과 겹친다는 게 증거라고? 아니, 세상에 어떤 해커가 출퇴근 시간을 꼭꼭 지켜가며 활동을 하겠는가? 게다가 모스크바와 같은 시간대에 있는 나라나 도시들 중 러시아어 구사자를 찾을 수 있는 곳이 얼마나 많은 줄 아는가? 이스라엘, 벨라루스, 에스토니아, 라트비아, 몰도바, 루마니아, 리투아니아, 우크라이나다.
“언어 환경 설정 바꾸는 게 아주 기초적이고 간단한 일이라는 걸 감안해 ‘러시아어’ 구사자를 용의 선상에서 제외하면 모스크바와 같은 시간대에 있는 나라들은 그리스, 핀란드, 터키, 요르단, 레바논, 시리아, 이라크, 사우디아라비아, 소말리아, 예멘, 에티오피아, 케냐로 늘어난다. 누구나 설정을 바꿀 수 있는 언어 옵션과 좁디좁은 활동 시간을 가지고 러시아를 지목하다니, 얼마나 우스꽝스러운가?”
결국 사이버전의 포렌식이라 함은 대상을 정해놓고 맞는 증거들만 취사 선택하고 있는 것 아니냐고, 레바인은 현 시점에서 굉장히 타당한 질문을 던졌고, 이는 업계에 일파만파 번지고 있는 것으로 보인다. 정보보안의 기술력과 올바른 양심이 결국 정치라는 커다란 프레임 안에서 꼭두각시놀음만 하고 있을 뿐이라는 지적인 것이기 때문이다.
그러나 이 분위기를 전달하고 있는 매체들은 “그렇다고 러시아가 아니라는 것도 아니”라는 점을 상기시킨다. 살롱지는 “분명히 지금 이 시각에도 수많은 정부의 각 첩보 기관들이 엄청난 자원을 투자해 다른 나라를 해킹하고 있는 건 분명한 사실”이라고 말한다. 그러면서 “볼트 7로 인해 CIA의 우회 능력이 드러났다고 해서 러시아가 혐의를 벗는 건 아니”라고 강조하기도 한다.
미국 정부는 이전에 민주당 해킹 사건에 대해 러시아를 범인으로 지목하며 “공개하기에 곤란한 증거를 확보했다”고 말하기도 했다. 하지만 완전히 투명해지지 않고서는 완전한 신뢰를 얻어내기가 힘들다. 공개할 수 없는 증거가 있긴 했을까? 있다면 뭐였을까? 러시아가 했느냐 안 했느냐라는 논쟁의 불이 위키리크스의 뜻밖의 폭로를 통해 ‘사이버전 포렌식 보고서가 얼마나 투명한가’로 옮겨 붙고 있다. 더불어 이런 흐름 때문에 위키리크스가 그저 러시아의 도우미일뿐이라는 시각도 견고해지고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
- 아시아 최대 규모의 종합 보안 전시회 SECON 2017 - 3월 15일(수)~17일(금) 개최
- IFSEC과 BlackHat 주관사인 UBM이 직접 투자한 한국 유일 전시회
- 해외 보안 분야 바이어들과 1:1 전문 상담
- 가상현실, 심폐소생술, 드론 해킹, 1인 가구 안전 체험 등 다양한 코너 마련
문가용기자 기사보기
[2025-04-07] 
.png)
