[ccibomb@CRG]# _bykim

Marcus J. Ranum의 해킹 분류기법

현재 대부분의 해킹 대응을 위해 서비스를 제공하는 각종 업체 및 기관에서 주로 사용하고 있는 해킹기법 분류안은 침입차단 시스템을 가장 처음으로 만든 Marcus J. Ranum에 의해 분류된 것으로(KISA, 2000), 사용자 도용(impersonating), 소프트웨어 취약점(s/w vulnerablity), 버퍼오버플로우(buffer overflow), 환경설정 취약점(configuration vulnerabiltiy), 악성프로그램(malicious codes), 프로토콜 구조 취약점(protocol infrastructure error), 서비스거부공격(denial of service attack), E-mail 관련 취약점(e-mail vulnerability), 취약점 정보수집(vulnerabilities probling), 사회공학(social engineering) 기법 등으로 분류하고 있다.

참고문헌

KISA, (2000. 12.). “2000 정보시스템 해킹·바이러스 현황 및 대응”.
https://www.kisa.or.kr/jsp/common/libraryDown.jsp?folder=003336

Gilbert Alaverdian의 해커 분류기법

기존에 발표된 해커 분류안 중 해커의 수준을 감안한 분류안은 Gilbert Alaverdian에 의한 분류기법이 대표적이다. Gilbert Alaverdian은 해커를 다음과 같이 총 5가지로 분류한다.

출처 : 최양서, 서동일, 손승원(2001)

참고문헌

최양서, 서동일, 손승원. (2001). 해커 및 해킹 기법 수준 분류. 정보통신연구진흥원 학술정보, 14-31.

기존의 해커 유형분류

기존의 해커 유형분류는 권한의 유무, 해킹의 의도, 피해자를 기준으로 한 것이 대부분이었다(SANS, 2012). 첫째, 법적인 권한 유무에 따라 윤리적 해커(ethical hacker)와 비윤리적 해커로 구분이 된다. 윤리적 해커란 시스템 보안 강화를 위해 불법 해킹 행위를 색출하는 임무를 지닌 보안 컨설턴트나 IT 보안 기업 종사자, 또는 불법적인 해킹행위를 하는 범죄자들을 추적·검거하는 사이버수사관들을 의미한다. 즉, 모의해킹 및 컨설팅, IT감사, 영장집행 등 법적인 허가를 득하고 이를 수행하는 경우만을 의미하는 것이다.

둘째, 해킹의 의도를 기준으로 ‘화이트 햇(white-hat)’, ‘블랙 햇(black-hat)’, ‘그레이 햇(gray-hat)’ 해커로 구분이 되곤 한다(Gráinne Kirwan & Andrew Power, 2013). 화이트 햇(white-hat)은 통칭 컴퓨터 사용을 즐기는 사람들로서 다른 사람이나 기관 컴퓨터에 침투할 능력은 있지만 그 과정에서 악의적인 위해는 가하지 않는 해커들을 의미한다. 이들은 ‘윤리적(ethical)’ 해커라는 용어로 표현되기 하지만, 사용 권한이나 승인을 받지 않고 타인 및 특정 기관 소유 시스템에 침투하는 외부인들인 ‘화이트 햇’ 해커는 법적 권한을 가진 윤리적 해커와는 구분된다. 따라서 ‘윤리적 해커’가 아닌 ‘화이트 햇’ 해커들이 악의적 의도 없이 해킹을 시도한 경우라 할지라도 이는 명백한 범죄 행위로 볼 수 있다. 즉 해킹 피해 시스템에 아무런 손상이 없는 경우라 해도 공식적인 권한 없이 컴퓨터 혹은 네트워크에 접속하려는 시도는 그 자체로 명백한 불법 행위이기 때문이다. 이와 관련, 일부 ‘화이트 햇’ 해커들은 자신들이 해킹한 시스템의 보안 문제점들을 해당 시스템 담당자에게 전달하고 있기 때문에 실제로는 해당 시스템 보안 강화에 도움을 주고 있다고 주장하고 있다. 일례로 해커 아드리안 라모(Adrian Lamo)는 자신이 해킹한 기관에 보안 결함을 발견한 것에 대해 감사 인사만 해준다면 무상으로 보안 취약점을 개선시켜주겠다고 제안했다고 한다(Kahn, 2004). 구글, 페이스북, 모질라 등 기술 거대기업에서 시작되어 인기를 끈 버그 바운티(bug bounty) 프로그램은 취약점을 일으키는 버그를 찾는 사람에게 포상금을 주는 것으로, 효율적인 취약점 개선 방안으로 제시되고 있다(Kirstin Burnham, 2015).

