마약거래 오가는 '이곳'…"범죄 데이터 학습한 AI로 위험 찾아내죠" [긱스]

서상덕 S2W 대표.

다크웹은 특수 브라우저를 통해서만 접속할 수 있는 인터넷 세계다. 마약, 성착취물, 해킹 정보 거래 등 각종 범죄 행위가 횡행한다. 하지만 사용자가 누군지 파악하기 힘든 데다 금전 거래도 가상화폐로 이뤄져 단속이 어렵다. 매일 300만명이 다크웹에 접속하지만 데이터가 워낙 방대하고 복잡해 분석이 쉽지 않다. 데이터 중에서도 분석 난이도가 높은 게 다크웹 데이터다.

보안 스타트업 S2W는 다크웹 데이터 분석에 전문성을 갖춘 회사다. 서상덕 대표가 2018년 창업했다. 다크웹 데이터를 인공지능(AI) 엔진 등으로 분석해 연결성을 찾는다. 다크웹 분석 기술력을 인정받아 인터폴과 국가정보원, 경찰, 국방부 등과 협업하고 있다. 최근엔 다크웹의 범죄 정보를 전문적으로 추출하는 AI모델 '다크버트'를 공개해 관심을 받았다.

서 대표는 한경 긱스(Geeks)와의 인터뷰에서 "다크웹은 접근 난이도 자체가 일반 웹에 비해 굉장히 높은데 S2W는 그동안 이 분야 전문성을 쌓아왔다"며 "사이버 보안에서 시작해 중고거래 사기, 보이스 피싱, 댓글 조작 등 다양한 영역으로 확장해나갈 생각"이라고 말했다.

다크웹 전문 AI에 세계 각국서 관심

"다크웹 전문 AI 언어모델인 다크버트를 공개하고 해외 각국에서 연락이 쏟아졌습니다." 서 대표는 S2W가 개발한 다크버트를 언급하며 이렇게 말했다. 30개국의 기업과 기관에서 50건 이상의 데모 요청과 문의가 쇄도했다는 것이다. AI 권위자인 랜스 엘리엇 박사와 필 베네이블스 구글클라우드 CISO 등이 다크버트에 대해 언급하면서 여러 곳에서 관심을 받았다.

다크버트는 다크웹 내 600만 개 이상의 페이지와 텔레그램 메시지 정보를 학습한 AI언어모델이다. S2W와 카이스트 연구진이 공동 개발했다. 마약 은어나 활용 사례, 거래 지역, 언론에 보도되지 않은 개인정보 유출 등을 확인할 수 있다. 다크웹의 범죄 정보를 학습한 AI는 다크버트가 최초다. 서 대표는 "다크버트는 다크웹에 대한 이해도가 굉장히 높아서 다크웹 정보가 마약에 대한 정보인지, 해킹에 대한 정보인지 카테고리 분류도 잘 하고, 신종 언어에 대한 이해도도 잘 갖추고 있다"고 설명했다.

S2W는 지난 6월 유명 자연어처리(NLP) 학술대회 ACL에서 다크버트와 관련된 논문을 발표했다. 서 대표는 "논문 발표를 계기로 해외에 알려지면서 다크버트에 대해 설명해달라는 요청이나 도입 문의가 많았다"고 말했다. 대만의 한 테크 기업은 AI 모델 개발을 위해 다크버트를 활용할 수 있는지 문의했고, 한 스위스 기관은 다크버트의 유럽 내 재판매를 희망했다. 현재 다크버트는 일반 대중에게 공개되지는 않고 연구 및 개발 목적으로 사용을 요청하는 곳에 한해 선별해서 접근할 수 있도록 허용하고 있다.

S2W가 회사 설립 초기부터 쌓아올린 다크웹 분석 기술력이 다크버트에 반영됐다는 게 서 대표의 설명이다. "S2W는 생성AI가 관심받기 전에도 다크웹 분석을 위해 AI를 꾸준히 활용해왔습니다. 내부에 AI 박사들이 있어 다크웹 데이터를 AI로 분류, 정제하고 분석하는 일들을 계속 해왔고 논문도 쓰면서 기술력을 발전시켰죠. 다크웹 AI는 S2W가 가장 앞서있다고 생각합니다."

인터폴과 유엔이 S2W 솔루션 쓰는 이유

S2W의 제품은 크게 두가지다. 다크웹·텔레그램 등에 올라오는 정보를 기반으로 국가 정보기관 등에 분석을 제공하는 B2G 서비스 '자비스'와 기업들이 해킹이나 정보 유출을 막는 데 도움을 주는 B2B 보안 솔루션 서비스 '퀘이사'다. "자비스는 군이나 경찰, 정보기관 등 국가기관이 주로 사용합니다. 인터폴에서도 사이버 보안을 담당하는 팀이 자비스를 활용해요. 유엔 내 마약 수사 사무국인 ODC와도 글로벌 마약 실태 분석을 함께 하고 있습니다."

해킹뿐 아니라 각종 국제 범죄, 밀수, 마약범죄 등이 다크웹 상에서 이뤄지기 시작하면서 S2W는 인터폴과 국내 보안기업 최초로 다크웹과 가상자산 범죄에 대해 협력을 시작했다. 국제적 랜섬웨어 조직을 검거하는 작전에서 인터폴이 S2W의 랜섬웨어 운영조직의 다크웹 활동 데이터 분석 데이터를 제공받는 등 수사 공조도 진행했다.

