공용 와이파이에 접속할 때 우리가 흘리는 것들

우리는 카페에 한 해커를 데려갔다. 그는 20분 만에 카페 안의 모든 사람들이 어디에서 태어났는지, 어느 학교를 다녔는지, 그리고 이들이 최근에 검색한 다섯 가지를 알아냈다.

[note note_color=”#f3f3ef”]네덜란드의 De Correspondent 기사 전문을 우리말로 옮겼습니다. 초벌 번역을 별다른 수정없이 바로 발행한 것이라 문장이 일부 매끄럽지 못할 수 있습니다. 저는 원문을 Matter를 통해서 처음 읽었습니다.[/note]

by Maurits Martjin
Translated from Dutch by Jona Meijers
(from English by Subin Kim)
Illustrations by Kristina Collantes

34세의 바우터 슬롯봄(Wouter Slotboom)은 안테나가 달려 있는, 담배갑 보다 조금 더 큰 크기의 작은 검정 기기를 자신의 백팩에 넣고 다닌다. 나는 암스테르담 중심가의 한 카페에서 그를 만났다. 몇몇 사람들은 대화를 하고 있었고 다른 사람들은 랩탑으로 작업을 하거나 스마트폰을 만지작 거리고 있었다.

바우터는 백백에서 랩탑을 꺼내고는 그 검은색 기기를 테이블에 놓고 메뉴판 밑에 숨겼다. 웨이트리스가 지나가자 우리는 커피 두 잔과 와이파이 비밀번호를 부탁했다. 그러는 동안 바우터는 랩탑과 기기의 전원을 켜고는 몇몇 프로그램들을 실행시켰다. 곧 화면에는 녹색의 텍스트들이 가득 차기 시작했다. 바우터의 그 기기가 카페 손님들의 랩탑과 스마트폰 그리고 태블릿에 접속하고 있는 것이었다.

화면에는 ‘존의 아이폰’ 이나 ‘사이먼의 맥북’과 같은 단어들이 나타나기 시작했다. 기기의 안테나가 우리 주변의 랩탑과 스마트폰, 태블릿이 보내고 있는 신호들을 가로채고 있었다.

더 많은 텍스트가 화면에 나타났다. 우리는 손님들의 기기들이 이전에 어느 와이파이망에 접속했었는지 볼 수 있었다. 와이파이망의 이름이 숫자와 문자가 뒤섞여 어느 지역에 위치한 것인지 알기 어려운 경우도 있었지만 꽤 많은 경우, 와이파이망의 이름들은 그 망들이 어느 곳에 위치한 것인지를 보여주었다.

우리는 존이 이전에 맥도널드를 방문했으며 휴가를 스페인에서 보냈으리라는 것(스페인어로 된 와이파이망 이름들이 많았다), 그리고 카트 레이싱을 했다는 것(유명한 카트레이싱 센터의 와이파이망에 접속했었다)을 알 수 있었다. 또다른 손님인 마틴은 히드로 공항과 미국의 사우스웨스트 항공의 와이파이망에 접속했었다. 아마 암스테르담에서는 화이트 튤립 호텔에 묵고 있을 것이다. 그리고 그는 ‘불독’이라는 이름의 커피숍을 방문했었다.

세션 1: 가짜 네트워크에 접속하게 만들기

웨이트리스는 우리에게 커피와 와이파이 패스워드를 제공했다. 와이파이망에 연결하자, 슬롯봄은 모든 카페 손님들에게 인터넷 연결을 제공하고 모든 인터넷 트래픽이 그의 작은 기기를 통해 전송되도록 조작할 수 있었다.

대부분의 스마트폰, 랩탑, 태블릿은 자동으로 와이파이망들을 검색하고 연결한다. 보통 이전에 연결한 적이 있던 망을 선호한다. 예를 들어서 만약 당신이 올레 와이파이망에 접속한 적이 있었다면 당신의 기기는 현재 위치에서 올레 와이파이망을 검색할 것이다.

슬롯봄의 기기는 이러한 와이파이망 검색어들을 알아채서 자신을 믿을 수 있는(이전에 접속한 적 있는) 와이파이망으로 위장하는 기능을 갖고 있었다. 갑자기 내 아이폰의 ‘사용 가능한 네트워크’ 목록에 우리집과 직장의 와이파이망과 내가 이전에 방문한 적 있는 곳들의 목록이 떴다.

슬롯봄은 또한 가짜 와이파이망 이름을 만들어서 사용자들로 하여금 자신이 방문한 곳의 와이파이망에 접속하고 있다고 믿게끔 만들 수도 있었다. 예를 들어 어느 곳의 와이파이망 이름이 숫자와 문자의 무작위적 배열로 이루어져 있다면 (Fritzbox xyz123), 슬롯봄은 특정한 와이파이망 이름(Starbucks)을 지정하여 제공할 수 있다. 사람들은 이런 이름의 와이파이망을 더 선호한다고 그는 말한다.

