Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

Our Latest Insights

데이터, 비즈니스, 기업보안에 이르기까지 인텔렉추얼데이터의 전
문가들이 이야기하는 최신의 정보와 의견을 확인해보세요.

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

eDiscovery

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

 안녕하세요. 인텔렉추얼데이터입니다. 최근 연예계에서 핫한 이슈 중 하나가 바로 아이브 장원영과 유튜버 탈덕수용소 간 1억 소송입니다. 기존에도 많은 유튜버들이 인기 있는 연예인들에 대한 루머 등을 무분별하게 영상 콘텐츠로 제작하는 사례들은 많았지만 처벌이나 손해배상으로 이어지는 경우는 많지 않았습니다.그런데 이번 소송에서는 유튜브가 탈덕수용소의 신상을 미국 법원을 통해 공개함으로써 기존 연예인-유튜버 소송과는 다른 결과로 이어지고 있습니다. 더불어 신상공개에 결정적인 역할을 한 미국의 e디스커버리 제도가 관심과 주목을 끌고 있습니다. 국내 기업을 위한 e디스커버리 전문 기업, 인테렉추얼데이터가 이번 사건의 핵심, e디스커버리의 모든 궁금증을 해소해드리겠습니다.​허위사실 유포 유튜버의 처벌이 어려웠던 이유우선 탈덕수용소처럼 논란이 되는 콘텐츠를 생산하는 유튜버들을 처벌하기 어려웠던 이유부터 간단히 살펴보겠습니다. 국내법 상 방송 등의 매체로 명백한 허위사실을 유포하는 경우, 정보통신법상 명예훼손죄 등이 성립할 수 있습니다. 하지만 유튜브는 방송으로 분류되지 않아 방송법의 규제를 받지 않고, 유튜브 자체 심의 규정을 통해 유해 콘텐츠를 차단하거나 신고, 모니터링을 기반으로 콘텐츠를 삭제하는 등의 후속 조치를 합니다. 이 경우 콘텐츠를 제한할 수는 있으나 피해자가 가해자를 처벌할 강제력은 없다는 문제가 있습니다.이에 재판을 통해 처벌이나 손해배상을 제기하려고 해도 미국에 본사가 있는 유튜브의 특성 상 해당 계정 소유주의 신상을 파악하는 것이나 현지에서 수사를 진행하는 것 모두 매우 어려운 상황입니다. 바로 이런 점을 악용해 유튜브를 통해 허위사실을 유포하고 이득을 취하는 사람들이 지속적으로 생기고 있는 실정입니다.​e디스커버리 그리고 디스커버리 제도란?그런데 장원영 소속사와 탈덕수용소간 소송에서는 어떻게 유튜버의 신상을 밝혀낼 수 있었을까요? 핵심은 바로 미국의 디스커버리(증거개시) 제도입니다. 우선 디스커버리(증거개시) 제도는 e디스커버리(전자증거개시) 제도의 상위 개념입니다. 디스커버리 제도는 국내에서는 생소하지만 미국 등 영미법 체계 하의 국가에서 민사소송을 진행할 때 필수적으로 거치는 과정입니다. 본 소송이 시작되기 전 피고와 원고 모두 자신이 가진 재판 관련 정보를 완전히 투명하게 공개하고 상호 확인하는 절차를 디스커버리라고 합니다. 그 중에서도 전자문서, 이메일, 데이터베이스 등 전자적인 증거개시 절차를 e디스커버리라고 부릅니다. 이런 과정을 통해 본 소송이 시작되기 전이라도 귀책사유를 명확하게 상호 확인할 수 있고, 많은 경우 재판 전 상호 합의를 유도하여 재판의 절차와 비용을 절감하는 효과도 있습니다.​원고와 피고가 모두 정직하게 정보를 공개하는 것이 가능할까?e디스커버리 제도가 없는 우리나라 소송의 경우 원고와 피고 모두 자신에게 유리한 증거는 직접 수집해서 법원에 제출해야만 증거로서 인정받을 수 있습니다. 필연적으로 소송의 양측은 자신에게 불리한 증거를 절대 공개하지 않기 때문에 결정적인 증거를 찾는 일은 매우 어렵습니다.그렇다면 e디스커버리 제도가 있더라도 자신에게 불리한 정보는 공개하지 않는 것을 것이라고 예상하기 쉽습니다. 물론 미국 재판 사례 중에도 불리한 증거를 고의로 숨기거나, 혹은 유리한 증거를 조작하여 공개하는 사례가 존재합니다. 하지만 이런 사실이 발각되는 경우 사안의 중요성에 따라 징벌적 벌금에서부터 최악의 경우 재판 패소까지 매우 강력한 제재(Sanction)을 받을 수 있기 때문에 서로 공정하게 증거를 개시하는 것이 일반적입니다.​탈덕수용소의 정체를 밝힌 방법, e디스커버리 제도이제 e디스커버리 제도를 이해하셨다면 이번 소송에서 탈덕수용소의 신상이 밝혀진 방법도 쉽게 이해하실 수 있을 것입니다. 아이브 소속사는 미국 법원에 소송을 제기한 후 e디스커버리를 통해 공개된 탈덕수용소 운영자의 신상 정보를 취득할 수 있었습니다.앞서 e디스커버리에 대해 설명드린 것처럼 증거개시의 모든 정보는 투명하고 공정하게 공개되어야 하고, 고의로 정보를 숨기거나 왜곡할 수 없기 때문에 정확한 신상 정보를 획득할 수 있었던 것입니다. 이렇게 얻게 된 신상 정보를 기반으로 손해배상 소송을 진행해 장원영 소속사는 결국 1억 손해배상 소송에서 승소하게 되었습니다.​한국형 e디스커버리 도입에 대한 논의 활발이번 소송 건은 연예인 소송 과정 중 신상 정보 공개를 위해 e디스커버리 제도가 사용되었지만, 미국의 민사 소송, 특히 특허 소송과 같이 첨예하게 대립하는 소송 과정에서 증거개시제도는 매우 효율적으로 활용되고 있습니다. 무엇보다 이런 이유로 한국형 증거개시제도의 도입을 추진하는 목소리도 커지고 있습니다. 현재 국내 법원에서 민사 소송을 진행하는 경우 원고와 피고 양측의 증거 수집, 검토, 채택의 과정에서 매우 오랜 기간이 소요되기 때문에 효율적인 재판 진행에 어려움을 겪고 있습니다. 이 때문에 국내 기업 간의 특허소송을 미국에서 진행하는 경우도 있습니다.한국형 증거개시제도가 도입된다면 국내 민사 소송의 효율성과 투명성이 높아지는 계기가 될 것입니다. 다만 법률과 제도 개정 등 많은 과정이 필요하기 때문에 도입에 다소 시간이 필요한 것으로 생각됩니다.

