DDoS 해킹 대란 - 블로그 하지 마라

7월 7일 DDoS의 해킹이 미국 한국에서 시작되었습니다. 대한민국 최고의 보안을 유지할 것으로 짐작했던 청와대마저 무너졌습니다. 그리고 안철연구소도 공격되었습니다.

'DDoS 공격' 형태를 살펴 보면 다음과 같습니다.

DDoS 공격은 다량의 접속량(트래픽)을 한꺼번에 발생시켜 웹사이트 서버 접속을 차단하는 것이다. 한 PC에서 접속량을 늘리면 공격자가 누구인지 쉽게 알 수 있고 곧바로 대응할 수 있기 때문에 악성코드를 이용해 여러 대의 좀비PC를 만들고(분산) 이 좀비PC들이 동시에 웹사이트에 트래픽을 보내 서비스를 이용할 수 없도록(서비스거부) 한다. 정상적이지만 지속적으로 많은 트래픽을 일으켜 사이트를 다운시키는 것이다.

따라서

"이번에 분산서비스거부(DDoS) 공격은 해킹이 아닙니다." 인터넷 보안 전문가들은 DDoS공격은 개인정보 등을 빼가는 해킹이 아니라는 점을 강조하면서 필요 이상으로 걱정할 필요는 없다고 강조했다.

라고 주장하는 기사를 읽었습니다.(자료 출처 서울신문)

당장에 무식한 저같은 사람은 혹시 나의 정보가 유출되지 않을까하는 두려움을 감출 수 없었습니다만 DDoS의 해킹이 개인 정보유출과는 거리가 멀다하니 그나마 다행 입니다.

하지만 DDoS해킹의 근원지를 파악하지 못한 것들을 보아서니 이들의 실력이 높음을 알 수 있습니다.

그렇기에 DDoS 해커(Hacker)가 마음만 먹으면 개인 정보 정도는 식은 죽 먹기로 빼낼 수 있다는 생각을 합니다.

아래의 내용은 한국인 해커가 전하는 디지털 세상의 위험성을 잘 보여주고 있습니다.

그런데 그분들(한국 Hackers)이랑 술이 좀 취해서 깊이 얘기를 해보면 일반인과 좀 달라요.
그 분들(한국 Hackers)은 불안해합니다. 왜냐, 다른 해커에게 해킹당할까봐. 역설적이죠? 
그들(한국 Hackers)은 디지털 세상이 얼마나 위험천만한 것인지 누구보다 잘 알고 있죠.

해커들마저 걱정하는 디지털 세상의 위험에 대한 구체적 사례는 다음과 같습니다.

1) 전자여권

미국 전자여권은 이미 해킹과 복제가능하다고 미국 해커가 발표했습니다. 현재 우리나라도 작년부터 전자여권을 발행하고 있습니다. 언젠가는 반드시 뚫리게 되어 있다고 합니다. 전자여권이 해킹당하고 복제가능해진다면, 어떤 결과로 연결될까요?

가상 시나리오 입니다(구 여권을 위조해서 밀입국하는 경우가 있지요?).

한국에서 돈을 벌고자 하는 중국인이 한국인의 전자여권을 복제하여 입국시도 할 수 있습니다. 

이 정도 가상 시나리오라면 애교로 봐줄 수 있겠지요. 즉 이보다 더 한 일에 자신의 전자여권이 복제사용될 가능성이 충분하다는 것 입니다.

물론 학생증이나 출입증 복제는 식은 죽 먹기보다 쉽겠습니다.

2) RFID

요즘 제조업체는 물론 유통업체의 화두는 RFID가 아닐까 생각 합니다.

RFID 사례1, RFID 사례2를 읽어 보시면, RFID시스템의 장미빛 미래만 강조하고 있습니다. 하지만 부작용과 위험성에 대한 내용을 분명히 짚어보고 진행해야 합니다. 

예를 들면 지금의 대형할인마트점에서 물건을 담아서 계산대에서 스캐닝으로 하나하나 물건의 코드를 읽고 계산합니다. 

