트위터 해킹의 전말과 사회공학적 해킹

트위터 해킹에 대해 자세히 알아보고자 합니다.

해킹은 크게 두 가지 종류가 있습니다. 시스템 해킹과 사회공학적 해킹이죠.

시스템 해킹은, 말 그대로 시스템을 뚫는 것입니다. 운영체제나 소프트웨어, 하드웨어에 내재된 보안 취약점을 해킹하는 것이죠. 뭐 바이러스를 심거나 DDos 공격을 행한다던가, 비밀번호를 뚫는 것일 수도 있습니다. 

다음으로, 사회공학적 해킹은, 시스템이 아닌 사람들의 취약점을 공략해 원하는 정보를 얻어내는 해킹방법입니다. 예를 들어, 옆 자리 동료의 비밀번호를 몰래 본다던가, 휴지통을 뒤진다던가, 도청을 하던가 등이 있겠죠. 또한, 사이트 운영자나 유저에게 피싱 메일을 보내 정보를 탈취할 수도 있겠습니다.

그 중에서도, 이번 트위터 해킹은 ‘사회공학적 해킹’에 해당합니다. 요즘은 시스템 해킹이 잘 일어나지 않는 다는대, 이는 AI와 보안의 결합으로 시스템 해킹이 쉬워지지 않았다고들 합니다. 무튼, 트위터 관리자 사이트에 접근할 수 있는 관리자 계정의 수가 수백명이 넘을 정도로 많았고, 그 중 하나만 털리더라도 타 유저들의 ID/PW, IP주소, 연락처 등의 정보를 탈취할 수 있는 굉장한 권한이 있는 계정들이었죠(ex 마스터키) 그리고, 사고발생 전 이미 해커 커뮤니티에서 트위터 계정 탈취 가능성에 대한 글이 많이 올라왔다고 합니다. 얼마를 주면 계정에 대한 완전한 접근을 주겠다. 계정 이메일을 강제로 바꿀 수 있게 해주겠다는 등의 게시글이 올라왔다고도 합니다. 이런 상황에서도 트위터는 안일했던 것이죠.

트위터 관리자 계정을 탈취한 경로는, 해커들이 트위터 내부자들을 매수했을 수도 있고, 피싱 이메일이나 어떠한 사회공학적 해킹을 시도했을 수 있겠죠. 아직 정확한 경로는 모르나, 사회공학적 해킹이 확실하다곤 합니다.

이 사건의 또 다른 시사점은, 단순히 개인정보를 탈취한 것에 그친 것이 아니라. 탈취한 계정의 공신력/영향력을 활용했다는 것인데. 예를 들어, 워렌버핏 계정을 탈취해서. 나는 돈을 많이 벌었기에 이제 사회에 환원할 시간이다. N 비트코인을 보내면 그 두배를 보내주겠다라며 트위터에 글을 게시했습니다. 또 신기한 것은, 그들의 말투나 상황을 이용해 그랬을 법한 트윗을 올렸다는 것입니다. 이 사건으로 실제 비트코인이 11개(한화 1억 이상)의 해킹 피해가 발생했다고 하는데, 참 해킹된 계정의 영향력을 감안하면 다행이기도 합니다(엘론머스크, 워렌버핏 등)

사족이 긴 글이었던 것 같은데. 무튼, 해킹의 종류에는 두 가지가 있으며. 사회공학적 해킹을 해결하기 위한 무언가 장치가 필요하지 않을까 싶습니다. 이번 n번방 사건에서 125명의 개인정보를 유출시킨 공익처럼. 내부자를 통한 정보 탈취는 과연 어떻게 해결해야할지 막막하기도 하네요.

Extraordinary Twitter hack compromises some of the world’s most prominent accounts

 

오바마 등 유명인 트위터 해킹 3명 검거…미 17세 청소년이 주도(종합) | 연합뉴스

---

의견 1: 미래 기술에 대한 무조건적인 맹신의 위험성

사회공학적 해킹을 막을 수 있는 방법은 관련규정을 정말 철저히 해야할 것 같습니다. 각각의 권한에 대해 명확한 책임 방침을 규정해야 한다고 생각합니다. 물론 이 방법도 책임 소재가 모든 사건에 딱딱 나눠지지 않는다는 한계점이 있습니다. 그러나 책임에 대한 부분을 엄격하게 관리함으로서 사회공학적 해킹에 대한 리스크를 낮춰야한다고 생각합니다.

그리고 여기서 사용된 비트코인이 범죄에 악용되고 있다는 점도 생각해 보아야합니다. 비트코인이 사용된 이유는 암호화 화폐는 특징인 익명성이 주된 원인이었습니다. 최근 국내외로 비트코인을 거래를 추적하는 기술도 발전 하고는 있지만, 아직까지는 범죄에 사용되는 빈틈이 존재하고 있습니다. 이에 저는 미래의 기술에 대해서 긍정적인 측면을 보는 시각 말고도, 이에 대한 부정적인 측면도 잘 이해해야 한다고 생각합니다. 결과적으로 미래 기술에 대한 무조건적인 맹신은 위험하다는 메시지를 이번 사건을 통해 전달해 보고 싶습니다. 

은닉과 추적, ‘박사방’에서 본 암호화폐 범죄화의 단면

의견 2: 보안의 중요성

1학년 때 이런 생각이 들었습니다. 모든 것은 IT와 연계가 될 것인데, 그럼 그 보안에 대한 수요가 엄청나질 것이다. 시스템 해킹만 생각한다면 1차적으로 맞지만 사회공학적 해킹은 이와 아예 다른 부분이기 때문에 이를 관리하는 체계가 더 중요하다고 생각됩니다. 회사에서는 다양한 정책을 펼칩니다. 보안 점검자, 점검데이, 모의 훈련 등 하지만 이 것도 역부족이죠. 

[전공 탐구] 중앙대 산업보안학과 (경영경제대학)

그래서 필요한 학과가 산업보안학과인 것 같습니다. 중앙대 산업보안학과가 기술뿐만 아니라 산업에 적용되는 법조적 사회적 부문을 신경쓰고 있습니다. 앞으로는 이러한 특성학과가 더 각광받지 않을까 생각드네요