Oct 08 2024

Archives

카카오페이 4,000만 명 개인정보 유출 논란! 진짜 문제는 보안 기술이 아니라 보안 정책?
카카오페이 4,000만 명 개인정보 유출 논란! 진짜 문제는 보안 기술이 아니라 보안 정책?

 유출 사태 핵심 쟁점 2가지, 해시 알고리즘과 애플 ID 개인신용정보 식별 여부 양측이 동일한 사안에 대해 정반대로 해석을 하고 있는 상황이라 향후 치열한 법리 다툼이 이어질 것이라는 전망도 나옵니다. 그런데 기술적 측면에서, 규제 준수라는 준법 적 측면에서 과연 문제가 없는 걸까요? 한번 천천히 이 사건을 곱씹어보도록 합시다. 핵심이 되는 쟁점은 두 가지입니다.하나는 SHA-256이라는 해시 알고리즘(금감원에서는 암호화 프로그램으로 표현하고 있습니다)을 사용했다는 것, 다른 하나는 애플 ID에 매칭되는 개인신용정보의 식별 여부입니다. 금감원은 카카오페이가 공개된 암호화 프로그램 중 가장 일반적으로 통용되는 암호화 프로그램인 SHA-256을 사용하였고, 해시 처리를 위한 함수에 랜덤 값을 추가하지 않고 전화번호/이메일 등 해당정보 위주로만 설정하였기 때문에 일반인도 복호화 가능한 수준으로 원본 데이터 유추가 가능하다고 했는데요.이 문제를 해석하기 위해서는 먼저 SHA-256(혹은 SHA-2)가 무엇인지 이해해야 합니다. SHA(Secure Hash Algorithm)을 활용한 데이터 암호화의 중요성SHA-2는 SHA-224, SHA-256, SHA-384, SHA-512를 총칭해서 부르는 말인데요. SHA는 Secure Hash Algorithm의 약자를 의미합니다. 안전하게 해시할 수 있는 알고리즘이라는 뜻으로 미 국가안보국(NSA)이 1993년에 처음으로 설계, SHA-0과 SHA-1을 거쳐 미국 국가 표준으로 지정한 알고리즘입니다.그렇다면 해시 함수(Hash Algorithm)는 무엇일까요? 해시 함수란 임의의 길이로 들어오는 데이터들을 고정된 길이의 데이터로 만들어주는 일종의 변환 도구입니다. 특히 이 해시 함수에 있어서 가장 중요한 요건은 충돌 저항성인데요. 주어진 입력값이 다른 경우에 동일한 해시 결과물을 발생시키지 않아야 한다는 것입니다.이를 활용하여 비밀번호를 사용할 때 적절하게 해시 함수를 적용하면 평문으로 입력된 데이터를 식별하기 힘든 고정된 길이의 데이터로 변환, 원래의 데이터를 복구하지 못하게 하면서 정합성 여부를 안전하게 검토할 수 있게 되죠. 서버나 데이터베이스에 비밀번호 평문을 저장하면 유출의 위험성이 있기 때문에 이런 방식을 택한 것입니다. 금감원측에서 문제를 제기한 것은 SALT를 더하지 않은 단순 SHA-256 해시를 사용해서 전화번호를 해시했다는 것입니다. SALT는 데이터, 비밀번호, 통과암호를 해시 처리하는 단방향 함수의 추가 입력으로 사용되는 랜덤 데이터입니다. 소금이 갑자기 암호 이야기에서 왜 나올까요?요리를 할 때, 우리는 맛을 내기 위해 소금이나 후추를 첨가합니다. 원래 해시 함수는 암호화를 위해 만들어진 것이 아니기 때문에 원문 데이터를 해싱하기 전에 임의의 데이터를 첨가하는 기술입니다. 이 SALT나 Pepper를 사용해서 보안 취약성을 보완하는거죠.두 방식의 차이는 개인마다 랜덤하게 생성되는 값으로 데이터베이스에 저장되는지(SALT), 모든 사람에게 동일하며 데이터베이스에 저장되지 않는지(Pepper)만 다를 뿐이죠. 개인 정보 유출 사태는 SALT를 사용하지 않아 발생한 문제? 금감원의 주장은 SALT를 사용하지 않아서 문제라는 겁니다. 한국에서 사용하는 휴대전화 번호를 구성하는 체계는 010-XXXX-XXXX로 총 10^9개의 조합이기 때문에 1억개의 전화번호-해시값 테이블만 만들어 놓으면, 해당 신용 정보의 주인이 어떤 전화번호를 사용하고 있는지 손쉽게 알아낼 수 있다는 것입니다.1억개의 SHA-256 해시값을 만드는데 걸리는 시간은 보통의 컴퓨터로도 10분이내에 가능한데요. 이런 해킹 방식을 '레인보우 테이블(Rainbow Table)'이라고 말합니다. 레인보우 테이블은 특정 해시 함수에 대해 입력되는 모든 값과 거기에 대한 모든 출력값이 어떻게 대응하는지를 정리해 놓은 자료입니다. 해시 값에 대해 이러한 테이블을 활용한다면 언젠가는 해당 서버에서 활용된 해시 함수를 유추하거나 비밀로 가려둔 평문을 해석하는 것이 가능해지기 때문입니다.