[편집국장의 보안레터] # 어느 해커의 2018년 연말정산

한해를 정리하며, 추측해본 해커의 2018년 수익·지출 명세서
랜섬웨어나 암호화폐 해킹 수익은 점차 ‘시들’, 이슈 악용한 피싱은 ‘짭짤’
수익 불규칙하고 유흥비나 도박으로 탕진... 동료 해커 검거에 ‘불안’

[보안뉴스 권 준 편집국장] 2018년 한해도 이제 한달이 채 남지 않았습니다. 여러분들의 한해는 어떠셨나요? 연말이 되면 ‘13월의 월급’이라는 연말정산이 월급쟁이들에게는 가장 큰 관심사가 되곤 하는데요. 그럼 사이버범죄를 저질러 한해를 먹고 사는 해커들에게 2018년은 어땠을까요? 그럼 지금부터 2018년 보안 분야 주요 사건과 이슈 등을 소재로 삼아 ‘어느 해커의 연말정산’을 시도해 보도록 하겠습니다. 중급 정도의 실력을 지닌 가공의 해커가 화자(그들만의 언어 포함)가 될 예정이니 저의 비밀 직업으로 오해하진 마시길(^^)

▲ 해커들이 피싱 소재로 삼고 싶을 것 같은 화제의 영화 ‘보헤미안 랩소디’의 한 장면[출처=네이버영화]

#1월, 2017년엔 암호화폐 거래소와 암호화폐 탈취로 수익이 꽤 짭짤했는데, 암호화폐 시세도 많이 내려가고, 투자도 위축되면서 벌이가 시원치 않다. 1월에 인텔 CPU 취약점이 발견됐다는데, 나 같은 생계형 해커에게는 별 관심 없는 이슈이기도 하다. 나 같으면 그런 거 발견하면 인텔한테 돈 많이 달라고 협박했을 텐데, 몇 십억은 받을 수 있지 않을까? 그래도 이달엔 암호화폐 투자자들 몇 명에게 거래소 사칭한 메일을 보내 본전은 했다. 수익 1,500만원, 도박비와 유흥비로 지출 1,500만원

#2월, 평창동계올림픽 관람으로 개점휴업이다. 그나저나 평창올림픽 조직위원회 대상으로 올림픽 홈피를 해킹한 녀석들은 진짜 쩔었다. 난 평창올림픽 입장권 판매를 사칭해서 피싱 메일이나 보내볼까? 수익은 기존에 유포시켜 놓은 랜섬웨어 수익으로 300만원, 지출은 700만원, 으악! 400만원 마이너스다.

#3월, 3월은 갠드크랩 랜섬웨어라는 복덩이 때문에 축복의 달이 됐다. 다크웹에 있던 갠드크랩 랜섬웨어 툴 사다가 무작위로 보냈더니, 낚시에 걸려든 사람이 이렇게나 많네. 디자이너라고 속여서 저작권 위반했다고 메일 보내니까 첨부파일을 다 열어보네. ㅋㅋ. 이거 예전 비너스락커(VenusLocker) 랜섬웨어를 제작한 해커들이 만들었다고 하던데, 싼 값으로 싸다 쓰니 이렇게 효과가 좋을 수가. 수익(갠드크랩 랜섬웨어+암호화폐 탈취 수익) 2,200만원, 지출 1,000만원(친구들에게 여러 턱을 쐈다)

#4월, 4월은 3월에 번 돈으로 계속 놀았다. 4월 27일 판문점에서 열렸던 남북정상회담을 보면서 한순간 가슴 뭉클해짐을 느끼기도 했다. 그러면서 북한 추정 해커들의 실력에 다시 한 번 놀란다. 이런 큰 이벤트 기간에는 사이버 상에서 더욱 활발해지는 고수(?)들의 움직임이 포착된다. 이럴 때는 한 템포 쉬는 게 그나마 낫다. 수익 0원, 지출 400만원

#5월, 북한을 비롯한 국가지원 해커들의 움직임이 계속 이어진다. 이번엔 액티브X 취약점을 악용해 정보를 탈취하는 것 같다. GDPR이라 불리는 유럽 개인정보보호법도 시행됐다는데, 해외 해커들은 벌써 GDPR과 관련해 “프라이버시 정책을 업데이트했으니 고객 동의가 필요하다”는 이메일을 보내 개인정보를 빼돌리고 있다고 한다. 이런 건 나도 빨리 배워야지! 역시 이슈를 활용해 먹잇감들을 속이는 피싱이 고전적이지만 잘 먹힌단 말이야. 수익 600만원, 지출 700만원

