남과 북이 대치한 한국에서 사이버 공간은 소리없는 전쟁터다. 북한은 수시로 우리 인터넷을 들락거리며 여론을 조작하고, 공공기관과 금융기관을 해킹해 정보를 빼내간다. 북한 해커 조직 ‘라자루스’가 2년 넘게 우리 법원 전산망을 해킹해 1TB(테라바이트)가 넘는 자료를 빼간 사실이 최근에야 알려졌고, 국정원이 해외의 유명 해킹 포럼에 우리나라 공무원들의 이메일 계정과 비밀번호 수백개가 게시된 사실을 파악해 각 기관에 통보하는 등 상상도 못한 해킹 피해가 끊이지 않고 있다. 국정원이 우리나라의 사이버 위기 경보를 ‘관심’에서 ‘주의’ 단계로 상향한 것이 벌써 2년 전. 국내 보안 전문가들은 북한의 공격에 맞서 매일 같이 사이버 공간을 지키는 전쟁을 치르고 있다.
“북한 해킹 나도 해봤다”
사이버 보안업체인 ‘스틸리안’의 박찬암(35) 대표는 이 남과 북 해킹전쟁의 최전선에 있는 인물이다. 최근 만난 그는 “북한의 해킹 기술은 대단하지만, 우리에겐 최고의 화이트 해커들이 있다”며 “앞으로도 ‘소리없는 전쟁’의 최전선에 서서 활동하겠다”고 말했다. 그는 앞으로는 해킹에 대한 소극적 방어를 넘어 (해킹 등을 포함한) 선제 공격을 통해 적극적으로 대응하는 이른바 ‘디펜드 포워드’가 필요하다고 강조했다. 이는 미 국방부가 처음 사용한 개념으로, 선제 공격을 통해 해킹을 미연에 방지하는 전략이다. 박 대표는 이미 이 개념으로 북한의 공격을 막은 적이 있다. 2013년 3월 20일 북한 정찰총국에서 KBS·MBC·YTN과 농협·신한은행 등 방송·금융 6개사를 해킹해 전산망이 마비됐던 ‘320사이버 테러’사건, 당시 국가 연구개발 분석 업무를 맡아서 하고 있던 박 대표는 “사건 이후 북한 내부망을 살펴보다 2015년에 2차 사이버 테러를 준비하고 있는 것을 확인했다”면서 “즉시 관련 기관에 이 사실을 통보하고 선제적 대응에 나서 (사이버 테러를) 막은 적 있다”고 했다. 그는 북한의 사이버 테러 징후를 구체적으로 어떻게 확인했는지에 대해선 말을 아꼈다.
“북한의 해킹 트렌드, 바뀌고 있다”
박 대표에 따르면, 최근 북한의 해킹 트랜드는 바뀌고 있다. 예전엔 “정부 웹사이트를 해킹해 기관인 척하며 개인이나 은행에 메일을 보내 전산망을 마비시키는 방법이었다면, 이제는 (직접 해킹이 어려워지니) 소프트웨어 납품 회사를 해킹해 기관을 타고 들어가는 게 유행”이라는 것. 24살에 보안업체를 창업한 그는 “(회사의) 젊고 유망한 동료 해커와 프로그래머 80여 명이 이러한 문제에 대해서 머리 싸매고 고민하고 있다”면서 “우리나라의 안전 수준을 높이기 위해 계속 정진하겠다”고 했다.
박 대표는 학창시절부터 각종 세계해킹대회에서 상을 휩쓸어 ‘천재 해커’라는 별명이 붙은 화이트 해커(White Hacker)다. 화이트 해커는 악의적인 해킹에 대한 대응 방안을 마련하는 해커를 뜻한다. 그는 2009년 3월 3000여명 규모의 ‘코드게이트 국제해킹방어대회’에서 3인팀으로 1위를 하면서 주목을 받기 시작했다. 같은 해 8월 ‘KOREA’라는 팀명으로 말레이시아에서 열린 ‘세계해킹대회(HITB CTF)’에 나가 대회 시작부터 끝까지 1위를 유지했다. 당시 그의 나이 20세. 중학교 2학년 때부터 대학교 2학년까지 나간 30여개의 해킹대회에서 모두 입상해 ‘천재 해커’라는 별명을 얻었다. 그는 “천재는 특정 분야에 뛰어난 업적을 남길 수 있어야 한다”면서 “업적을 쌓으려고 노력을 하고 있을 뿐, ‘천재’라는 칭호는 내게 과분하다”고 했다.