그래서 SALT나 Pepper를 함께 사용해야 한다는거죠. 과거 2012년, SALT를 추가하지 않은 해시값으로 비밀번호를 만들었다가 해커에 의해 비밀번호 유추 공격을 받은 링크드인(LinkedIn) 사태를 생각하면 금감원의 지적도 일리가 있습니다. 휴대전화 번호체계가 가진 근본적 보안 취약점 그런데 금감원의 지적은 본질을 이해하지 못한 지적입니다. 바로 휴대전화 번호체계 자체에 치명적인 한계가 있다는 것입니다. 경우의 수가 1억 개 밖에 안돼서 SALT가 있으니 없으나 무관하다는 거죠.비트코인 등 암호화폐가 대두되면서 GPU를 사용한 해시 함수 사용이 매우 보편화되었고, 거기다 SHA-2를 풀기 위해서 존재하는 전용 ASIC(Application Specific Integrated Circuit, 주문형 반도체)가 다양한 중국 생산자들에 의해 저렴하게 시장에 풀렸기 때문에 더더욱 이런 문제는 심각해집니다.그래서 최근에는 SHA-2 + SALT를 사용한 암호화 기법보다 더 강력한 기법들이 추천되는 상황입니다. SHA 자체가 고속 처리를 위한 해시 함수에서 출발한 함수이기 때문에 보안을 계속 더해도 취약성 자체는 남아있기 때문입니다. 실제로 현대의 크래킹 기술에 0~9 사이의 숫자 8개 조합, 총 1억개 밖에 안되는 휴대전화 번호체계의 한계가 결합하면 SALT는 추정할 필요조차 없어집니다. 금감원의 지적에 구멍이 생겨버리는 겁니다.1억번 연산은 ASIC도 아니라 게이밍 GPU 수준에서 0.05초만에 찾을 수 있습니다. ASIC을 사용하면 거기에 10만배(10^5)만큼 더 빨라지겠죠. 실제 SALT는 해시의 시도횟수를 SALT의 엔트로피만큼 증가시키기 위해 있는 것이 아니라, 레인보우 테이블 공격을 막기위해 존재하기 때문이죠. 전화번호라는 모든 테이블이 확보되어 있다면, 현실적으로 단순대입법(Brute Force) 공격을 막을 수 없습니다. 보안성이 더욱 강화된 다양한 해시 알고리즘들 정말 문제는 최근 암호학계에서 추천되는 Argon2, Balloon Hashing과 같이 GPU를 사용한 공격에 저항성을 극대화한 알고리즘을 사용하지 않고 SHA-2에 집착하고 있는가 하는 것입니다.Argon2의 경우 연산 시간 및 메모리 사용 정도를 조절하여 알고리즘의 복잡성을 더욱 강화할 수 있으며, 현재까지 알려진 공격에 대해 강력한 보안성을 제공한다는 장점이 있습니다. Balloon Hashing은 이와 반대로 비밀번호와 SALT를 반복적으로 해시하여 보안성을 보다 강하게 확보하는 접근 방식을 택했죠. 굳이 최신 기술이 아니라도 됩니다. 과거에 만들어진 BCrypt 역시 아직도 유효합니다. Bcrypt는 강력하긴 하지만 GPU가 만들어지기 전에 설계된 해시 함수라서 GPU를 사용한 공격에 취약하다는 한계점이 있죠. 하지만 그럼에도 불구하고 해시 함수 처리 자체가 느려서 단순대입법 공격에 대한 강한 저항성을 확보하고 있는데, 그것만으로도 상당한 보안적 이점을 제공합니다.과거에 만들어진 알고리즘은 해시를 복잡하게 여러번 해서 연산 자체를 느리게 하는 것에 집중했는데(PBKDF2, BCrypt) 컴퓨팅파워가 좋은 요즘은 메모리 자체의 저항성 확보(Memory-hardness)에 집중합니다. 이 방식을 적용한 해시 함수가 Argon2, Balloon이죠. 카카오페이가 개인정보 데이터에 SHA-2 사용을 고집한 진짜 이유? 이런 상황임을 알면서도 카카오페이는 왜 하필 SHA-2를 썼을까요? 놀랍게도 이건 한국 규제 당국에서 정한 안전한 암호 알고리즘으로 정해져 있기 때문입니다. 2020년 12월에 개인정보보호위원회와 한국인터넷진흥원이 발간한 「개인정보의 암호화조치 안내서」에 따르면 안전한 일방향 암호 알고리즘은 'SAH-224/256/384/512'로 SHA-2로 규정되어 있습니다.문서에는 "권고 암호 알고리즘은 기술변화, 시간 경과 등에 따라 달라질 수 있으므로 암호화 적용 시 국내외 암호 관련 연구기관에서 제시하는 최신 정보를 확인하여 적용이 필요하다"고 기록되어 있지만, 문제는 공무원들이 이 문서화된 근거에 따라서만 판단하다보니 "SHA-2가 아니면 안된다"고 판단하고 규제를 하게 된 것입니다. 보안을 지키자니 보안 규제에 어긋나서 인증을 받을 수 없고, 인증을 받고 보안 규제를 지키자니 보안을 포기해야 하는 딜레마가 발생하는 겁니다. 