[직업의 세계] 화이트해커, 북한 해킹조직의 흔적을 쫓다 > 자유게시판

[직업의 세계] 화이트해커, 북한 해킹조직의 흔적을 쫓다

페이지 정보

작성자 또또링3
댓글 0건 조회 21회 작성일 26-08-31 13:30

본문

기업의 의뢰를 받아 실제 해커처럼 서버에 침투하는 사람들이 있다. 범죄를 저지르는 해커와 하는 일은 비슷하지만 목적은 정반대다. 해커보다 먼저 약점을 찾아 기업의 보안망을 지키는 ‘화이트해커’다.
실제 업계에서는 이 용어를 잘 쓰지 않는다는 게 ‘그루트’의 설명이다. 그는 사이버보안 커뮤니티 ‘레드라쿤’의 운영진이자 기업의 보안 취약점을 실제로 공격해보는 ‘레드티머(Red Teamer)’다.
“화이트해커는 미디어에서 주로 쓰는 표현이고 업계에서는 ‘레드티머’라는 말을 더 많이 씁니다. 사이버보안은 크게 공격하는 ‘레드팀’과 방어하는 ‘블루팀’으로 나뉘는데, 저는 레드팀에서 일하고 있습니다.”
그가 처음부터 보안 전문가를 꿈꾼 것은 아니었다. 대학에서는 컴퓨터 하드웨어공학을 전공했고, 졸업 후에는 하드웨어 엔지니어로 취업할 계획이었다.
“해킹은 순전히 취미로 시작했어요. 정식으로 가르쳐주는 곳이 없어서 레딧 같은 외국 사이트를 뒤져가며 독학했고, 컴퓨터에 취약한 환경을 만들어서 직접 해킹하는 식으로 익혔어요. 공부한 내용은 블로그에 기록했고요. 스스로 ‘야매로 배웠다’고 표현합니다.”
기회는 2018년 뉴질랜드에서 찾아왔다. 취업을 준비하며 10곳에 지원했는데, 9곳은 전공과 관련된 하드웨어 분야였고 나머지 1곳만 해킹 관련 직무였다. 그런데 정작 합격 연락이 온 곳은 그 1곳이었다.
“저를 채용한 회사 대표가 제 블로그를 보고 인상 깊었다며 뽑아주셨어요. 알고 보니 그분도 정식 교육 없이 독학으로 이 일을 시작했더라고요. 지금도 레드팀 업계에는 수영강사나 드러머 출신도 있을 정도로 정해진 입직 경로가 없습니다.”
레드팀은 회사의 허가를 받고 실제 해커처럼 움직인다. 서버에 침투하고 직원에게 피싱메일을 보내기도 한다. 내부망에 들어간 뒤에는 중요 정보에 접근하거나 이를 외부로 빼낼 수 있는지도 시험한다. 기업 자체 보안팀에 소속돼 자기 회사를 정기적으로 공격하기도 하고, 보안 컨설팅업체에 소속돼 여러 고객사를 돌며 공격을 수행하기도 한다.
그루트는 “외부 공격자 입장에서 회사 서버가 어디까지 뚫리는지 보는 것”이라며 “블루팀이 우리를 찾아내는지, 실제 사고가 났을 때 보고체계와 대응 절차가 작동하는지까지 시험한다”고 말했다. 블루팀은 레드팀의 공격을 막고, 공격에서 취약점이 발견되면 이를 보완한다.
해킹 위협을 미리 파악하는 ‘인텔리전스’ 영역도 있다. 인텔리전스 분석가는 특정 해킹그룹이 최근 어느 기업을 노리는지, 어떤 공격 수법과 악성코드를 사용하는지 분석한다. 레드팀이 아군의 성벽을 직접 공격해보는 부대라면, 인텔리전스는 성 밖에서 적군의 움직임을 살피는 정찰대에 가깝다.