#6월, 암호화폐 거래소 코인레일과 빗썸 해킹사건이 터졌다. 누가 그랬는지는 몰라도 우리 해커들에겐 굿이나 보고 떡이나 먹을 수 있는 기회다. 코인레일과 빗썸 직원을 사칭해서 고객들에게 악성코드를 첨부한 메일을 보내면 성공률이 높아진다. ㅎㅎ. 2배로 보상하겠다고 보내면 ‘혹’ 하겠지. 보낼 대상들은 예전에 암호화폐 거래소들의 고객정보 사놓은 거 활용하면 되겠다. 요새 몇 달 제대로 못 벌었는데, 이번이 좋은 기회군. 수익 1,800만원, 지출 1,200만원(도박빚 상환)

#7~8월, 장기 여름휴가. 수익 500만원(여름휴가 앞두고 도박사이트 개설 아르바이트), 지출 800만원(여름휴가비)

#9월, 평양에서의 2018년 3차 남북정상회담이 열렸다. 남북이 화해무드라는데, 사이버상은 절대 그렇지 않다. 남북정상회담을 전후로도 마찬가지다. 해킹 작업을 하다 보면 무시무시한 실력을 지닌 국가지원 해커들이 외화벌이나 정보탈취에 열을 올리는 모습들이 드러나기도 한다. 그럴 때면 무섭고 불안하다. 경찰이나 보안업체들의 추적도 점차 매서워지니까. 이럴 때 나 같은 생계형 해커들만 검거되기 쉽다. 불안해지니 술만 먹게 된다. 그래서 이번 달도 유흥비와 도박으로 대거 탕진했다. 수익 400만원, 지출 900만원

#10월, 돈이 없으니까 너무 불안하다. 암호화폐 거래소와 거래소 고객들 해킹도 쉽지 않은데다가 암호화폐 가격이 계속 떨어지고 있어 암호화폐 채굴도 수익성이 없다. 그래도 그전까지 암호화폐 채굴용 악성코드를 유포해서 PC 여러 대에 심어놓으면 많진 않아도 꾸준히 수입이 들어왔었는데... 암호화폐 채굴공장도 폐업이 속출하고 있다니 하긴 말 다했다. 그나마 지난 9월말부터 “이메일 계정을 해킹해 은밀한 동영상을 포함해서 모든 정보를 내가 탈취했다”고 속이는 ‘혹스(Hoax)’ 메일을 보내니 그대로 속아 넘어가 비트코인을 보내는 사람들이 꽤 있다. ㅋㅋ 얼마나 다행인지. 혹스 메일은 얼마나 고전적인 기법인가. 우리 선배 해커들이 써먹던 방식인데, 아직까지 통한다니 놀랍다. 수익 1,200만원, 지출 600만원

#11월, 다른 랜섬웨어는 이제 약발(?)이 많이 떨어졌는데, 갠드크랩 랜섬웨어는 버전 5까지 나오면서 올 한해 나에겐 가장 큰 도움이 됐다. 이력서로 위장하거나 무료폰트 다운로드 가능하다고 속이면 상당수가 넘어가고 마니까. 그래도 이걸로는 수익이 부족하다, 다른 루트를 뚫어야 하는데, 요즘엔 기업도 개인도 워낙 대응을 잘해 쉽지 않다. 이리저리 동료 해커들의 검거소식도 들리니 마음이 착잡하다. 수익 400만원, 지출 900만원(또 빚상환)

#12월, 최근 프레디 머큐리가 리드보컬로 활약했던 록그룹 퀸의 이야기와 히트곡을 담은 영화 ‘보헤미안 랩소디’가 화제라고 해서 야간작업하다 말고, 심야영화관을 찾았다. 그 이후엔 작업실에서도 퀸의 음악을 계속 틀고 산다. 퀸의 명곡 ‘보헤미안 랩소디’는 프레디 머큐리의 성정체성에 대한 고민을 담은 음악이라고 하던데... 나의 정체성은 무엇일까 잠시 생각해 본다. 해커라고 말하기에도 너무나 민망한 그냥 사이버범죄자 일뿐인 나. 잠깐 이렇게 심각하다가 다시 생각이 피싱 문구로 돌아간다. “영화 보헤미안 랩소디 싱어롱 표 10장, 무척 싼값에 팝니다” 이렇게 피싱 메일 보내면 많은 사람들이 속지 않을까? 12월 수익·지출 아직 진행형, 1~11월 결산: 수익 9,300만원, 지출 8,700만원
[권 준 보안뉴스/시큐리티월드 편집국장(editor@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)