서울 시민이라면 한 번쯤 타봤을 공공 자전거 따릉이, 그 서버가 뚫려서 회원 506만 명 중 450만 건이 넘는 개인정보가 해킹당했다. 그런데 더 기가 막힌 것은 이걸 잡고 보니 중학생 둘이 저지른 일이었다는 점이다. 대단한 인재라고 박수 치고 싶겠지만, 그건 완전히 잘못된 생각이다.
사건 전말은 이렇다. 2024년 어느 날, 경찰은 한 모빌리티 업체를 겨냥한 디도스 공격을 수사하고 있었다. 디도스란 쉽게 말해 특정 서버에 접속 요청을 한꺼번에 몰아넣어 마비시키는 공격이다. 식당 전화에 장난전화 수천 통을 동시에 걸어서 진짜 손님이 예약을 못 하게 만드는 것이라고 이해하면 된다. 경찰은 흔적을 따라가 범인을 잡고 장비를 압수, 분석했는데 거기서 엉뚱한 게 튀어나왔다. 바로 따릉이 회원 정보 450만 건이었다. 디도스 수사하다가 어쩌다 걸린 거다.
대단한 사실은 서울시설공단은 이미 2024년 7월에 이 유출 사실을 알고 있었다고 한다. KT 클라우드 용역업체 직원들이 유출 정황을 확인해서 보고서까지 올렸는데, 공단은 이걸 그냥 '못 본 척' 했다는 것이다. 개인정보 유출을 인지하면 72시간 안에 개인정보보호위원회에 신고해야 한다는 법이 버젓이 있는데도 말이다. 그 결과 1년 반이 넘도록 서버 취약점은 그대로 방치됐고, 따릉이 이용 시민 수백만은 자기 정보가 남의 컴퓨터에 있는 줄도 모른 채 태평하게 따릉이를 타고 있었다.
그럼 이 중학생들은 얼마나 대단한 실력자였을까? 결론부터 말하면 전혀 아니다. 이 친구들이 파고든 것은 '인가 처리 미흡' 정도로 추정되는 초보적인 취약점이다. 쉽게 설명하자면 이렇다. 필자가 은행 창구에서 "내 계좌 잔액 알려주세요"라고 하면 당연히 신분증을 확인한다. 그런데 따릉이 서버는 "옆자리 손님 계좌도 좀 알려주세요"라고 해도 그냥 주는 구조였다는 얘기다. 문이 열려 있어서 들어간 거지, 자물쇠를 딴 게 아니라는 뜻이다.
그래서 이런 사건이 터질 때마다 댓글창에 달리는 '저런 천재는 국가에서 데려가야 한다'는 반응은 진짜 오해다. 이들은 천재가 아니라 여기저기 문고리 잡아보다가 열려 있는 집에 들어간 것뿐이다. 게다가 실력을 정당하게 보여줄 길은 이미 많다. 버그 바운티 제도는 기업이 자사 서비스의 취약점을 찾아주는 사람에게 수백에서 수천만 원 포상금을 지급한다. 해킹 대회도 널렸다. 포트폴리오도 쌓이고 돈도 벌고 경력도 된다. 그런데 왜 굳이 남의 서버를 털어서 인생을 꼬이게 만드는지 이해할 수가 없다.
또 하나 짚어야 할 오해인데 저번에도 다뤘었다. 'VPN 쓰면 안 잡힌다, 해커는 못 잡는다'는 환상이다. 이전 글에서 여러 번 말했지만 다시 강조한다. 안 잡는 거지, 못 잡는 게 아니다. 사이버 수사대는 인력이 한정돼 있고 사건은 쏟아진다. 단순 악플이나 소소한 침투는 순번이 밀려 있을 뿐, 큰 피해가 터지는 순간 국내 해커는 다 잡힌다. 못 잡는 건 북한, 중국, 러시아 국가 지원 해커 정도인데, 전쟁 수준이 아닌 이상 애초에 잡을 루트가 없어서 예외다.
얼마 전 해외에서는 한 20세 남성이 호텔 예약 시스템 취약점을 이용해 170만 원짜리 방을 17원에 예약하다가 로비에서 체포된 사건도 있었다. 어린 친구들이 기술을 배우다 '이거 되네?' 하는 호기심이 생기는 건 이해한다. 하지만 그 호기심을 남의 집 금고에 실험하는 순간 인생 난이도는 지옥으로 전환된다.
사실 진짜 책임져야 할 쪽은 사실 중학생들이 아니라 서울시설공단이다. 중학생 둘이 찔러봐서 뚫릴 서버를 운영해 놓고, 뚫린 걸 알고도 1년 반을 방치한 공단의 안일함은 기술 문제가 아니라 자세의 문제다. 시민 506만 명의 개인정보를 맡아놓고 '못 본 척'이 조직의 대응 매뉴얼이라면 이건 해킹 사건이 아니라 배임 사건으로 봐야 한다. 이런 어린 학생들의 해킹 문제가 요즘 떠오르는 것도 AI의 발전이 불러온 악영향 중 하나로 생각한다. 국영수도 중요하지만 사이버 윤리와 보안 교육도 학교에서 필수로 교육해야되는 시대로 접어든 것이다.
> comments
댓글
댓글 쓰기