또 다른 쟁점, 애플 결제시스템을 위한 NSF 스코어 두 번째 쟁점은 NSF 스코어입니다. 애플은 애플ID 일괄 결제를 위해 애플 결제시스템 운영에 필요한 고객 신용점수인 NSF 스코어(Non-Sufficient-Funds)를 제휴 선결 조건으로 요구한 바 있습니다. 금감원 관계자는 "NSF 스코어 산출 명목이라면 산출 대상 고객의 신용정보만 제공해야 하는데 전체 고객의 신용정보를 제공한 것은 이해하기 어렵다"며 "신용정보 처리 위탁에 해당하기 위해선 카카오페이의 관리 하에 알리페이가 정보를 처리하는 등 여러 요건을 만족했어야 한다"고 지적했는데요.카카오페이측은 이에 대해 "애플의 앱스토어 결제수단 제공을 위한 정상적 고객 정보 위·수탁"이라고 해명하면서 신용정보법 17조 1항을 근거로 들었습니다. 법령에 따르면 개인신용정보의 처리 위탁으로 정보가 이전되면 정보 주체의 동의가 요구되지 않는 것으로 규정되는데, 해당 정보는 위탁자인 카카오페이가 원활한 업무 처리를 위해 제3자에게 정보 제공을 하는 것이라 사용자 동의가 불필요하다는 주장이죠.금감원은 이에 대해 다시 반박하면서 "이번 사례를 업무 위·수탁으로 보려면 알리페이 같은 전자지급 결제대행(PG)의 본업이 NSF 스코어 산출이어야 할텐데 PG사의 일반적 업무는 대금결제"라며 "카카오페이는 업무 위·수탁 계약서를 제출하지 못했고, 알리페이를 관리·감독했다는 증거도 없었다"고 강조했습니다. 카카오페이는 다시 "누구의 정보인지 식별할 수 없는, 절대 해독이 불가능한 정보를 전달했기 때문에 신용정보법상 위반사항이 아니다"고 입장을 밝혔습니다. 망분리 정책으로 보는 보안 정책의 현실과 한계 두 번째 문제의 쟁점 역시 '해독 가능성'의 여부인데요. 결국 SHA-2가 인정되는지 아닌지를 검토하는 해시 함수의 선정 문제로 넘어가게 됩니다. 규제에 의해서 보안이 역으로 해쳐지는 이런 문제는 다른 곳에도 있습니다. 바로 망분리입니다.한국에서는 앞서 언급한 SHA-2와 같이 망분리를 안전을 위해 강제하고 있습니다. 하지만 망분리는 수많은 방법 중 하나일 뿐이지 만병통치약이 아니에요. 이 방법을 강제하니까 당국과 은행 등 다양한 기업은 망분리에 모든 보안을 의존해버립니다. 그 덕분에 분리된 망 안쪽엔 아무런 규제가 없고, 보안사고가 발생해도 "망분리를 무력화했으니 어쩔 수 없다"며 면피할 수 있게 됩니다.법적으로도 책임이 사라지죠. 국가에서 권고한 대로 한 거니까요. 이런 정책은 세계 어디에도 없습니다. 대부분의 나라에선 수단을 규제하는 것이 아니라 최종 목적인 보안을 지키지 못했을 때 징벌적 처벌을 하죠. 지금과 같이 수단을 규제하고, 사고가 생겨도 규제를 완벽히 다 지켰으므로 책임이 덜어지고 처벌이 경감된다면 그 누구도 보안 사고 방지에 대해 깊은 생각을 하지 않을 것입니다. 실제 현행 보안 체계는 '은행의 업무 편의'나 '기업의 면피'에 모든 것이 맞춰져 있는 경우가 많습니다. 규제당국이 업무를 최소화하려는 경향, 책임을 회피하려는 경향과 징벌적 손해배상을 거부하려는 기업들의 압박이 결합되어 실질적인 보안 효과는 없지만 허례허식으로만 작동하는 보안체계가 상당히 많습니다.우리는 이런 부분에 대해 집중해야 합니다. 계속 의문을 제기하고, 기업들이 보다 실질적인 보안 대응을 하도록, 당국은 기술의 발전과 별개로 폭넓게 기업의 책임을 다룰 수 있도록 꾸준히 의견을 내야겠죠 최근 북한의 방산업체에 대한 공격 사고가 다수 발생하고 있습니다. 북한의 공격이니 어쩔 수 없다고 생각해선 안됩니다. 옛날에쓰이던 보안 기술/방식에만 안주하고 있으니 그 북한에게도 기밀 유출 사고를 당하고, 국가 핵심 정보들이 다량 유출된거죠. 단순법령이 제정되던 시기에 써먹을 수 있는 기술만을 권고하는 것이 아니라, 실체적인 문제에 집중하고 이를 해결하기 위해 최선을 다할필요가 있습니다.인텔렉추얼데이터는 기업의 중요 데이터를 취급하는 eDiscovery 진행 시 발생 가능한 보안 위협에 대해 다각도로 분석하여 철저히 대비하고 있습니다. 또한 최신 보안 기술을 활용하고, 최신 공격 방식에 대한 연구와 내부 담당자 교육을 기반으로 데이터 보호에 최선을 다하고 있습니다. 신뢰할 수 있는 eDiscovery 서비스가 필요하다면 대한민국 eDiscovery의 절대적 기준, 인텔렉추얼데이터를만나보세요. 