해외 대형 보안업체들은 이들을 고용해 주요 해킹그룹의 움직임을 분석한 ‘위협 인텔리전스 보고서’를 분기별로 발간한다. 공격 대상과 수법 같은 일부 내용을 ‘맛보기’로 공개하고, 구독료를 내는 고객사에는 더 구체적인 정보를 제공한다. 해킹 피해 가능성이 큰 금융회사나 가상자산·방산기업 등이 이런 정보를 이용해 보안체계를 미리 손볼 수 있다.
그루트는 미국 보안솔루션업체에서 일하며 북한 연계 해킹조직의 소행으로 알려진 2023년 ‘3CX 해킹사건’을 추적한 적 있다.
3CX는 기업들이 사무실 전화에 사용하는 통신 프로그램을 만드는 회사다. 이용자는 소프트웨어를 주기적으로 업데이트하는데, 정상적인 업데이트 파일에서 악성코드가 발견됐다. 해커가 3CX의 프로그램에 악성코드를 심어 이를 설치한 고객사들까지 한꺼번에 노린 것이다. 하나의 감염된 프로그램이 다른 프로그램을 오염시켜 여러 고객사로 피해가 번진 ‘연쇄 공급망 공격’이었다.
그루트는 사건 이후 해커들이 사용한 온라인 리소스를 추적했다. 공격에 쓰인 인터넷 주소와 서버 위치 등 흩어진 흔적도 하나씩 연결했다. 분석 결과는 위협 보고서와 고객사 경보에 반영돼 감염 여부를 확인하고 추가 공격을 차단하는 데 활용됐다.
그는 국내 보안업계가 성장하지 못하는 배경으로 기업의 인식을 꼽았다. 국내 대기업은 이미 많은 보안 인력과 솔루션을 갖추고 있지만, 실제 공격을 가정한 훈련은 부족하다는 것이다.
“대규모 해킹 사고가 반복되는 건 실제로 공격을 당해본 경험이 없기 때문입니다. 성벽을 아무리 높이 쌓아도 트로이 목마처럼 안에서 문을 열어주는 방식으로 뚫리면 10년 공들인 성도 무너질 수 있습니다. 레드팀이 필요한 이유입니다.”
그루트에 따르면 블루팀과 레드팀을 모두 갖춘 국내 기업은 열 손가락에 꼽을 정도로 적다. 보안 사고가 일어나지 않으면 오히려 ‘예산만 쓰는 부서’로 인식돼, 상시 인력을 두는 것을 꺼리는 문화다.
지망생 상당수가 처음부터 레드팀에서 일하고 싶어 하지만, 현실적으로는 진입 장벽이 높다.
그는 “블루팀을 10명 뽑으면 레드팀은 1명 뽑을 정도로 채용 규모 자체가 작다. 실제 공격 프로젝트에 투입되는 레드팀 인원은 최대 3명”이라며 “레드팀 채용 공고가 났다고 무작정 지원하기보다, 먼저 블루팀에서 실무 경험을 쌓은 뒤 도전하는 것을 권한다”고 말했다.
레드티머, 즉 화이트해커로 노동시장에 진입하면 기업 내부보안팀, 외주 보안 컨설팅업체, 보안 관련 소프트웨어나 장비를 만드는 보안솔루션 개발직으로 진출할 수 있다. 기업의 사이버보안 정책을 만드는 비기술직군도 있다.
그루트는 2023년 동료 해커 2명과 함께 사이버보안 커뮤니티 ‘레드라쿤’을 만들었다. 커뮤니티와 유튜브를 통해 관련 노하우를 공유하고, 해킹 기술 강의와 세미나를 진행한다. 그는 “이쪽 업계는 원래 폐쇄적인 문화가 강하다”며 “후학을 양성해야 시장 자체가 커질 수 있다고 본다”고 말했다.
이재명 대통령이 30일 개각 인사를 하며 공석 중인 청와대 참모 등에 대한 인사도 단행했다.
이 대통령은 청와대 인공지능(AI)미래기획수석에는 이해민 조국혁신당 의원을, 신설되는 청와대 메가프로젝트 보좌관에는 이원주 기후에너지환경부 에너지전환정책실장을 임명했다.