‘블랙 햇(black-hat)’ 해커들은 ‘화이트 햇’ 해커들과는 달리 특정 기관이나 개인 보유 정보나 소프트웨어에 접근 권한을 불법적으로 획득하거나 악의적인 손상을 가할 의도를 지닌 자들이다. 이들에게는 해킹한 기관의 보안 결함 사항을 지적하여 취약점 개선 등과 같은 도움을 주기 위한 의도 따위는 존재하지 않는다. 한편 ‘그레이 햇(grey-hat)’들의 경우 표적으로 하는 시스템의 접속 방법을 알아내기 위해 해킹을 시도하는 해커들로서 자신이 발견한 사실들을 해당 기관 시스템 관리자에게 전달하면서 금전적 대가를 요구하는 경우가 많다. 또한 비윤리적 행태를 보이는 기관이나 특정인 소유 시스템에 대해 조직적 해킹 공격을 시도하는 이들을 ‘그레이 햇’ 해커라고 부르는 경우도 있다. 이들의 주된 표적 대상은 대체로 종업원들을 학대하거나 혹사시키는 비윤리적 기업들이다.

셋째, 공격대상인 피해자를 기준으로 ‘핵티비스트(hactivist)’와 일반 사이버범죄자(산업스파이 등 금전적 이익을 목적으로 하는 경우를 포함) 등으로 구분이 가능하다. 핵티비스트는 컴퓨터 해킹(hacking)과 정치행동주의자(activist)의 합성어로서, 정치적, 종교적 이념을 추구하거나, 사회적 부당함에 대해 널리 알리는 것을 목적으로 한다. 핵티비즘(hacktivism)의 유형은 정치적 크래킹(political cracking), 행위적 핵티비즘(performative hactivism), 정치적 코딩(political coding) 등으로 구분된다(Alexandra, 2004). 정치적 크래킹은 해커 프로그래머에 의해 수행되는 명백한 불법적인 해킹행위로 사이트 손상, 사이트주소 수정, 서비스거부공격, 정보 절도, 사보타주 등의 광범위한 기법을 활용한 일체의 활동이나 이념을 의미한다. 행위적 핵티비즘은 예술적 행위자들에 의해 수행되며, 광범위한 이슈를 포함하지만 세계화, 인권과 같은 오프라인 이슈에 초점을 두고, 합법·불법의 판단이 모호한 해킹행위로 가상의 농성이나 사이트 패러디 등 기법을 활용한 일체의 활동이나 이념을 의미한다. 정치적 코딩이란 정책 기만을 위한 소프트웨어 상품을 개발해 활동하는 것으로, 정치적 코더들은 전형적으로 익명을 사용하고, 개발된 소프트웨어는 사실상 자유롭게 공유·수정되며, 다른 코더들에 의해 향상될 수 있는 개방형 소스이다.

참고문헌

Larisa April Long. (2012). “Profiling Hackers”. SANS Institute.
https://www.sans.org/reading-room/whitepapers/hackers/profiling-hackers-33864

Gráinne Kirwan and Andrew Power. (2013). Cybercrime: The Psychology of Online Offenders. Cambridge University Press, New York.

Kahn Jennifer (2004. 4. 12). "The Homeless Hacker v. The New York Times". Wired Magazine.
https://www.wired.com/2004/04/hacker-5/

Kristin Bunham, (2015. 10. 15). “How (and why) to start a bug bounty program”.
http://cw.com.hk/feature/how-and-why-start-bug-bounty-program?page=0,1

Alexandra W.S. (2004). Hacktivism and the Future of Political Participation. Harvard University.

해커(Hacker) · 해킹(Hacking)

해킹(hacking)이 최근 들어 발생하였다고 생각하지만, 1950년대 후반부터 발생하기 시작했다(Levy, 1984). 당시에는 컴퓨터가 흔하지 않아 미국 몇몇 대학들을 기반으로 해커들이 활동하였는데, 초기 해커들은 컴퓨터 기술을 이용하고 향상시키는데 목적을 가지고 있었다. 이들로 인해 컴퓨터 기술의 대중화가 이루어졌다는 것이 통설이다. 해커의 사회적·심리적·기술적 특성을 알아보기에 앞서, 논쟁이 되는 ‘해킹(hacking)’이란 용어에 대해 살펴볼 필요가 있다. 연구자들의 관점 및 해커집단별 문화특성에 따라 해킹을 지칭하는 용어는 다르게 사용되므로 해킹에 대한 일반적인 정의를 확인하고, 세부 유형들에 대해 알아보기로 한다.