Sep 30 2024

망분리 의 종말? 뉴 노멀이 온다! 변화하는 보안 규제 정책과 보안 전문가가 알아야 할 대응 전략
망분리 의 종말? 뉴 노멀이 온다! 변화하는 보안 규제 정책과 보안 전문가가 알아야 할 대응 전략

점차 복잡해지는 협업 관계, 취약해지는 정보 보안넷플릭스는 TheWrap에 이 사태에 대해 성명을 보냈습니다. 넷플릭스는 "후반 제작 파트너 중 하나가 침해를 당했다”고 했는데요. 며칠 뒤 Los Angeles Times에서는 또 다른 피해자인 <크런치롤(CrunchRoll)>의 성명 역시 게재되었습니다. 이후 조사를 통해 자막, 번역, 언어 더빙 서비스를 담당하는 Iyuno Inc에서 유출되었음이 확인되었는데요. 이 사건은 OTT 산업을 구성하고 있는 회사 간의 복잡한 협업관계가 얼마나 보안에 취약한지를 잘 보여주는지, 이런 복잡한 디지털 공급망 사이에서 민감한 콘텐츠를 보호하기 위해 어떤 보안 조치의 어떻게 해야 할지를 잘 보여줍니다.이런 사례에서 볼 수 있듯 각 회사가 점점 복잡한 IT 작업을 요구하고, 모든 관련 역량을 자체적으로 보유할 수 없다는 현실적인 한계가 점점 대두되고 있는데요. 지금까지 망 분리 하나를 믿고 내부 보안에 엄격한 관리를 하지 않았던 한국 금융권 역시 신경을 쓸 수밖에 없게 되었습니다. 실제로 금융위원회는 지난 8월 13일, <금융분야 망 분리 개선 로드맵>을 발표했죠. 이는 2013년 금융사의 대규모 전산망 마비를 계기로 망 분리 규제를 도입한 이후 10년 만에 나온 본격적인 개선책인데요. 이 로드맵에서는 금융회사 내부 전산망의 인터넷 연결을 막는 금융권 망분리 규제를 단계적으로 완화하는 내용을 담고 있습니다. 이르면 올해 말부터 국내 금융사도 Chat-GPT 등 생성형 인공지능(Gen AI)을 업무에 활용할 수 있고, 클라우드와 연결된 소프트웨어(SaaS)도 폭넓게 사용할 수 있게 됩니다.  망 분리 보안 정책 완화로 인해 예상되는 변화와 고민하지만 카카오페이 사건때와 동일한 문제는 이어지고 있습니다. 그동안 망분리만 믿고 보안에 대해 깊은 고민을 하지 않았던 만큼 그 이상의 투자와 고민을 해야 하게 되었으며, 또한 법적으로도 금융회사의 투자와 책임을 촉진하는 정책이 개선, 시행되어야 망 분리 규제 완화가 실효를 거둘 수 있을 것입니다.망분리는 해킹 등 외부 공격으로부터 금융사 내부 전산망을 보호하기 위해 내부망과 외부망을 분리하는 네트워크 보안 정책인데요. 이 규제로 인해, 금융사들은 내부 전산망과 단말기를 인터넷과 연결되는 외부망과 분리해왔습니다. 예를 들어, 은행 창구 직원의 컴퓨터는 외부 인터넷을 쓸 수 없는 것이죠.그런데 이렇게 보안을 명분으로 도입된 망분리 규제는 책임을 회피할 수 있는 '만능 방패'로 변질, 회피 수단으로 악용하게 되면서 금융권은 어느새 갈라파고스가 되었죠. 물론 금융공동망 같이 전용으로 작동해야만 하는 금융권 특유의 제도도 있습니다만, 망분리에만 지나치게 의존하다보니 IT서비스와 금융 관련 보안에 대한 연구개발이 어렵고, 업무 비효율이 늘어났던겁니다.금융당국은 샌드박스를 통해 당장의 규제 애로를 해소하고 별도의 보안대책을 부과하는 방식으로 망분리 완화에 나선다고 밝혔는데요. 먼저 금융사 내부 전산망의 인터넷 활용 제한을 일부 풀어 생성형 AI 활용을 허용하며, 이전까지 비 중요 업무에만 사용 가능했던 SaaS 이용 범위를 보안/고객관리까지 넓히고 모바일 단말기 사용도 허용됩니다.또 가명화된 개인신용정보는 생성형 AI나 SaaS를 활용해 처리할 수 있도록 했습니다. 하지만 금융사는 보안 우려에 대한 대책을 마련해야 하며, 오픈AI 등 해외 사업자가 금융사/당국의 검사/감사에 협조할 의무가 있음을 계약 시 반영해야 합니다.망 분리 완화 실효성의 전제 조건, 보안 사고 책임에 대한 제도 개선금융위는 연내에 혁신 금융서비스를 지정하고, 1단계 샌드박스의 성과와 안전성이 검증되면 내년에는 2단계 샌드박스를 추진해 가명 처리되지 않은 개인신용정보까지 처리할 수 있도록 할 예정입니다. 중장기적으로는 <디지털 금융보안법>을 제정, 금융사에 보안을 자율적으로 맡기되 결과에 대해서는 과징금 등 강화된 책임을 묻는 자율규제 체계를 구축한다는 방침이죠.하지만 이 로드맵, 정책의 효과를 아직 판단하기에는 이르다고 생각됩니다. 구체성이 떨어지기 때문입니다. 이런 망 분리 완화 규제가 실효성을 가지려면, 금융사들이 사고의 책임을 떠넘기는 것이 아니라, 보안 사고에 대한 책임을 확실하고 막중하게 질 수 있도록 명시하는 제도 개선이 선행되어야 합니다.실제로 많은 사고에서 최고보안책임자(CSO)를 자르는 것으로 슬쩍 넘어가는 경우가 많았는데요. 