누가 내 ID와 패스워드를 훔쳐갔지?

                                                                      백건우

PC방을 자주 가는 김대리는 오늘도 퇴근을 하고 게임방에서 온라인 게임을 하고 있다. 리니지, 바람의 나라, 스타크래프트, 에이지 오브 엠파이어를 하고 사이버 증권사에 가서 김대리가 샀던 주식 시세가 어떻게 되었는지 검색했다.

물론, 회원 가입이 되어 있는 사이트에서는 자신의 아이디(ID)와 패스워드를 입력하고 들어갔다. 몇 시간을 PC방에서 보내고 김대리가 집으로 돌아가자 김대리가 앉았던 자리에 어떤 사람이 곧바로 앉았다.

그는 탐색기를 열어 어떤 프로그램을 불러내더니 그 안에 들어 있는 내용을 보고 만족스러운 웃음을 지었다. 거기에는 김대리가 입력한 ID와 패스워드가 고스란히 나타나 있었다.

자신이 키보드로 입력한 내용이 고스란히 누군가에게 보여진다면 어떻게 될까? 인터넷에는 회원으로 가입한 많은 홈페이지들이 있고 인터넷으로 은행거래도 하기 때문에 ID와 패스워드가 노출된다는 것은 자신의 지갑을 잃어버리는 것과 같다.

게다가 인터넷으로 전자상거래를 할 때, 신용카드 번호를 입력하고 비밀번호를 입력하는 것까지 모두 누군가에게 보여진다고 생각하면 정말 심각한 문제가 아닐 수 없다.

개인정보 유출의 경로는 크게 몇 가지로 나눌 수 있다.

내부의 가까운 사람에 의해 유출되는 경우,

시스템을 도난 당했을 경우,

트로이목마형 해킹 툴에 의해 유출되는 경우,

시스템 안에 키스트록 프로그램을 실행해 놓은 경우.

내부에 있는 사람이나 시스템을 도난 당했을 경우는 타의에 의한 것이니 근본적으로 막을 수는 없겠지만 해킹 툴에 의한 정보 유출은 개인의 노력에 따라 완벽하게 지킬 수 있는 부분이다.

트로이목마형 해킹 툴은 백오리피스나 스쿨버스, 딮보 등 이미 알려진 프로그램들이 많고, 이에 대항하는 해킹 제거 툴들도 많이 공개되어 있다. 또한 컴퓨터 바이러스를 치료하는 백신으로도 대부분 치료가 된다.

하지만 여전히 트로이목마형 해킹 툴에 의한 개인정보 유출이 심각한 실정이다. 이런 해킹툴에도 상대방의 키 입력을 훔쳐내는 기능이 들어 있기 때문이다. 컴퓨터 사용자가 컴퓨터를 잘 모르는 사람이고, 정보보안에 대한 이해가 부족한 상태라면 해커는 키 훅킹과 스냅샷이라는 기능을 이용해 상대방의 아이디, 패스워드, 신용카드 번호 등을 모두 원격으로 확인할 수 있다.

트로이목마형 해킹 툴을 검색하고 치료하는 것은 컴퓨터 바이러스 백신만 있어도 큰 문제는 없다. 단, 정기적으로 백신을 업데이트하고 하드디스크를 검사하는 것을 잊어서는 안 된다.

트로이목마형 해킹 툴보다 더 적극적이고 확실한 방법으로 해킹을 하는 도구들이 있다. 주로 키스트록 해킹 툴을 사용하는 방법인데, PC방처럼 많은 사람들이 무작위로 드나드는 곳에서 시스템에 해킹 툴을 설치한 다음 기다리기만 하면 된다.

사용자는 자신이 사용하는 컴퓨터에 어떤 소프트웨어가 설치되어 있는지 완벽하게 알 수는 없다. 특히 해킹 툴이 교묘하게 설치되어 있다면 전문가가 아니고는 찾아내기도 쉽지 않다.

사용자는 평소처럼 회원으로 가입되어 있는 홈페이지에 들어가서 아이디와 패스워드를 입력하게 되고, 개인정보를 입력하는 경우도 생긴다. 주민등록번호나 신용카드번호, 은행계좌번호 등을 입력할 수도 있는데, 이런 번호와 패스워드를 함께 입력하게 되면 자신의 모든 신용정보는 완전히 노출되었다고 봐야 한다.