강훈식 대통령비서실장은 이날 브리핑에서 이같이 밝혔다.
대통령정무특보에는 김경수 전 지방시대위원장을 임명했다.
대통령 직속 국가인공지능전략위원회 부위원장에는 하정우 전 청와대 AI수석을 위촉했다.
영화는 역사에서 잊힌 인물을 길어 올리기도 한다. 이준익 감독의 <박열>(2017)로 조선인 아나키스트 박열(1902~1974)과 그의 배우자이자 동지 가네코 후미코(金子文子·1903~1926)는 더 많은 이에게 기억될 수 있었다. 1923년 관동대지진 이후의 혼란에서 일본 황태자를 폭살하려 한 ‘대역 사건’을 주도했다는 혐의를 받은 두 사람은 법정에서 당당히 일본과 제국주의를 규탄하는 사상 투쟁을 벌였다.
26일 폐막한 제28회 서울국제여성영화제에서는 가네코를 조명한 하마노 사치 감독(78)의 영화 <가네코 후미코>(2025)가 소개됐다. 영화는 사형 선고를 받은 가네코가 우쓰노미야 형무소에서 스스로 생을 마감하기까지의 121일을 그린다. 박열의 아내가 아닌, 인간의 평등을 믿으며 “기존의 모든 것을 때려 부수고자”하는 혁명적 사상가로서, 독방에서도 기록을 멈추지 않는 여성으로서의 가네코를 그린다. 사상 전향 압박에 굴복하지 않은 그의 마지막을 가네코가 남긴 단가(短歌)를 바탕으로 상상해 재구성했다.
하마노 감독은 가네코가 옥중에서 쓴 자서전 <무엇이 나를 이렇게 만들었는가>를 읽고 “일본에 존재하는 모든 형태의 차별에 맞서 싸운 그의 영혼이 내 안에서 되살아나는 듯한 느낌”이 들었다고 한다. 영화화하고 싶었지만, 예산이 많이 드는 시대극에 당장 도전하기란 현실적으로 무리였다.
그러다가 2019년 이 감독의 <박열>을 봤다. 서울국제여성영화제가 한창이던 지난 23일 서울 서대문구 메가박스 신촌에서 관객을 만난 하마노 감독은 “누군가 등을 밀어준 것 같은 느낌을 받았다. 무슨 일이 있어도 ‘나의 가네코’를 보여주고 싶었다”고 했다. 이날 관객과의 대화를 마친 하마노 감독을 만나 이야기를 나눴다.
하마노 감독은 공고한 체제에 균열을 내고자 하는 삶을 살았다는 데서 가네코와 닮았다. 학창 시절부터 영화감독을 꿈꿨다. “영화 속 여성들의 모습이 누군가의 아내, 어머니, 딸로만 정형화되어 있다는 데서 불쾌감과 위화감을 느꼈던” 그는 감독이 되어 “현실의 여자는 그렇지 않다는 걸 보여주고 싶었다”. 하지만 1960년대 일본 영화계는 대학 졸업한 남성만이 감독이 될 수 있는 곳이었다.
“민주국가인 일본에서 여자가 할 수 없는 직업이 있을 수 있냐는 것이 저의 첫 번째 분노였습니다.” 하마노 감독은 영화계의 변두리인 ‘핑크 영화’에서 길을 찾았다. 성(性)을 주된 소재로 다루는 극장용 35㎜ 성인 영화로 정사 장면의 횟수, 여배우의 노출 횟수만 지키면 감독이 원하는 내용을 연출할 수 있는 제작 여건 덕에 젊은 감독들의 등용문이 되기도 했던 장르다.