한 보안전문 임원은 "임원이 임시직원의 줄임말 이라고들 하지만, 특히 최고보안책임자의 수명은 가장 불안정하고 짧습니다. 보안침해 사고가 발생하면 그날로 끝이죠. 그게 몇 개월이 될지 몇 년이 될지 아무도 알 수 없습니다.더 큰 문제는 그렇게 누군가 책임을 지더라도 기업의 보안 환경은 개선되지 않는다는 것입니다."라고 말하기도 했습니다.랜섬웨어, 디도스 등 사이버 위협이 급증하고 있고 IT 환경의 변화로 점점 더 개방을 해야 하는 상황이 되고 있지만 상당수 기업은 보안 침해로 인한 책임을 회피하는 것에 급급한 수준입니다. 이 과정에서 보안 전문가인 CSO는 기업에 대한 부정적인 이미지와 사업주(오너)의 처벌을 방지하기 위한 방패막이 역할에 머무르는 경우가 상당수가 되었던 것이죠. 업계에 따르면 국내에서 보안 사고로 CSO가 해고되는 사례가 빈번해지고 있는데요.보안 사고 해결책은 담당 임원 해고? 달라지고 있는 사고 대응 방안과거 해외에서도 보안 사고의 책임을 물어 임원을 해고하는 사례는 있었습니다. 캐피탈원은 2019년 1억 명이 넘는 고객 개인 정보를 탈취당하는 사고로 인해 당시 최고정보보안책임자(CISIO)였던 마이클 존슨을 해고, 마이크 이슨 CIO로 교체했고, 타겟은 2013년 크리스마스 결제시스템을 통해 침투한 해커들로 인해 약 4천만 명의 고객 결제 정보를 탈취, 최고정보책임자(CIO)인 베스 제이콥을 해고했습니다.하지만 2021년 이후에는 변했습니다. 보안 사고로 인해 임원의 책임을 물어 사직하는 비율이 줄어드는 추세인데요. <카스퍼스키>의 보고서에 따르면 2021년에는 보안 사고로 인해 IT 및 보안 임원을 해고하는 기업 비율은 약 4%로, 7%를 기록한 2018년 대비 40% 이상 줄었습니다. 기업들이 누군가에게 책임을 묻기보다 내부 전문성을 유지하고 강화하는 방식으로 보안 사고에 대응하는 방식에 변화가 생겼기 때문이죠.국내에서도 보안을 위한 시스템 설계나 구축, 보안 사고 대응방식에 변화가 필요합니다. 단순히 정부나 기관의 규제, 인증을 받고 끝나는 것이 아니라 <제로-트러스트>를 기본 개념으로 깔고 전문화된 보안 조직의 수립이 필요한 거죠. 제로-트러스트는 시스템이 이미 침해된 것으로 간주하고 정보 시스템 등에 대한 모든 접속 요청을 신뢰하지 않고 계속 인증하는 보안 개념인데요. 금전적 이득이나 정치적 목적 등으로 기업이나 조직을 노리는 공격 사례가 급증하고 있고 AI을 이용한 자동화 도구와 기업 침투를 위한 자격증명 등을 판매하는 인포스틸러의 등장으로 침투는 더욱 쉬워지고 위험성은 높아지는 상황이 되었습니다.제로-트러스트 기반의 실시간 탐지와 대응 전략제로-트러스트는 침투 기술의 급격한 발전 뿐 아니라 사이버범죄 조직의 증가와 더불어 복잡해진 업무 프로세스로 인한 휴먼 에러 등으로 침투 자체를 외부에서 모두 막는 것이 불가능하다는 것을 인정하는 대신, 내부에서 추가적인 확산을 막고 시스템을 장악하거나 중요 데이터를 유출하기 전에 감지하고 대응하는 전략입니다. 백신, 방화벽 등을 비롯해 엔드포인트 감지 및 응답(EDR), 침해평가(CA) 등의 추가 보안 시스템을 도입하는 것이죠.단순히 담당자나 팀에게 책임을 묻는 것이 아니라, 조직과 국가가 큰 틀을 잡고 침투하는 위협을 빠르게 감지하고 실시간으로 대응해 피해를 최소화하는 것에 대한 보상을 제공하는 것이 필요할 수 있습니다. 한 전문가는 "침해 자체에 대한 책임을 보안 담당자에게 묻는 것은 불가능한 일을 해내라는 말과 동일하다"며 "마이크로소프트나 구글 등 대규모 보안 조직을 갖춘 글로벌 빅테크도 보안 사고가 발생하고 있다. 이제는 보안 담당자에게 책임을 묻는 것이 아니라 심각한 보안 문제를 해결한 담당자나 조직이 보상을 받을 수 있는 구조를 만들어야 한다" 고 말하기도 했습니다.또 다른 보안기업 임원은 "시스템이 복잡해진데다 규모가 커지고 끊임없이 업데이트 하는 과정에서 보안 취약점은 자연스럽게 발생할 수밖에 없다"며 "해외 기업들은 이를 적극적으로 알리고 연구하면서 침해사고에 대한 역량을 확보하고 취약점을 최소화하고 있는데 국내에서는 보안 취약점이 발생하면 기술력이 부족하거나 보안에 대한 충분한 대처를 못했다는 인식이 있다"고 언급했습니다.금융회사의 규제 해제는 시작일 것입니다. 더 많은 개방의 바람이 몰려올 것이고, 협업은 점점 더 많아질 것이며, 취약점은 점점 더 많이 노출될 것입니다. 이런 상황에서 국가와 기업은 지금까지 생각하던 보안에 대한 인식이나 방향성을 완전히 바닥부터 새로 설계해야 할 것입니다. 점점 더 발달하는 공격수단을 막지 못하고 도태된다면, 그 말로는 어떤 말로도 말할 수 없을 정도로 끔찍해질테니까요. 