사용자가 자리를 떠나면 해킹 툴을 설치한 해커는 그 자리를 차지하고 숨겨둔 해킹 툴을 실행한다. 그 해킹 툴에는 그때까지 입력한 내용들이 모두 숫자와 문자로 표시되어 있다.

즉, 패스워드는 화면에서 별표(****)처럼 보이는데, 실제로는 숫자나 문자를 입력하는 것이다. 화면에서만 보이지 않을 뿐이지 실제로는 키가 입력된 내용이 그대로 노출되는 것이다.

훔친 신용카드 번호와 패스워드를 가지고 온라인에서 거액의 물품을 주문할 수도 있고 현금을 이체하는 방법으로 훔칠 수도 있으며 그밖에 여러 가지 방법으로 원래의 신용카드 주인을 괴롭힐 수 있게 된다.

이렇게 한 대의 시스템에 해킹 툴을 실행해 두는 것은 물론, 해킹 툴에 전자메일 기능을 두어 자동으로 해커의 메일로 해킹된 내용이 수신되도록 하는 방법도 있다. 이렇게 되면 해커는 해킹 툴을 여러 대의 시스템에 설치해 두고 자신이 원하는 곳에서 편하게 모든 사용자의 개인정보를 얻을 수 있게 되는 것이다.

또한, 조금 더 발전하면 사용자의 화면을 일정한 간격으로 갈무리해서 보내는 기능도 있다. 화면을 받아서 보내는 방법은 이미 다른 해킹 툴에도 있지만, 키스트록과 함께 다양하게 사용하는 기법 가운데 하나다.

문제는, 이런 해킹 툴이 완전히 불법이라고 단정지을 수 없다는 데 있다. 모든 해킹 툴은 그 자체로는 불법이라고 단정짓지 못하고 있다. 바이러스와는 달리 해킹 툴 자체가 사용자들에게 직접적인 해를 끼치지는 않기 때문이다.

백오리피스도 그 자체로는 불법이 아니다. 백오리피스를 이용해 불법적인 해킹을 하기 때문에 문제가 발생하는 것이므로 소프트웨어의 문제로 접근하기가 어려운 부분이 있다. 백오리피스와 비슷한 제품이 유명한 백신 회사에서 정상적인 원격제어 프로그램으로 판매되고 있다. 키스트록과 관련된 소프트웨어도 불법으로 단정짓지 못하고 있는 실정이다.

또한, 백오리피스처럼 컴퓨터 바이러스 백신에서 자동으로 검사하고 치료할 수 있는 트로이목마 해킹 툴이 있는 반면, 백신이 미처 감지하지 못하는 경우도 있다. 키스트록의 경우도 해킹 툴로 이미 알려진 경우에나 감지할 수 있을 뿐이다.

해킹 툴을 사용해 불법적인 일을 했을 때, 그리고 그런 불법이 명확하게 확인된 경우에만 처벌을 받게 되므로, 사용자는 자신의 개인정보 유출에 대해 심각하게 고려를 해야 한다.

대중들이 가장 많이 이용하는 PC방에서 인터넷을 사용할 때는 가능한 개인 정보를 입력하는 부분이 없도록 하는 것이 좋다. PC방에서 컴퓨터를 사용할 때는 반드시 백신으로 컴퓨터를 먼저 점검하는 것이 필요하다. PC방에 백신 정품이 설치되지 않았다면, 사용자가 백신을 요구하는 것이 좋다.

인터넷에서 불법 복제된 제품을 다운받아 사용하는 경우도 있고, 정품이라 할지라도 업데이트를 일주일마다 정기적으로 하지 않아 최신 바이러스나 트로이목마를 감지하지 못할 수도 있으므로 반드시 확인하는 것이 좋다.

이렇게 검사를 마친 다음, 컴퓨터를 사용할 때도 가능한 은행계좌번호, 신용카드번호, 그리고 여기에 사용되는 패스워드는 입력하지 않는 것이 좋다. 자신의 신용 정보가 어떤 경로로 유출될지 예측할 수 없기 때문이다.

교묘한 방법으로 해킹을 하는 것을 근본적으로 막을 수는 없다. 정보화 사회의 빛이 밝을수록 그늘도 짙은 것은 분명하기 때문이다. 개개인이 자신의 개인정보를 가능한 스스로 통제할 수 있어야 하는 책임이 있고 불법 해킹에 대비하는 지식과 정보를 수집하는 것도 필요하다.

악의적인 범죄를 하는 사람들이 사라지지 않는 한, 개인정보 유출의 문제는 끊임없는 화두가 될 것이다.