해커·해킹의 정의

해킹(hacking)은 정보통신망 이용촉진 및 정보보호 등에 관한 법률(약칭: 정보통신망법) 제2조 ①항 7호에서 “침해사고”를 일으키는 방법 중 하나로, 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위를 말한다고 정의된다. 위키피디아(wikipedia)에서는 해킹을 전자회로나 컴퓨터의 하드웨어, 소프트웨어, 네트워크, 웹사이트 등 각종 정보체계가 본래의 설계자나 관리자, 운영자가 의도하지 않은 동작을 일으키도록 하거나 체계 내에서 주어진 권한 이상으로 정보를 열람, 복제, 변경 가능하게 하는 행위를 광범위하게 이르는 말이라고 정의하며, 불법적 접근을 통해 다른 사람의 컴퓨터 시스템이나 통신망을 파괴하는 행위인 크래킹(cracking)과는 개념을 구분하고 있다. 또한 해커(hacker)는 선악(善惡)의 개념을 담지 않고 가치중립적이나, 언론 및 일반인들의 인식 상에서 해커는 컴퓨터 지식을 이용해 불법을 저지르는 크래커(cracker)와 구분되지 않고 컴퓨터 지식을 이용하여 권한이나 자격이 없는 다른 사람의 컴퓨터 및 특정기관의 시스템에 불법적으로 접근하는 사람으로 여겨진다.

학술문헌에서도 해킹(hacking)과 크래킹(cracking)에 대한 상대적 차이를 반영하지 못하고 있으며, 합의된 일관적 정의는 이루어지지 못하고 있다. 예를 들어 심슨(Simpson, 2006)은 해커를 ‘사용 권한 없이 타인이나 특정기관 소유 컴퓨터 시스템이나 네트워크 접속을 시도하는 자’로 정의하고, 크래커는 ‘데이터에 해를 가하거나 파괴하려는 의도를 지닌 자’로 정의하는 등 상대적 차이를 구분하려는 시도를 하고 있으나, 대다수의 연구자들은 해커와 크래커 모두 해커라는 용어로 지칭하고 있는 실정이다.

본 연구에서 사용하는 ‘해커’라는 단어의 의미는 기술적으로 타인의 정보시스템 등에 침입하는 행위를 시도하는 모든 사람을 의미하는 것으로서, 불법적인 의미의 크래커만을 의미하거나 이와 반대되는 좋은 의미만을 뜻하지 않는다.

참고문헌

Levy, S. (1984). Hackers. Dell, New York.

Simpson, Michael. (2006). Hands-On Ethical Hacking and Network Defense. Thompson, Boston MA.

사이버범죄 발생 및 피해현황

암수범죄가 많은 사이버범죄의 특성상 모든 범죄가 경찰에 신고되고, 수사되는 것은 아니나, 경찰에서 신고 접수하여 수사 종결한 사이버범죄 사건의 발생원표를 근거로 한 국내 사이버범죄의 발생 및 검거현황을 살펴보면 다음과 같다(경찰청 사이버안전국, 2016).

표. 사이버범죄 유형별 발생 및 검거현황(2004년~2016년 9월)

※ 내사종결도 사이버범죄의 변화추이를 분석할 수 있다는 점에서 포함

※ ’14. 7.부터 사이버 新범죄유형 통계를 적용하여 舊유형과 新유형간 비교는 어려움

출처 : 경찰청 사이버안전국(2016), 연구자 재구성

특히 정보통신망침해범죄의 경우, 2016년(1월∼9월)까지 총 2,052건 발생하였고, 검거건수(검거율)는 646건(31.5%)로, 다른 유형 범죄에 비해 50% 이상 낮은 검거율을 보였다. 해킹 등 다양한 사이버범죄가 꾸준히 증가하면서 피해자들의 직접피해 금액뿐 아니라, 사회적 손실비용도 상당하다. 해킹 기술을 이용한 금융범죄인 사이버금융범죄의 연간 직접 피해액은 피싱 116억원, 파밍 256억원 등 총 640억원에 이른다(2014년 경찰에서 신고 접수하여 수사 종결한 사이버범죄 사건의 발생원표 기준). 또한, 국내 주요 사이버테러에 대한 사회적 손실비용은 건당 363억원∼8,672억원으로 추산되고 있다.