시작은 녹록지 않았다. “성폭력이라는 말도 없던 때 심한 일을 수차례 겪기도 했습니다. 숙박하며 촬영할 때는 식칼을 가슴에 품고 잔 적도 있어요.” 여성 감독으로 서고 싶었지만, 제작자들은 “여자가 만든 핑크 영화를 남자가 좋아하겠냐”며 본명인 ‘사치코’에서 여성적인 어미인 ‘코’를 멋대로 빼버리기도 했다.
“여기서밖에 감독을 할 수 없다면 여성인 내가 내 손으로 여성의 성을 되찾아야겠다”는 마음으로 1985년 제작사 탄탄사를 세웠다. 여성을 남성의 시선에 비친 객체가 아닌 주체적인 사람으로 그린 그의 영화들은 큰 성공을 거뒀다. 하마노 감독은 “여배우들과 자매처럼 연대의식을 갖게 된 덕”이라며 “제가 하는 연출이면 믿고 맡길 수 있다며 여배우들이 오히려 노출에 과감했다. 핑크 영화 감독으로 엄청 잘나가게 됐다”고 했다. 그가 감독·제작한 영화만 300여 편에 달한다.
두 번째 분노는 1990년대 후반 도쿄국제여성영화제가 “일본 여성 감독 중 장편 극 영화를 가장 많이 연출한 감독은 6편을 만든 다나카 키누요(田中絹代)”라고 발표했을 때 찾아왔다. 이미 영화를 300편 가까이 찍었던 하마노 감독은 “그 발표에 의해 ‘없는 사람’이 되어버린 것 같았다. 무국적자로 태어난 가네코와 처음으로 연결됐다고도 할 수 있다”고 했다.
하마노 감독은 “일반 영화를 만들어 스스로 목소리를 높여야겠다”고 느꼈다. <제7관계 방황>을 쓴 여성 작가 오사키 미도리의 작품 세계를 살피는 영화 <미도리>(1998)를 만든 이유다. 1896년생인 미도리는 30대 중반 두통약 부작용으로 정신착란에 빠진 후 아무런 집필 활동을 하지 않은 것으로 알려진 인물이다. 이 영화를 만들 때 “제작비가 많이 부족했는데, 전국에서 후원이 들어왔다. 첫 작품할 때부터 시스터후드(여성 연대)의 도움을 받았다”고 한다.
<가네코 후미코>는 그의 여섯 번째 장편 ‘일반 영화’다. 고령 여성의 성과 사랑을 담은 <릴리 페스티벌>(2001), 러시아 문학과 희곡의 뛰어난 번역가였던 유아사 요시코와 페미니스트 소설가 미야모토 유리코의 사랑과 이별을 그린 <요시코와 유리코>(2011) 등 그의 시선은 늘 사회적 시선을 뛰어넘는 여성을 향한다. 하마노 감독은 “지고 싶지 않은 마음”이 자신을 오늘까지 이끌었다고 했다.
‘가네코와 동시대인이었다면, 그의 친구 혹은 동지가 되었을 거라 생각하냐’고 묻자 하마노 감독은 호탕하게 웃으며 말했다. “가네코 후미코 본인이 되었을 거라고 생각합니다.” 그는 “가네코는 일본이라는 국가에 싸움을 건 오직 한 사람이라고 생각한다”며 “저도 ‘영화를 통해 일본 사회에 폭탄을 던지고 싶은’ 마음으로 살아왔으니, 그 시대에 태어났다면 가네코가 되지 않았겠냐”고 했다.
하마노 감독은 “지금처럼 지치지 않고 자기 삶의 방식을 관철해 온, 역사적으로 묻혀버린 실존 인물을 되살리고 싶다”고 했다. 또 하나의 꿈이 있다면, 쇠락하고 있는 일본 핑크 영화계가 그렇게 끝나버린다면 “마지막 핑크 영화를 찍는 것”이다. “100살 된 할머니가 여성의 성을 에로틱하게 다루는 작품을 만든다면 얼마나 대단할까요.”

댓글목록

등록된 댓글이 없습니다.

페이지 정보

본문

댓글목록

대표번호 1533-8997