하지만 RFID시스템을 도입한 경우,

1. 물건이 담긴 카트를 계산코너로 이동하면 자동적으로 계산금액이 합산되어 나옵니다. 이때는 계산대에 줄줄을 서서 기다리는 시간이 거의 없다고 생각하면 됩니다.

2. 좀 더 진보?적인 시스템을 갖추었다면, 캐셔(Cashier)가 필요 없게 됩니다. RFID로 계산금액이 합산되면 소비자가 자신의 카드를 결제단말기에 올려놓으면 카드결제되기도 할 겁니다.

3. 이때 일부 해커(Hacker)가 작업?을 해서 계산금액이 0원으로 해서 유유히 할인마트를 빠져 나가면 됩니다.

3) 디지털 기반 홈시스템

집 밖에서 핸드폰하나로 집안의 가전제품이나 가스를 작동시킬 수 있는 시대가 곧 옵니다.

추운 겨울날 집에 도착하기 전에 보일러 작동을 시켜 후끈후끈하게 하고 싶다면 핸드폰으로 명령만 내리면 된다고 합니다. 이러한 시스템도 생각하기도 싫은 사고로 연결되기 쉽습니다.

홈시스템에 해킹해서 가스벨브를 열어놓고 몇 시간 후 가스레인지를 점화시키면 그 집 뿐만 아니라 일대가 폭발하게 됩니다.

       

위험한 디지털 세상에 대처하는 기업의 자세는......

1.보안에 대한 자신이 없으면 고객의 개인정보를 수집하지 말아야 합니다.

정상적인 방법으로 개인정보를 확보한다면, 제가 수 백번 양보하겠습니다. 돈으로 개인정보를 사겠다는 수요가 있기 때문에 불법으로 개인정보를 빼돌려 파는 해커(Hacker) 존재한다고 생각합니다.

이러한 업체의 행위가 해커의 생존을 도우는 자양분이 되는 것 입니다.

2. 고객 개인정보를 목숨처럼 여겨야 합니다.

일부 이해 불가능한 업체들의 정보유출 사고가 허다 했습니다.

고객정보가 기록된 서류를 폐지업체에 넘기는 경우도 있었습니다. 

과감하게 개인정보 유출시 사회환원금을 내겠다는 공격적인 선포라도 하십시요.

수익 극대화를 위해서 종업원에게 공격경영만 외치지 말구요.

일부 이해 불가능한 업체들의 정보유출 사고가 허다 했습니다.

고객정보가 기록된 서류를 폐지업체에 넘기는 경우도 있었습니다. 

3. 악화를 양화로 전환시킬 수 기업이 되어야 합니다.

해커(Hacker)의 출생을 피할 수 없다면, 그 해커들을 이용해야 합니다. 해커들의 실력과 시각을 역으로 보안시스템에 적용하여 방어해야 합니다. 자신의 해킹당한 이력을 숨기지 말고 공개해서 솔루션을 제시하는 실력가들에게 베품을 제공해야 합니다.

이러한 관점에서 아래의 기사는 주는 한국의 기업체에 강한 시사점을 주고 있습니다.    

최근 미국 시애틀에서 열린 한 보안 컨퍼런스에서 마이크로소프트의 보안책임자가 "우리 사이트를 해킹해도 좋다. 다만 연구목적으로 우리에게 보안취약점만 알려주면 고소하지 않겠다."고 발표했어요.

위험한 디지털 세상에 대응하는 소비자의 자세는......

1) 비밀보안이 필요한 파일은 외장하드에 보관

외장하드작업 전에 반드시 인터넷 선을 뽑은 후 사용해야 합니다.

2) 통장 하나만 인터넷 뱅킹

모든 통장에 인터넷 뱅킹하지 말아야 합니다. 해커가 세운 목표물이 된 공인인증서와 보안카드는 언젠가는 뚫리게 되어 있다고 합니다. 적은 금액만 예치된 통장만 인터넷 뱅킹하는 것도 하나의 방법이라고 합니다.

3) 인터넷 사용시 주민번호 No. 아이핀 Yes!

