천재 화이트해커의 경고…"한국, 마음 먹으면 다 뚫려" [강경주의 IT카페]
입력
수정
[강경주의 IT카페] 129회
이종호 토스 보안기술 리더 인터뷰
한국 최초 세계 3대 해커 대회 석권 '쾌거'
해킹 서비스 구독 형태로 판매하는 시장 생겨
해커 집단으로부터 거액의 유혹 받기도
"화이트해커로서 쌓은 명성 돈과 바꿀 수 없어"
민관이 함께 대비하는 '보안의 생활화' 중요
국내 최고의 화이트해커가 토스를 선택한 이유
이 리더는 3일 한국경제신문과의 인터뷰에서 "지난 10년 간 정부가 보안 산업을 키우기 위해 많은 노력을 했지만 여전히 인력 양성 등 숫자에만 초점이 맞춰져 있다"며 "보안에 투자를 늘리는 기업에 대한 세제 혜택, 보안 인식 개선과 같은 정책 전환이 필요하다"고 말문을 열었다.한국 최고의 화이트해커인 그는 보안 업체 라온시큐어에서 10년 간 팀장으로 근무하며 금융권과 정부 기관을 대상으로 모의 해킹 등 보안 솔루션을 제공했다. 업계에서는 이 리더를 향해 '대한민국의 자산'이라고 입을 모은다. 토스를 운영하는 이승건 비바리퍼블리카 대표는 '토스의 심장', '70억 분의 1의 가치를 가진 사람'이라고 치켜세웠다. 지난해엔 보안 전문인력 양성에 기여한 점과 금융 소비자 보호에 앞장선 점, 보안 인식 제고 활동에 기여한 공로를 인정받아 정보보호유공 국정원장 표창을 수상했다.화이트해커로서 최고의 자리에 오른 그가 해외 대기업 제안을 뿌리치고 토스에 합류한 이유는 보안을 대하는 토스의 진심을 느껴서다. 이 리더는 "이 대표가 금융 업계 최초로 회사에 화이트해커팀을 만들겠다고 해서 마음이 움직였다"며 "10년 넘게 금융 보안에 몸담았지만 토스 만큼 보안에 진심을 보인 회사는 단연코 없었다"고 강조했다.
생성형 AI가 가져온 해킹 방식의 변화
이 리더는 해킹 동향에 대해 디도스나 랜섬웨어, 피싱과 같은 단순한 공격이 많아진 것이 최근 해킹 트렌드라고 분석했다. 예를 들면 기업 전산망의 비밀번호를 맞추기 위해 고도의 기술을 구사하는 게 아니라 '0000'부터 '9999'까지 모든 조합의 비밀번호를 다 시도하는 식이다. 비밀번호 자리 수가 늘어나도 마찬가지다.그는 "단순한 해킹 공격이 부상한 배경에는 생성형 AI가 있다"며 "해커가 수십, 수백 시간을 들여야 했던 해킹 과정을 생성형 AI가 단축시켜주면서 해커가 공격을 시도할 수 있는 시간적 여유가 대폭 늘어났다"고 짚었다. 과거에는 전문 해커가 공격을 했지만 요즘에는 생성형 AI를 통해 해킹 지식이 없는 일반인까지 손쉽게 해킹을 시도할 수 있는 환경이 구축된 점도 우려스럽다고 했다.랜섬웨어의 산업화 현상도 언급했다. 이 리더는 "월 사용료를 받고 해킹 서비스를 구독 형태로 판매하는 랜섬웨어 시장이 생겨났다"며 "구독자가 해킹으로 비트코인 100개를 탈취하면 판매자는 수수료로 5개 정도 떼어가는 방식"이라고 밝혔다. 대응책으로는 각 기업의 특성을 반영한 보안 체계를 세워야한다고 주문했다. 그는 "기존 범용 형태의 해킹 대응 솔루션을 사서 쓰기보단 주문 제작 방식의 보안 시스템 도입이 더 안전할 것"이라고 설명했다.
화이트해커는 늘 해커 집단으로부터 유혹을 받는다. 이 리더도 예외는 아니다. 그는 "해외 컨퍼런스에 가면 은밀하게 다가와 특정 국가와 주요 기관을 해킹하자는 제안을 해온다"며 "수십억 연봉을 제시하며 연락처를 주고 가는 경우가 많다"고 말했다. 단순히 실력 과시를 위해 글로벌 기업 전산망을 먹통 시켜보자는 제안은 흔하다고도 했다. 거액을 제시하며 "특정 기업을 서비스를 먹통시켜 달라"는 의뢰도 다반사라는 게 그의 설명이다.
한국의 보안 역량을 끌어올리기 위해선 특정 기업만 잘해서는 안된다고 강조했다. 이 리더는 "탈취 당한 정보는 2차, 3차 해킹 도구로 재생산된다"며 "금융, 은행권은 밀접하게 연관돼 있기 때문에 한 기업이 뚫리면 업계와 고객 모두가 피해를 입을 수밖에 없다"고 공동 대응을 당부했다. 민관이 합동으로 해킹에 대비하는 '보안의 생활화'가 중요하다는 설명이다. 끝으로 그는 "잠깐 긴장을 풀면 문제가 발생한다"며 "내가 무너지면 대한민국 보안이 무너진다는 간절함으로 해킹에 맞서겠다"고 했다.