출처 : 신영웅, 전상훈, 임채호, 김명철(2013); 이후기(2010); 한국인터넷진흥원(2010), 연구자 재구성

사이버범죄가 세계 경제에 미치는 손실 규모도 매년 증가하고 있는데(Ponemon Institute, 2015; AGCS, 2015), 사이버범죄로 가장 큰 피해를 보는 국가는 미국으로 총 피해액이 1080억달러(122조8824억원)에 달했다. 중국은 600억달러(68조2680억원)로 2위를 기록했고, 독일 590억달러(67조1302억원), 브라질 77억달러(8조7610억원), 인도 40억달러(4조5512억원), 싱가포르 12억달러(1조3653억원), 일본 9억8000만달러(1조1150억원) 순으로 뒤를 이었다.

이와 관련, 2014년 6월, 보안업체 맥아피와 미국 국제전략문제연구소(Center for Strategic and International Studies, CSIS)는 공동으로 사이버범죄가 세계 경제에 미치는 영향에 대해 조사한 ‘글로벌 사이버범죄에 관한 비용 추정 보고서’를 발표했다. 이 보고서에 따르면, 사이버범죄가 세계 경제에 미치는 손실은 연간 최소 3,750억 달러에서 최대 5,750억 달러로 추산, 연간 4,450억 달러(452조 원)에 달한다. 인터넷 경제 규모가 연간 2~3조 달러 규모인 점을 감안하면 사이버범죄 시장으로 인해 15~20%가 피해를 입고 있는 것이다. 사이버범죄는 전세계 GDP의 약 0.8% 수준의 사회적 비용을 유발하고, 국제범죄, 마약, 위조 등의 범죄 다음으로 높은 비중을 차지하고 있다(Ponemon Institute, 2015). 우리나라의 2015년 GDP인 1조 4,043억 달러의 0.8%를 계산해보면, 사회적 손실비용이 약 112억 달러(2016. 11. 26. 환율기준 적용시 약 13조 1600억원, 1$=1,175원)에 이른다.

참고문헌

신영웅, 전상훈, 임채호, 김명철. (2013). 국가 사이버보안 피해금액 분석과 대안–3·20 사이버 침해사건을 중심으로-. 국가정보연구, 6(1), 151.

이후기. (2010). 사이버테러에 따른 피해규모산정을 위한 연구. 동국대 석사학위논문. 31-40.

한국인터넷진흥원. (2010). 정보보호 사전점검 제도 활성화에 관한 연구. 215.

Ponemon Institute. (2015). “2015 Cost of Cyber Crime Study: Global”.
http://www8.hp.com/kr/ko/software-solutions/ponemon-cyber-security-report/

사이버범죄의 유형 분류

경찰에서는 2014년 6월 기존 사이버테러센터(課 단위)를 사이버안전국으로 확대·개편하면서, 기존 사이버범죄 유형 분류의 문제점을 인식하고, 사이버범죄 유형 재분류 작업을 진행하여 새로운 유형 분류 항목을 재설계하였다(곽병일, 2016). 크게 3가지 대분류로 정보통신망침해범죄, 정보통신망이용범죄, 불법콘텐츠범죄로 구분하고, 각각 정보통신망범죄는 해킹(계정도용, 단순침입, 자료유출, 자료훼손), 서비스거부공격, 악성프로그램유포 등을 포함하고, 정보통신망이용범죄는 인터넷사기(쇼핑몰사기, 게임사기 등), 사이버금융범죄(피싱, 파밍, 스미싱, 메모리해킹, 몸캠피싱 등), 개인위치정보침해, 사이버저작원침해 등을 포함하며, 불법콘텐츠범죄는 사이버음란물(일반음란물, 아동음란물), 사이버도박(스포츠토토, 경마경륜경정, 카지노 등), 사이버명예훼손모욕, 사이버스토킹 등을 포함한다.

출처 : 경찰청 사이버안전국 홈페이지(http://cyberbureau.police.go.kr), 연구자 재구성

UNODC는 전세계 법집행기관의 사이버범죄 카테고리 분류에서 ① Acts against the confidentiality, integrity and availability of computer data or systems, ② Computer-related acts of personal or financial gain or harm, ③ Computer content-related acts의 3가지 항목의 대분류 아래 14가지 항목의 소분류로 분류하였다(UNODC, 2013).

출처 : UNODC(2013), 연구자 재구성

유럽평의회(Council of Europe) 사이버범죄협약(Convention on cybercrime)에서는 ① 컴퓨터 데이터와 시스템의 기밀성, 무결성, 가용성에 대한 범죄(Offences against the confidentiality, integrity and availability of computer data and systems) ② 컴퓨터 관련 범죄 (Computer-related offences), ③ 콘텐츠 관련 범죄(Content-related offences) ④ 저작권 및 저작인접권 침해에 대한 범죄 (Offences related to infringements of Copyright and relates rights)의 4가지 항목의 대분류 아래 9가지 항목의 소분류로 나누고 있다(노명선, 2011).