점점 더 많은 손님들이 우리의 가짜 와이파이망에 접속하고 있었다. 이 작은 검정색 기기의 마력은 저항할 수 없는 듯했다. 이미 20대의 스마트폰 및 랩탑이 우리 것이 되었다. 원하기만 한다면 슬롯봄은 여기에 연결되어 있는 기기의 주인들의 삶을 망가뜨릴 수 있었다. 그들의 패스워드를 얻어내 그들인양 행세할 수도 있었고 은행 계좌를 털 수도 있었다. 이따가 그것을 어떻게 할 수 있는지 그는 내게 보여줄 것이었다. 와이파이망을 검색하고 있는 스마트폰이나 와이파이망에 접속을 시도하는 랩탑을 가진 누구나 희생양이 될 수 있었지만 나는 그가 어디까지 할 수 있는지를 보기 위해 나를 해킹해달라고 했다.

극소수의 예외를 제외하면, 모든 것이 해킹 가능하다.

공공장소에서의 와이파이망이 안전하지 않다는 것은 그리 새로운 이야기가 아니다. 그러나 이 이야기는 아무리 강조해도 지나치지 않다. 전세계에 14억이 넘는 스마트폰 사용자들이 존재하며 미국에만 1억 5천만 명이 넘는 스마트폰 사용자들이 있다. 9천 2백만 명 이상의 미국 성인들이 태블릿을 갖고 있으며 1억 5천만 명 이상이 랩탑을 갖고 있다. 랩탑과 태블릿 수요는 전세계적으로 매년 늘고 있다. 2013년에만 전세계에서 2억 대의 태블릿과 1억 8천만 대의 랩탑이 판매된 것으로 추산된다. 휴대기기를 가지고 있는 거의 모든 사람들이 커피를 마실 때나 기차 안 또는 호텔에서 공용 와이파이망에 한 번쯤은 연결했을 것이다.

다행인 것은, 어떤 와이파이망들은 다른 망들보다 더 잘 보호되어 있으며 어떤 이메일 앱이나 소셜미디어 서비스들은 타사 제품들보다 더 안전한 암호화 기법을 사용한다는 사실이다. 그러나 바우터 슬롯봄과 함께 암스테르담을 거닐어 보면 와이파이망에 연결된 거의 모든 것이 해킹 가능하다는 것을 알게 된다. 위협정보(risk intelligence) 컨설팅 업체인 Risk Based Security의 연구는 2013년에 8억 2천 2백만 건 이상의 개인정보(신용카드 번호, 생년월일, 의료정보, 전화번호, 사회보장번호, 주소, 사용자명, 이메일, 이름, 패스워드 등)가 유출되었다고 추산하고 있다. 이 개인정보들의 65%가 미국에서 나온 것이다. IT 보안업체 카스퍼스키 랩는 2013년 한 해에만 전세계에서 3천 7백만의 사용자들(미국에서는 450만 명)이 피싱(phishing)에 당했다고 추산하고 있다. 다시 말해 이만한 수의 피해자들의 결제정보가 해킹된 컴퓨터, 스마트폰, 웹사이트로부터 도난당했다는 것이다.

연이은 보도들은 디지털 정체성 사기가 점차 흔한 문제가 되고 있음을 보여주고 있다. 해커와 사이버범죄자들은 갖가지 트릭들을 보유하고 있다. 그러나 비보안 공개 와이파이망들이 많아 이를 극도로 쉽게 만들고 있다. 네덜란드의 국가사이버보안센터가 아무 의미 없이 이런 조언을 하는 게 아니다: “공공장소에서 공개된 와이파이망을 쓰는 것은 바람직하지 않습니다. 이러한 와이파이망을 사용할 경우 업무나 금융에 관련된 활동은 피하는 것이 좋습니다.”

슬롯봄은 스스로를 ‘윤리적 해커’라고 이른다. 인터넷과 기술의 잠재적 위험을 공개하고자 하는 사람들을 이르는 기술애호가를 뜻한다. 그는 개인들과 업체들에게 어떻게 하면 자신의 정보와 스스로를 더 잘 보호할 수 있는지에 대해 조언한다. 보통 오늘 보여준 것처럼 얼마나 쉽게 피해를 가할 수 있는지를 보여주는 방식으로다. 왜나하면, 정말로 이건 애들 장난 수준으로 쉽기 때문이다. 해킹을 위한 기기는 저렴하고 트래픽을 가로채는 소프트웨어는 사용하기 매우 쉬우며 바로 내려받을 수 있다. “70유로(한화 9만원)와 평균 수준의 IQ, 그리고 약간의 인내심만 있으면 된다.” 해킹하는 데 필요한 장비나 소프트웨어, 앱에 대한 설명과 같은 보다 기술적인 부분에 대해서는 다루지 않을 것이다.

