"컴퓨터 게임 즐겨" 커서 뭐 될래(?)…28세에 화이트해커팀 이끈다

김동민 라온시큐어 화이트햇센터 핵심연구팀 팀장 / 사진제공=라온시큐어

#컴퓨터 게임을 즐기던 아이는 처음으로 핵(Hack) 프로그램을 접했다. 간단한 코드 변용만으로 게임 속 캐릭터의 능력치가 확 올라가는 것에 흥미를 느꼈다. 대학 전공도 컴퓨터공학과로 택했다. 20세에 한국정보기술연구원의 보안리더 양성 프로그램 BOB(베스트 오브 베스트)에서 만난 이들과 해킹 대회에 참가하면서 화이트해커의 세계에 발을 들였다. 일본 세콘 CTF(온라인해킹대회) 우승, 국가정보원 해킹 방어대회 CCE 우승 등 이력을 쌓았다.

사이버보안 전문기업 라온시큐어에서 화이트햇센터 핵심연구팀을 이끌고 있는 김동민 팀장(28세) 얘기다. 핵심연구팀은 잘 알려지지 않아 대응책이 마련되지 않은 취약점을 일컫는 '제로데이' '원데이' 연구를 비롯해 공공기관 및 대기업 등을 대상으로 한 모의침투 서비스를 수행한다.


김 팀장은 "화이트해커들은 국가 기간시설이나 국방기관, 공공기관, 금융기관, 기업들의 귀중한 정보자산을 지켜 국민들의 삶을 지키고 국가 경쟁력을 강화하는 필수 인재들"이라며 "우리의 역할이 중요하다"고 했다.

2018년 1월 라온시큐어 입사 때만 해도 핵심연구팀 인원은 5명에 불과했지만, 지금은 20명을 웃돈다. 대기업과 공공기관, 금융사 등으로부터 모의해킹 요청이 부쩍 늘었기 때문이다. 핵심연구팀은 시스템 운영 중에 실제 해커 관점으로 해킹 발생 가능성을 점검하고, 최적의 예방 대책을 조언하는 '프리미엄 모의해킹' 서비스를 제공한다.

김 팀장은 "외부 공격을 우려해 취약점을 점검하려는 고객사도 있지만 자사의 방어 능력에 대한 자부심을 가지고 '뚫어볼 테면 뚫어보라'는 식으로 서비스를 의뢰하는 곳도 있다"며 "지금껏 참여한 프로젝트에서 취약점을 발견하지 못했던 케이스는 단 1건도 없다"고 했다. 100%의 침투 성공률을 기록했다는 얘기다.


민간·공공 고객사들도 자체 보안 인력을 두고 모니터링을 하지만, 시스템 전부를 마비시킬 수 있는 '구멍'은 의외의 지점에 있다는 게 김 팀장의 설명이다. 전체 시스템에서 극히 미미한 역할을 하는 소프트웨어의 한 오픈소스가 한 대기업 서버 전체를 마비시킬 수 있는 구멍으로 드러난 사례, 회사 시스템 내 파일을 전부 내려받을 수 있는 설정이 삭제되지 않아 외부 침투자에게 회사 민감정보 전부가 털릴 수 있었던 사례 등이다. 아무리 꼼꼼히 점검해도 취약점 발견이 얼마나 어려운지 보여준다.

김 팀장은 "소프트웨어 공급망 공격은 짧게는 1년, 길게는 5년 이상 반복적으로 이뤄져 눈에 띄지 않게 진행된다. 공격을 알아챈 순간에는 이미 모든 시스템이 악성코드에 잠식되는 등 대처하기 늦은 경우가 많다"며 "이런 APT(지능형 지속공격) 등을 막기 위해 화이트해커 등 전문가와 함께 지속해서 취약점을 점검하는 수밖에 없다"고 했다.

김 팀장은 "올 상반기 사이버 침해사고 건수는 899건으로 2년 전 같은 기간(473건)의 2배에 달하는데 사이버 보안 분야는 인력난을 겪고 있다"며 "특히 실질적으로 취약점을 점검·분석하고 선제적으로 위협에 대비하기 위한 화이트해커 등 인재가 더욱 부족하다"고 했다. 모의해킹 등을 통해 취약점 점검을 원하는 기업·기관이 날로 늘어나는 만큼, 이런 수요를 충당할 인재를 육성해야 한다는 지적이다.