“11살 때 독학으로 해킹 입문”
그가 해커로서 첫걸음을 뗀 순간은 11살 때였다. 영화, 드라마에서 종종 나오는 해커의 모습을 보고 첫눈에 반해 공부를 시작했다고 한다. 2000년 당시 해킹에 대한 책들이 나온게 없어 리눅스(Linux), 마이크로소프트 운영체제(MS-DOS) 등 컴퓨터 운영체제 책들을 사서 읽었다고 한다. 그마저도 해킹에 대한 부분은 책 뒤쪽 10장 남짓, 그것들을 한데 모아 독학했다. 박 대표는 “책이 헤지고 찢어져 노란색 테이프로 감아서 볼 정도로 (해킹 공부에) 미쳐있었다”면서 “그후 아버지가 사준 컴퓨터로 실습을 해보고 1년 뒤 ‘중고생정보보고경진대회’에서 입상했다. 해커로서의 첫 데뷔였다”고 했다.
“범죄 유혹을 물리쳐야 진정한 해커”
은행이나 국가기관을 해킹해서 천문학적인 돈을 가로채는 해커들도 있다고 한다. 박 대표에게도 이러한 범죄 유혹이 있었다. 2004년 한창 해킹 공부를 할 때 여러 단체에서 도박사이트 해킹, 경쟁사 해킹 등 불법 의뢰가 들어왔다고 한다. 당시 MSN 메신저에는 해커들의 단체 채팅방이 있었는데, 주소가 노출돼있어 메일로 이런 의뢰가 들어온 것이다. 주변에서 불법 해킹으로 조사를 받거나 징역살이를 한 사람들을 어렵지 않게 봐왔다고 한다. “공격자의 관점에서 취약점을 미리 발견해 방어를 구축하는 것이 화이트 해커인 내가 하고 싶었던 일”이라며 “범죄 유혹이 있었지만 단 한번도 빠진 적이 없다”고 했다.
그는 “우리나라 사이버 보안 기술과 인재 유출이 심각한 상태”라고 경고하기도 했다. 그는 “특히 미국, 중국, 러시아, 이스라엘 등 사이버 보안 선진국에서 수억에서 수십억 연봉을 제시하며 인력을 채가는 일이 빈번하다”고 했다 이스라엘은 보안기술을 판매할 때 당국의 허락을 받아야하는 등 기술 유출에 대한 경각심을 보이고 있으나, 우리나라는 관련 법률 조차 미비한 실정. 박 대표는 “우리나라에서 핵심 기술들을 연구하던 사람들이 해외의 높은 연봉에 이직하는 경우를 다수 봐서 안타깝다”면서 “투자에 소외되는 유니콘 기업들을 더 발굴해 이러한 인재 유출과 기술 유출을 막아야 한다”고 했다.
“80여명 직원 보안업체로 해외 시장도 개척”
박 대표는 정부기관의 자문 역할도 맡고 있다. 2021년부터 사이버작전사령부 자문위원, 개인정보보호위원회 적극행정위원회 위원을 하고 있고, 서울동부지검 사이버범죄 중점수사 자문위원으로 올해까지 8년째 활동하고 있다. 북한의 사이버 공격에 대한 분석과 해결책 제시 등 관련 기관의 자문에 응하면서 화이트 해커로서 사회적 기여를 하고 있다.
그와 80여명 직원들의 노력으로 지난 2019년 인도네시아 자카르타에 현지 법인을 설립하고 금융기업과 보안제품 공급 계약을 체결하는 등 해외 진출에서도 성과를 보이고 있다. 아세안(ASEAN) 국가들을 대상으로 과기부 및 한국인터넷진흥원과 함께 해킹대회, 보안 행사, 교육 등 우리나라의 기술력을 전수하는 사업도 진행하고 있다.