Sep 30 2024

무심코 SNS에 올린 셀카, 딥페이크의 타겟? 개인을 노리는 지능형 해킹, AI와 보안의 무서운 결합
무심코 SNS에 올린 셀카, 딥페이크의 타겟? 개인을 노리는 지능형 해킹, AI와 보안의 무서운 결합

N번방 사건이 터진지 얼마 되지도 않은 것 같은데, 다시 전국을 뒤흔들만한 사건이 발생했습니다. 이번엔 친구나 지인 사진에 음란물을 합성하는 '딥페이크' 범죄가 발생한 것입니다. 피해는 갈수록 눈덩이처럼 불어나고 있는데요. 이는 누구나 쉽게 불법 합성물을 만들고 퍼트릴 수 있기 때문입니다. 사진 한 장만 있으면 알아서 불법 합성물을 만들어주고 비공개 사진까지 해킹해 주는 텔레그램 봇들이 수천 개, 사용자는 수십만 이상에 달합니다.간단한 봇을 활용한 비공개 소셜미디어 계정 해킹이런 봇들 중에는 소셜 미디어를 해킹해 주는 봇도 있는데요. 사진도용을 막기 위해 SNS를 비공개로 바꾸면 해킹으로 뚫어 해당 SNS 채널에 있는 사진을 크롤링, 딥페이크 음란물을 합성하는 용도로 사용하는거죠. 딱히 제약이 있는 것도 아닙니다. 아무나, 누구나 들어갈 수 있습니다. 비공개 계정으로 돌리건, 하이라이트를 내리건 보관함 자체를 해킹해버리는데 답이 없습니다.사실 이런 문제는 올해 초부터 문제가 되기 시작했습니다. 등장 당시에는 조롱의 대상이었던 이 신기술이 급격하게 발전, 이제는 진짜와 가짜를 구분할 수 없을 정도로 강력해졌습니다. 보안업체 iProov CTO 도미닉 포레스트는 "보안 전문가로서 수십 년 동안 가짜와 진짜를 구분하는 일을 해왔고, 그 일에 상당히 자신이 있었는데 (딥 페이크 기술 때문에) 2020년경 부터는 구분이 어렵다고 느꼈다"고 말했습니다.  생성형 AI로 인해 획기적으로 낮아진 합성 난이도생성형 AI 기술이 발전하면서 딥페이크에 접할 수 있는 창구가 늘어나고 딥페이크를 사용한 합성 난이도가 상당히 낮아졌다는 것 역시 문제입니다. 아니 이것이 핵심입니다. 생성형 AI 사용의 기술적, 가격적 진입장벽이 차차 내려갔습니다. 2010년대만 하더라도 AI와 딥페이크를 다룬다는 건 전문가의 영역이었고 작업의 난이도도 매우 높은데다, 강력한 컴퓨터가 필요하고 성능도 애매했습니다. 하지만 지금은 아닙니다. 간단한 앱을 무료로 다운로드 하거나 수십 달러 정도의 돈만 내면, 심지어 요즘은 전문화된 봇까지 등장하여 양질의 딥페이크 콘텐츠를 누구나 만들 수 있게 된 것입니다. 지금 가장 큰 문제가 되는 것은 얼굴 교체입니다.Face Swapping이라고도 불리는데요. 이런 얼굴 교체 전문 도구가 올 초부터 다크웹에서 급증, 수백에서 수천개까지 나돌기 시작했습니다. 다크웹이 아니더라도 마찬가지입니다. 정상적인 경로를 통해서도 얼굴 교체 기능이 있는 앱들은 얼마든지 찾을 수 있습니다. 지금 시점에서 이 기술은 딱히 신기하지도, 특별한 기술이 필요하지도 않습니다. 포토샵 등을 통해 음란물을 한땀 한땀 위조하는 시대는 더 이상 지났다는 겁니다. 이제 실제 사람의 모습과 행동이 담긴 3분짜리 영상과, 그 사람이 실제로 말한 문장 100개만 있으면 딥페이크로 어떤 내용이든지 가짜 영상을 만들 수 있습니다. 가짜 영상은 실제와 구분이 불가능할 정도로 정밀합니다.그러나 구독자 수가 119만에 달하는 유튜버 '뻑가'는 이번 텔레그램 딥페이크 사태에 대해 "호들갑을 떤다", "(사건을 공론화하는) 사람들 보면 이런 (음란물) 정보에 밀접하게 반응하고 참여하고 있다고 보면 된다"고 비난했습니다.또 문제를 제기한 박지현 전 더불어민주당 비상대책위원장에 대해서는 "또 신나게 나와서 22만명 이렇게 선동하고 있다. 아주 눈에 불을 켜고 남혐(남성혐오)하려고 한다. 무슨 국가 재난이냐, 미쳐가지고"라고 맹비난했습니다.이 유튜버는 텔레그램 음란물 봇 채널 참여자 22만명에 대해 "저게 전 세계 사람들 다 모여 있는 단체방이다. 수치적으로 한국인의 텔레그램 이용자 수는 전 세계에서 0.33%다. 22만명의 0.33%는 726명 밖에 안된다"라는 논리를 폈습니다. 이준석 개혁신당 대표 역시 이 수치를 근거로 똑같은 주장을 폈습니다. 별 일 아니라는거죠.딥페이크, 음란물 제작을 넘어 개인정보 유출의 문제하지만 이번 사태의 본질은 타인의 사진을 이용해 음란물을 제작하고 공유하는 범죄 행위 그 이상이라고 봐야 합니다. 이 사건의 본질은 다양한 해킹 기법과 AI가 결합하여 좀 더 파괴적인 결과물을 낳은 개인 대상 APT 공격이라 보는 것이 맞습니다. 정부는 텔레그램 해킹 주의보를 발령하고 2차 인증을 설정하라고 했지만, SNS 해킹 봇과 결합해서 이미 감당할 수 없을 만큼 규모가 커졌다는 것을 생각해보면 문제는 이후 더욱 커질 가능성이 큽니다. 실제 2018년 당시 인스타그램 커뮤니티 내에서 해킹 관련 소식이 급증한 적이 있었는데요. 일부 계정을 복구했더니 러시아발 공격 흔적이 나오기도 했습니다.인스타그램은 당시 대변인을 통해 "계정에서 해킹이 발생한 걸 인지하면 인스타그램에서는 해당 계정에 대한 접근을 차단하고, 계정 원래 주인이 계정 복구 절차를 밟도록 안내를 해줍니다. 여기에는 비밀번호 리셋 등이 포함됩니다."라고 말했지만, 크롤링은 초 단위로 진행되는지라 해킹이 한번 발생한 후에는 어떤 방법으로든 감당할 수 없게 됩니다. 심지어 한 사용자는 이중인증 옵션을 사용하고 있었는데도 해킹을 당했다고 주장하기도 했습니다. 