세션 2: 이름, 패스워드, 그리고 성적 정체성 찾아내기

슬롯봄의 백팩으로 무장한 우리들은 라테 아트로 아름다운 꽃을 그려주는 걸로 유명하며 랩탑으로 작업하는 프리랜서들이 즐겨찾는 커피하우스로 자리를 옮겼다. 이곳에는 화면에 집중하고 있는 사람들로 가득하다.

슬롯봄은 장비들의 전원을 켰다. 똑같은 방식으로 단 몇 분만에 20대 정도의 기기들이 우리의 가짜 와이파이망에 접속했다. 각 기기들의 맥(mac)주소와 로그인 기록들을 볼 수 있었으며 몇몇 경우에는 기기 주인의 이름도 볼 수 있었다. 나의 요청으로 우리는 더 깊이 나아갔다.

슬롯봄은 또다른 프로그램을 실행시켰다. 가짜 와이파이망에 연결된 스마트폰과 랩탑에서 더 많은 정보를 추출하는 데 쓰는, 쉽게 내려받을 수 있는 프로그램이었다. 전화기 모델의 이름(갤럭시 S4)도 볼 수 있었고 각각의 기기에서 쓰는 언어 설정과 사용 중인 운영체제의 버전(iOS 7.0.5)도 볼 수 있었다. 만일 어떤 기기가 구식의 운영체제를 갖고 있으면 보안체제에 쉽게 악용할 수 있는 ‘버그’가 있기 마련이다. 이러한 정보로 운영체제에 침투하여 기기를 빼앗을 수 있다. 커피하우스 손님들을 샘플로 분석해 보니 우리의 가짜 와이파이망에 연결된 기기들 중 최신 운영체제가 설치되어 있는 기기는 하나도 없었다. 구형 운영체제들의 경우 온라인에서 알려진 버그를 찾을 수 있다.

이제 우리 주변에서 흐르고 있는 실제 인터넷 트래픽을 볼 수 있게 되었다. 맥북을 사용하고 있는 한 사람이 현재 nu.nl이라는 뉴스 사이트를 보고 있다는 것을 알 수 있었다. 많은 기기들이 WeTransfer로 문서를 보내고 있고, 누구는 드롭박스에 연결을 하고, 또 누구는 텀블러(Tumblr)를 보고 있다는 걸 알 수 있었다. 방금 누군가가 포스퀘어에 접속했다는 것도 알 수 있었다. 이 사람의 이름도 알 수 있었고, 그 사람의 이름을 구글에 검색해보니 바로 우리 몇 미터 옆에 앉아있는 이 사람의 얼굴을 확인할 수 있었다.

정보가 물밀듯이 흘러들어왔다. 작업을 하거나 웹서핑을 하고 있지 않은 손님들의 정보도 그랬다. 많은 이메일 프로그램과 앱들은 서버와 지속적으로 통신을 한다. 기기가 새 이메일을 받으려면 필요한 일이다. 몇몇 기기와 프로그램의 경우에는 어떠한 정보가 오가고 어느 서버를 통하는지도 볼 수 있었다.

이제 정말로 개인적인 것까지 볼 수 있었다. 우리는 한 손님이 스마트폰에 게이 전용 데이트 앱인 Grindr를 설치했다는 걸 알 수 있었다. 그가 사용하고 있는 스마트폰의 이름과 종류(아이폰 5s)도 볼 수 있었다. 우린 여기서 멈추었지만 그 전화기의 소유자가 누구인지를 확인하는 건 어려운 일이 아니다. 또한 우리는 누군가의 스마트폰이 러시아의 서버에 접속하여 패스워드를 전송하고 있다는 걸 알 수 있었다. 이 패스워드를 가로채는 것 또한 가능했다.

 

세션 3: 직업과 취미, 애정관계의 문제에 대한 정보 습득하기

많은 앱, 프로그램, 웹사이트 등이 암호화 기술을 사용한다. 허가받지 않은 이가 기기가 주고 받는 정보에 접근하지 못하게 하기 위해서다. 그러나 사용자가 슬롯봄의 와이파이망에 한 번 접속하기만 하면, 암호해독 소프트웨어의 도움으로 상대적으로 쉽게 이러한 보안장치를 우회할 수 있었다.