출처 : 노명선(2011), 연구자 재구성

참고문헌

곽병일. (2016). 사이버범죄의 유형 분류에 관한 연구: 치안 현장의 실무적 관점을 중심으로. 고려대학교 대학원 석사학위논문.

UNODC. (2013). “Comprehensive Study On Cybercrime”
https://www.unodc.org/documents/organized-crime/UNODC_CCPCJ_EG.4_2013/CYBERCRIME_STUDY_210213.pdf

노명선. (2011. 11. 30). “사이버범죄 대처를 위한 EU 사이버범죄협약 가입 필요성과 가입에 따른 협약이행 방안”
http://www.prism.go.kr/homepage/researchCommon/downloadResearchAttachFile.do?work_key=001&file_type=CPR&seq_no=001&pdf_conv_yn=Y&research_id=1270000-201200024

사이버범죄의 정의 및 특성

사이버범죄의 개념은 아직 학문으로 정립된 것은 아니지만 보통 사이버공간 안에서의 범죄현상이라고 보는 것이 지배적이다. 사이버범죄에 대하여는 ‘사이버공간에 대한 특별한 지식을 이용하는 범죄’, ‘컴퓨터와 전자네트워크를 매개로 한 불법인 것으로 간주되는 행위 또는 활동’이라는 것이 다수의 의견이나(이원상, 채희정, 2010), 그 외에도 다양한 의견들이 있다.

사이버범죄란 용어는 컴퓨터범죄, 하이테크범죄, 네트워크범죄, 디지털범죄 등으로 표현되기도 하며, 각 용어들마다 그 의미나 개념적인 범위가 다르다(김계원, 서진완, 2008). 그러나 사이버범죄의 고유한 특색은 온라인 차원(online version)에서 정의되는 사이버 공격(cyber offence)-해킹, 크래킹(cracking) 그리고 바이러스 유포(virus dissemination)-에서 잘 나타나기 때문에(권오걸, 2009), 사이버공격이 사이버범죄에 해당된다는 데에는 이견이 없다.

사이버공간은 컴퓨터를 이용하고 인터넷을 매개로 하여 형성되는 생활공간으로서 불가시적이므로 현실세계와는 달리 행위자들이 자신의 얼굴을 드러내지 않고 행동한다는 비대면성, 익명성의 특징을 가지고 있다. 이로 인한 탈억제, 몰개성화 현상으로, 범죄를 쉽게 지르게 된다는 연구결과도 있다(Joinson, 1998; 이성식, 2004b). 또한 국경이 없고 다양한 주체들이 참여하는 사이버공간의 특성상 보편적인 가치규범이 존재하기 어려워 윤리의식이 부족하고, 시·공간의 제약이 없으며, 특히 해킹 등 사이버공격의 경우 고도의 전문성과 기술력이 필요하다는 특징과 함께 실제로 발생하였음에도 수사기관에 인지되지 않는 등 공식적인 범죄통계에 나타나지 않는 암수성을 갖는다(강동범, 2000; 김수정, 2004; 이성식, 2008 등)

<참고문헌>

이원상, 채희정. (2010). 사이버범죄의 새로운 유형과 형사정책적 대안연구. 한국형사정책연구원, 16(3), 1-139.

김계원, 서진완. (2012). 청소년의 인터넷 중독 수준과 사이버범죄의 상관관계 분석. 한국치안행정논집, 9(2), 23-43.

권오걸. (2009). 사이버범죄와 대응전략. 한국법학회, 법학연구, 36(0), 191-216.

Joinson, A.N. (1998). Causes and Implications of Disinhibited Behavior on the Internet. In Psychology and the Internet, J. Gackenbach(ed.). Academic Press, New York.

이성식. (2004b). 사이버공간에서의 익명성이 언어플레이밍에 미치는 영향에서의 경로모델의 제시와 검증. 형사정책, 16(2), 163-186.

강동범. (2000). 사이버범죄와 형사범적 대책. 제25회 형사정책연구원 형사정책세미나.

김수정. (2004). 청소년의 정보통신 윤리의식과 사이버범죄와의 관계연구. 청소년복지연구, 6(1), 69-88.

이성식, (2008). 사이버범죄의도에 대한 공식처벌의 억제효과 —일반청소년과 보호관찰청소년의 비교, 형사정책, 20(1), 187-206.