이 내용은 상식입니다. 하지만 세삼 걱정스러운 것은!

아이핀 제공사이트가 해킹 당하는 날에는 모든 것이 한 방에 날라갈 수 있다는 이야기 입니다.

그래도 전문 해커들이 권하는 보안방법이고 이미 정부도 아이핀 도입을 의무화를 발표했으니 그나마 차선책으로 안전한가 봅니다.

주민등록번호를 단계별로 2015년까지 모두 아이핀으로 대체할 것이라고 선언했다.

활성화 추진전략 1단계는 2009년부터 2011년까지로 i-PIN 제도 조기 정착과 이용 보편화를 위한 인프라를 구축할 예정이다. 2단계인 2012~2013년까지 조세·금융을 제외한 민간의 모든 온라인 서비스에 아이핀을 적용할 계획이다. 3단계인 2014~2015년까지는 조세·금융을 포함 전 민간 분야에 아이핀이 적용될 수 있도록 관련 법, 제도 연구 등을 병행하여 주민번호가 없는 인터넷 환경을 조성할 예정이다.

현재 아이핀을 무료 발급 제공하는 사이트들 입니다.

나이스 아이핀 (한국신용정보)

가상주민번호 (한국신용평가정보)

SG아이핀 (한국정보인증)

공공i-PIN (행정안전부)

사이렌24 아이핀 (서울신용평가정보)

현재 다음, 네이버, 야후 등 여러 사이트에서 아이핀을 이용하여 가입한 상태 입니다.

주의점, 아이핀은 주기적으로 변경 교체하면 더욱 더 안전 합니다.

개인적으로 저는 사이렌24 아이핀과 함께 사이렌24 명의도용방지 서비스를 사용하고 있습니다.

어제도 네이버 키워드광고 교육센터에 가입시 명의 확인을 하였는데 문자메세지로 확인 메세지가 왔더군요.

4) 인터넷 게시판이나 카페에 중요한 내용은 절대로 올리지 않는다

인터넷 게시판이나 카페에 자신의 정보와 관련한 내용을 절대로 올려서는 안 됩니다. 

실례를 들어 보겠습니다.

사례1. 얼마전 TV뉴스에 이런 이야기가 나왔습니다. 부동산 중개 수수료를 아끼기 위해서 부동산 거래 인터넷 카페에 자신의 집 위치와 연락처를 남긴 여성 매도자에게 접근하여 절도를 한 내용이었습니다.

이처럼 인터넷 게시판이나 카페에 자신의 정보와 관련한 내용을 절대로 올려서는 안 됩니다.

사례2. 보이스피싱 전담반의 한 형사에 말에 의하면 인터넷 카페 내용을 바탕으로 아주 내밀한 개인정보를 수집해 보이스피싱 전화를 시도한다고 합니다.

잠깐!!!! 블로그 이벤트시 주의 사항 입니다.

블로거들이 가끔 블로그 상에서 이벤트를 유치하시는데 당첨자들에게 비밀댓글로 상품 수령에 관한 정보를 올려 달라고 하십니다. 아무리 비밀댓글이라도 위험할 것 같습니다. 저도 얼마전에 이렇게 했습니다만 다른 방법을 찾아보아야 할 것 같습니다. 전화를 직접 걸어서 확인하는 등의 방법 말입니다.

뭐 이 정도되면, 거의 인터넷을 이용하지 말라는 이야기 같습니다.

자동차 사고 많이 난다고 자동차를 타지 않는가요?

그래도 우리는 안전운전과 방어운전을 하면서 줄기차게 직장으로, 여행지로 가고 있습니다.

이와 마찬가지라 생각합니다. 항상 개인정보 유출 위험에 방치될 수 있다는 경계심을 가지고 인터넷을 해야 한다는 것 입니다.

인용 사이트 보기

또 LG가 사고쳤네요...LG데이콤 회원정보 무단 방치

홈페이지에서 회원정보가 무단 조회될 수 있도록 방치, 

개인정보 관리를 허술하게 해 과태료 처분