자비스와 달리 퀘이사는 보안이 중요한 사기업들이 주로 활용한다. 서 대표는 "보안이 중요한 기업들은 대부분 자체 보안팀을 갖추고 있지만 다크웹이나 텔레그램을 다 검색해 회사 관련 정보를 찾아보는 건 보안팀 직원들도 쉽지 않습니다. 수집 분석 난이도가 높을뿐더러 '가성비'도 떨어지거든요. 기업 보안팀이 퀘이사 솔루션을 활용하면 다크웹과 텔레그램 데이터 분석을 통해 위험을 관리할 수 있습니다." 예컨대 금융사의 경우 다크웹에 돌아다니는 신용카드 구매정보를 확인해 막을 수 있는 식이다. 회사 전체 전산망을 관리하는 기업 관리자 계정을 사고파는 상황을 다크웹에서 확인해 회사가 보안 조치를 할 수도 있다. "해킹조직의 움직임도 가장 먼저 포착해 고객사에 분석해 제공합니다. 선제 조치가 필요하다고 먼저 제안도 하죠."

올해 S2W의 매출 목표는 100억원이다. 지난해 매출(45억원)의 2배 넘게 잡았다. 국가기관과 대기업 등 기존 고객들에 더해 작은 회사들도 이용할 수 있도록 간단한 버전의 솔루션을 출시할 계획도 갖고 있다. 현재 퀘이사의 연평균 이용 금액은 1억원 안팎으로 작은 회사들이 적극적으로 쓰기엔 쉽지 않다. 서 대표는 "공공부문이나 금융회사, 일반 중소기업들을 위한 조금 더 라이트한 제품, 일상적인 체킹을 할 수 있는 제품을 준비 중"이라고 말했다.

코로나19 때 다크웹 접속자 늘어난 까닭은

서 대표는 다크웹 자체가 접근성 자체가 떨어지고 복잡하기 때문에 분석에 전문성이 필요하다고 강조했다. "새로 생기고 또 없어지고, 기술 자체가 중앙 통제가 아닌 일종의 '점조직'처럼 움직이기 때문에 파악이 쉽지 않습니다. 다크웹은 익명화 기술이나 암호화 같은 게 워낙 잘돼있어서 그걸 수집하는 접근 난이도 자체가 일반 웹에 대해선 많이 높아요. 수집한 데이터에 대해서도 분석 전문성이 더 필요하고요. 허위 정보나 불필요한 정보를 제거해야 합니다."

현재 다크웹 글로벌 접속자는 일 300만명 수준. 2012년엔 100만명이 채 안 되다가 몇 차례의 계기로 크게 늘었다. 암호화폐 붐일 때 한번 확 늘었고, 계속 우상향하다가 최근 코로나19 계기로 또 다시 접속자가 크게 늘었다. 그는 "코로나 영향이 있다고 본다. 해외 같은 경우엔 코로나19 사태가 끝나도 사무실로 복귀하지 않는 원격 근무가 일반화됐는데 해커 입장에선 타겟팅하기가 쉬워졌다. 공격할 것도 많아지고 사고도 많이 난다"고 말했다. 한국도 일 3만명 수준의 다크웹 접속자들이 있다.

서 대표는 다크웹에서 오가는 정보의 70% 가량은 범죄와 연관돼 있는 등 문제있는 활동으로 본다고 했다. "마약 거래, 범죄 정보 등이 많죠. 다크웹까지 접속해 활동한다는 것은 좋지 않은 정보에 접근하기 위한 경우가 많아요."

"데이터 인텔리전스 유니콘 될 것"

S2W는 해외 진출을 준비하고 있다. 인도네시아 정부 기관과 20억원 규모의 솔루션 구축 계약도 맺었다. 서 대표는 "서구 기업들과 비교했을 때 중국, 북한 등 아시아 계통의 해킹에 더 특화돼있다"며 "이 경쟁력으로 해외를 공략해볼 생각"이라고 말했다. 미국 등 다른 해외 보안 회사들의 역량도 높지만 북한, 중국, 러시아 등에 대해선 한국 회사인 S2W가 수준 높은 관련 분석과 대응기술을 축적해놨다는 것이다. 한국은 해커가 많은 중국, 북한, 러시아와 제일 가까운 국가로 공격을 많이 당한다. 많이 공격받는 만큼 정보 수집과 분석력 역량이 높다는 게 서 대표의 설명이다.

그는 "사이버 보안 쪽에서 시작했지만 조금씩 더 큰 문제들 쪽으로 좀 확장해 가려고 생각하고 있다. 중고거래 사기나 보이스 피싱, 댓글 조작. 시세 조작이나 게임 핵 프로그램, 메타버스 등 사이버 상에서 일어나는 모든 일들을 다루는 게 S2W의 비전"이라고 했다. "보안 기업이 할 수 있는 일이 참 많습니다. 5년 뒤엔 사이버 상에서 일어나는 여러 문제들을 복합적인 데이터 분석 역량으로 해결하는 데이터 인텔리전스 유니콘으로 평가받고 싶습니다."

고은이 기자 koko@hankyung.com