놀랍게도 우리는 개인정보를 온라인 광고 회사에 보내는 앱을 볼 수 있었다. 위치정보와 스마트폰의 기술정보, 그리고 와이파이망의 정보를 보내고 있었다. 우리는 또한 소셜 북마킹 웹사이트인 Delicious를 사용하는 여성의 이름을 알 수 있었다. Delicious는 사용자들로 하여금 관심 있는 웹사이트의 즐겨찾기를 공유할 수 있게 한다. Delicious 사용자가 공유하는 웹사이트들은 원칙적으로 공개되어 있지만 이 정보를 통해 우리가 이 여성에 대해 얼마나 알 수 있는지를 깨닫게 되자 우리가 관음증 환자처럼 여겨졌다.

첫째로 우리는 그녀의 이름을 검색했다. 그녀가 어떻게 생겼고 이 커피하우스 어디에 앉아있는지를 즉각 알 수 있게 해준다. 우린 그녀가 유럽의 다른 나라에서 태어났고 최근에 네덜란드로 이주했다는 걸 알 수 있었다. Delicious로 통해 우리는 그녀가 네덜란드어 학습 웹사이트에 접속했었으며 네덜란드의 사회통합교육프로그램에 대한 정보를 담고 있는 웹사이트를 즐겨찾기 했다는 걸 알 수 있었다.

20분도 채 되지 않아 우리는 몇 미터 옆에 앉아있는 이 여성이 어디서 태어났고 어디서 공부를 했다는 걸 알 수 있었다. 또한 코골이를 방지하는 만트라에 대한 사이트를 즐겨찾기했고, 요가에 관심이 있으며, 최근 태국과 라오스를 방문했으며 연인관계를 유지하는 법에 대한 팁을 제공하는 웹사이트에 큰 관심을 갖고 있음을 알 수 있었다.

슬롯봄은 내게 몇 가지 해커 트릭을 보여주었다. 스마트폰의 앱을 사용하여 그는 어느 웹사이트에서건 특정 단어를 바꿀 수 있었다. 예를 들어 한 정치인의 이름을 최근 재판을 받은 연쇄살인마의 이름으로 바꾸도록 설정하면 슬롯봄의 와이파이망에 연결된 사용자들은 원래의 이름 대신 다른 이름을 웹사이트에서 보게 된다. 잘 작동했다. 다른 트릭도 시도했다. 사진이 있는 웹사이트를 띄우면 원래 사진 대신 슬롯봄이 설정한 사진이 뜨게 만드는 것이다. 장난질에 활용하면 무척 재미있겠지만, 이 방법으로 다른 사람의 스마트폰에 아동 포르노 사진을 뜨게 만드는 것도 가능하다. 아동 포르노의 소지는 범죄이다.

패스워드 가로채기 성공

우리는 또다른 카페를 찾았다. 나는 마지막으로 슬롯봄에게 그가 정말 나에게 피해를 입히고자 한다면 어떻게 할 것인지 보여달라고 요청했다. 그는 마이크로포스트의 이메일 사이트인 live.com으로 접속해서 임의로 사용자 이름과 패스워드를 입력해보라고 했다. 몇 초 후, 내가 방금 입력한 정보가 그의 화면에 떴다. “이제 나는 당신의 이메일 계정에 접속할 수 있게 되었습니다. 제가 처음으로 할 일은 이 계정의 패스워드를 바꾼 다음 당신이 사용하는 다른 서비스들의 웹사이트에 가서 패스워드를 잃어버렸다고 말할 겁니다. 대부분의 사람들이 모든 서비스에 똑같은 이메일 계정을 쓰죠. 그러면 새로운 패스워드가 당신의 이메일 계정으로 보내집니다. 그럼 이제 나는 당신의 다른 서비스들에 대해서도 소유권을 갖게 되죠.” 우리는 페이스북에도 똑같이 해보았다. 슬롯봄은 내가 입력한 사용자명과 패스워드를 상대적으로 쉽게 가로챌 수 있었다.

슬롯봄이 쓰는 또다른 트릭은 내 인터넷 트래픽을 우회시키는 것이었다. 예를 들어, 그는 내가 은행 웹페이지에 접속하려고 할 때마다 실제 은행 웹페이지 대신 그가 만들어 놓은 다른 페이지로 리디렉션하도록 프로그램을 설정할 수 있다. 은행 웹페이지랑 똑같이 만들어 놓았지만 슬롯봄이 장악하고 있는 페이지이다. 해커들은 이를 DNS 스푸핑(spoofing)이라고 부른다. 20분 사이에 그는 나의 live.com, SNS Bank, 페이스북, DigiD 계정의 패스워드를 획득했다.

난 이제 절대로 보안장치가 없는 공용 와이파이망에 접속하지 않을 것이다.