창과 방패의 싸움에서 더 이상 방패가 제 기능을 못하게 된 것입니다.전문가들은 당시 이 공격 목적에 대해 "많은 인스타그램 계정을 스팸 봇 등으로 활용하기 위해서일 것"이라고 분석했지만, 지금 상황은 조금 더 나쁘게 돌아가고 있습니다. 청주 한 중학교 재학 중인 B양은 "지난 20일 자고 일어났더니 새벽에 경기도 용인에서 인스타그램 계정 로그인이 된 기록이 남아있었다"면서 "SNS 사진을 해킹을 한 뒤 딥페이크로 재생산해 텔레그램 방에 판다는 소문을 들어 너무 불안하다"고 말하기도 했습니다.굳이 해킹을 하지 않아도 됩니다. 글래사그램을 위시한 소위 '인스타-스파이'라는 프로그램들이 유통되고 있기 때문입니다. 이 앱은 복잡한 해킹 없이 인스타그램의 취약점을 이용해 다른 사람의 스토리를 몰래 확인하고, 크롤링 할 수 있게 해 줍니다. 이 과정에서 완벽한 익명성이 보장되기 때문에 더욱 문제가 됩니다. 이 앱은 안드로이드 및 iOS 기기에서 작동하는데요. 비공개 계정이라 하더라도 최대 8-10일이 걸릴 뿐, 일단 핸들네임이나 URL만 알게 된다면 대부분의 비공개 계정의 보관함에도 접근할 수 있게 해 줍니다. 설치를 위해 상대방의 기기에 접근할 필요 없이 계정 아이디만 알고 있으면 추적이 가능하죠. 상대방이 주고받은 메시지나 민감한 정보를 보는 것은 불가능하다지만, 원래 공격자들의 목적이 얼굴이 나온 사진 한 장만 확보하면 되기 때문에 아무런 문제가 되지 않습니다.N번방 사건과 유사한 사회공학적 해킹과 피해 사례거기다 더해 한번 이렇게 딥페이크 음란물이 만들어지면 거기서 파생되는 사회공학적 해킹도 문제가 됩니다. 성범죄자들은 피해자와 그 지인에게 개인정보를 자동으로 수집하는 피싱 링크를 보내고 신상정보를 알아냈다며 협박했습니다. 피해자에게 해킹 프로그램이 심어진 링크를 보내고 이를 빌미로 성착취를 했던 N번방 수법과 동일합니다. 경찰이 수사에 착수했지만 일부 가해자들은 "합성 좀 했다고 벌받는 게 말이 되느냐"는 행태를 보이기까지 했습니다. 딥페이크 음란물 합성 채팅방 참여자들은 피해자에게 신상정보를 요구하는가 하면 "어느 학교에 다니는 누구인지 이름을 말하면 합성한 사진을 올려주겠다"고 조롱하기도 했는데요. 소위 '지인능욕 링공방'에선 N번방 가해자들의 범행 수법을 답습한 2차 가해도 이뤄졌습니다.텔레그램의 경우 대화방 운영자가 방 검색을 허용하지 않게 설정할 수도 있는데요. 원하는 봇을 사용하기 위해서 봇이 있는 대화방에 들어가기 위해선 입장 링크를 알아야 합니다. 이런 링크를 공유하는 곳을 줄여서 '링공방'이라고 합니다. 참여자들은 피해 사실을 확인하러 온 여성들에게 "여기는 링공방이라 사진이 없다. 딥페이크방 주소를 알려주겠다"며 입장 링크를 보냈지만, 이 링크는 피싱 링크였습니다. 링크를 클릭하면 사용자의 IP 등 개인정보가 유출되도록 해킹 코드가 심어져 있었던거죠.이는 과거 N번방 가해자들의 범행 수법과 동일합니다. 딥페이크 가해자들도 별반 다르지 않았습니다. 피해 사실을 확인하러 온 여성에게 "내가 보낸 링크를 눌렀냐", "네 전화번호와 IP가 모두 털렸을 것"이라고 협박했습니다. 심지어 가해자들은 죄의식을 느끼지 못하는 것처럼 보이기까지 했습니다. 오히려 한 주만 지나면 다른 이슈에 묻힌다며 자신만만한 태도를 보이기도 했죠. 해당 방 참여자들은 "합성 좀 했다고 벌을 받는 것이 법치국가가 맞느냐"며 "딥페이크 봇은 중국과 미국에서 만든 것이라 한국사람 다 잡혀가도 딥페이크는 없어지지 않는다"고 말하기도 했습니다. 다양한 해킹 수단의 결합이 불러 일으킨 거대한 보안 문제사건의 해악, 그리고 사용자들의 2차 가해 문제를 모두 접어두더라도 이번 사건은 생성형 AI와 SNS 해킹 도구, 그리고 사회공학적 해킹이라는 복합적인 공격 수단이 모두 결합하면 얼마나 무서운 변종이 되었는지를 보여주는, 보안적으로도 매우 중요한 사건이라고 볼 수 있습니다. 이 사건은 단순히 음란물 합성에 그치지 않을 것입니다. 이미 사람이 맨눈으로 딥페이크로 만든 영상을 보고 진짜와 가짜를 식별하는 건 불가능해졌다고 하는데요. 이런 결과물이 신분 도용 등에 활용, 금융 인증 등에 사용되기 시작한다면 어떻게 될까요? 심지어 이런 음란물을 합성하는 봇들은 작업 과정에서 되먹임 과정이 발생, 생성형 AI를 더욱 강하게 학습시켜주며 AI를 강화시킵니다. 문제는 이 점입니다. 생성형 AI에서 가장 큰 문제가 되는 것은 적절한 수준의 학습 데이터를 수집하는 것인데요.최소한의 데이터를 학습시켜 어떻게든 딥페이크 음란물을 만들어 내고 공격자들에게 공유할 수 있게 되면 음란물을 원하는 악성 사용자들이 데이터를 자발적으로 가져다주며 악성 인공지능의 학습을 더욱 빠르게, 강하게 만들어 주는 것입니다. 거기다 SNS 해킹/크롤링 봇, 피싱 링크가 결합하여 더욱 파괴력이 강해진 것이죠.이 문제는 단순히 청소년의 일탈이나 개인의 부주의로만 접근해서는 안 됩니다. APT(Advanced Persistent Threat) 공격과 동일하게 복합화 된 공격이, 자동화된 인공지능 도구를 통해 개인의 내밀한 사생활을 뚫고 들어가는데까지 악용되고 있다는 점에서 이제는 개인마저 기업 레벨, 아니 그 이상의 보안성을 요구하는 시대가 되어버렸다고 봐야 한다는 것입니다. 

Sep 30 2024

eDiscovery가 궁금하다면
지금 바로 전문가와 상담하세요.

전문가 자문 받기