 |
지난 8월 7일부터 3일간 세계 최대의 해킹대회인 데프콘(DEFCON33)이 라스베이거스에서 열렸다. 총 195개 팀이 참석한 이번 대회에서는 한국·미국·캐나다 연합팀인 MMM이 우승했다. 한국은 2022년부터 4년째 1위를 차지하고 있다. 고도의 사이버 역량을 증명한 한국 참가자들의 능력만큼이나 우리의 국가 사이버 안보 역량은 국제사회에서도 높이 평가받고 있다.
국제전기통신연합(ITU)이 2024년 발표한 ‘세계사이버안보지수’에서 한국은 가장 높은 수준의 사이버 역량을 갖춘 롤모델 그룹인 Tier1에 속한다. 호주 씽크탱크 로위 연구소(Lowy Institute)가 매년 발표하는 사이버 국가 역량 순위에서도 한국은 2023년 세계 4위, 2024년 세계 6위였다. MIT테크놀로지리뷰는 2022-2023년 한국의 사이버 방위력을 세계 3위로 평가했다.
그런데 이번 데프콘33 대회에서 배포된 해커 전문잡지 ‘프랙(Phrack)’에는 한국 연합팀의 쾌거를 무색하게 하는 한국 정부기관에 대한 해킹 사고가 소개됐다. 불과 두 달 전인 6월 한국 방첩사, 행정안전부, 외교부, 검찰청 내부 서버 및 네트워크, 이메일 플랫폼 등의 접속 권한이 대규모로 탈취된 사건이었다. 우리나라 군사안보 및 외교의 가장 중요한 정보가 대대적으로 유출되어 향후 이러한 정보를 이용한 2차·3차 공격이 예상된다. 해외 전문가들은 이번 해킹이 북한 킴수키의 공격 방식을 흉내 낸 중국 해커들의 소행으로 보고 있다. 중국어를 사용해 대만을 공격했으며, 공격에 사용된 인프라의 위치와 공격 시간 등이 그러한 정황을 입증한다.
최근 SKT에 대한 대규모 해킹 사고 때문에 아마 시민들은 우리 사이버 역량에 대한 국제사회의 좋은 평가가 대단히 의아할 것이다. 어떻게 설명해야 할까? 2024년 4월 옥스퍼드 대학이 발간한 ‘사이버범죄지수’는 세계 최대의 사이버 범죄 진원지로 러시아를 지목했고, 중국은 3위였다. 러시아와 중국은 ITU의 세계사이버안보지수에서 Tier1 국가군보다 역량이 떨어지는 Tier2에 속한다. 즉 공세적 사이버 공격력이 곧 그 국가의 사이버 역량의 전부가 아니다. 미국은 세계 최고의 사이버 역량에도 불구하고 전 세계에서 사이버 공격을 가장 많이 받는 나라다. 인터넷 ‘연결성’이 높을수록 외부 공격에 대해 모든 것을 방어해야 하는 취약성은 커진다. 특히 선진국들은 ‘방어’ 중심의 사이버 전력을 보유한 반면 러시아, 중국, 이란, 북한과 같은 권위주의 국가는 ‘공격’ 중심의 사이버 전력을 갖고 있다.
한국은 데프콘33에서 우승을 차지했지만, 국가적으로 공세적 사이버 역량은 2022-2024년 동안 국가 사이버 안보 전략에서 ‘공세적 방어’가 강조되면서 겨우 사용되기 시작했다. 국가의 핵심 기관들이 전면적인 공격을 받는 것은 대개 사이버전의 징후이다. 군사력의 직접적인 사용을 회피하면서도 국가를 파괴, 붕괴시킬 수 있는 하이브리드전의 수행 방식으로 사이버전은 국가 위기를 실시간으로 유발시킬 수 있어 공격자들이 선호하는 도발 방식이다. 우리의 국방망, 외교망, 통신망, 금융망이 대거 털리고 있는 이 사이버 전장에서 한국은 더 이상 물러날 곳이 없다. 데프콘에서 입증한 우리의 공세적 역량을 이제는 더 이상 해킹대회가 아닌 현실에서 사용할 시점이다.
송태은 국립외교원 국제안보통일부 교수
