얼마 전 몹시 추운 날, 강남에서 점심시간을 이용해 iSight에서 근무하는 라이언(Ryan MacArthur)과 인터뷰 시간을 가졌다. 그는 지난해 10월부터 한국에 거주하며 한국 보안상황에 대한 연구활동과 더불어 한국 해커들과의 활발한 교류를 해 오고 있었다.
 
기자는 올해 초 열린 코섹(KOSEC) 모임에서 라이언을 처음 알게 됐고 그가 한국에서 하는 일이 궁금했던 차에 비스트(beist) 이승진씨의 주선으로 인터뷰 자리를 갖게 됐다. 라이언과의 인터뷰는 강남에 있는 모 중식당에서 이루어졌으며 고량주와 소주잔이 오가는 가운데 화기애애하게 진행됐다. 통역은 이승진씨의 도움을 받았다. 이승진씨에게 지면을 통해 감사의 말씀을 전한다.  
 
다음은 라이언과의 인터뷰 내용이다. 그는 한국에 온지 4개월 정도밖에 안됐지만 한국의 보안현실을 객관적 입장에서 정확히 파악하고 있었으며 한국의 해커뿐만 아니라 여러 보안전문가들과 활발한 교류를 원하고 있었다. 라이언은 꽤 괜찮은 친구였다. 한국식으로 말하자면 남자다운 친구다. 술값도 선뜻 낼 줄 아는…
 
◇본인 소개를 간단하게 해주실 수 있을까요?
저는 현재 iSight(www.isightpartners.com)에서 근무를 하고 있으며 작년 10월부터 한국에서 거주하고 있습니다. Johns Hopkins 대학에서 Malware 자동 분석과 관련한 연구로 학위를 받았으며, 학위 후엔 Symantec에 입사해 Malware 분석 업무를 수행했습니다. 그 후 Symantec을 떠나 iSight에 합류했으며 Reverse engineer 직함을 갖고 있습니다.
 
저는 여행을 좋아하고 친구들과 술 마시는 것을 즐깁니다. 특히 한국의 술 문화에 깊은 감명을 받았습니다. 실제로 로컬 해커들과 자주 어울리는데, 한국 해커 beist, 스웨덴 해커 rebel과 함께 KOSEC(Korea Security)이라는 친목 모임을 만들기도 했습니다. 처음엔 3명이서 시작했지만 이제는 규모가 커져 매 모임 때마다 15명 정도가 나옵니다.
 
◇보안에 관심을 갖게 된 계기가 있다면요?
다른 많은 사람들과 마찬가지로 저 역시 어렸을 적에 온라인 게임을 즐겼습니다. 게임을 즐기던 어느 순간, 게임보다는 이 게임이 어떻게 작동하는지 그 자체가 궁금하기 시작했습니다. 사람들이 온라인 상에서 어떻게 커뮤니케이션을 하고 있는지, 적과 싸우는 시스템을 위해서 구현한 방법이 무엇인지 궁금해지기 시작한 것이죠. 따라서 네트워크나 운영체제 같은 것을 배우기 시작한 것은 자연스러운 현상이었습니다.
 
운이 좋았던 것은, 그 시기에 저와 같은 관심사를 가진 해커들을 만날 수 있었다는 것이죠. IRC 등에서 많은 좋은 해커들을 만날 수 있었고, 정보 공유를 시작했습니다. 이것이 제가 해커가 된 계기입니다. 이 해커들과는 지금까지도 연락을 하고 지내고 있습니다.
 
◇iSight가 하는 일은 무엇인가요?
기본적으로 iSight는 제품이나 솔루션을 판매하는 회사는 아닙니다. 저희는 클라이언트들에게 서비스를 제공하죠. 잘 아시겠지만, 인터넷에는 온라인 범죄자들이 넘쳐납니다. 작은 위협부터 시작해서 매우 치밀하고 위험한 공격까지, 온라인 범죄는 끊이지 않고 일어나고 있습니다. 많은 기업들이 보안의 중요성을 느끼고 있습니다. 보안 사고가 일어나면 기업에 막대한 손실을 줄 수 있다는 것을 깨닫고 있는 것이죠.
 
iSight는 전 세계에서 일어나고 있는 보안 위협들에 대해서 파악하고, 이러한 정보들을 클라이언트에게 제공합니다. 전 세계에 8개의 iSight 오피스가 있고, 로컬 해커들을 고용해 각 국가에서 일어나고 있는 사이버 위협들에 대한 정보를 파악합니다. 예를 들어 우리 클라이언트를 음해하려는 세력이 있는지, 혹은 기업 정보가 블랙 마켓에서 거래되고 있는 것은 아닌지 등의 정보를 제공합니다. 이러한 정보들은 클라이언트가 적절한 보안 대책을 세우고, 리스크 관리를 할 수 있도록 도움을 줄 수 있습니다.
 
◇현재 한국에 거주하고 계신데요, iSight가 한국에 관심을 갖는 이유는 무엇인가요?
말씀 드렸지만, 저희는 전 세계에서 정보를 수집합니다. 아직은 시작 단계이지만 한국에서도 각종 정보를 수집하고 있습니다. 또한 한국은 지리적으로 아주 중요한 위치에 있으며, 이것은 당연히 사이버 영역에까지 영향을 주기 때문에 iSight로서는 한국에 관심이 있을 수 밖에 없습니다.
 
특히, 많은 외국 보안 기업들이 전 세계적으로 비즈니스를 하고 있지만, 정작 한국에 대해서 잘 알고 있는 기업은 거의 없습니다. 예를 들어, 한국에서 가장 많이 쓰이는 워드 프로세서인 ‘한글’이나 메신저인 ‘네이트온’에 대해서 잘 알고 있는 기업은 없다는 것이죠. 우리는 이런 세세한 부분을 아는 것도 중요하다는 것을 인지하고 있고, 그래서 한국 시장을 개척하려는 겁니다.
 
◇지금까지는 그런 외국 회사가 없었기 때문에 흥미롭네요. 어떻게 진행이 되고 있나요?
iSight는 한국에서 여러 개의 프로젝트를 진행 중입니다. 그리고 정보 공유를 하기 위해 베이징에 있는 오피스와도 협업을 하고 있죠. 중국에서는 엄청난 범죄와 악성 트래픽이 쏟아지고 있는데 이러한 정보들을 파악하는 것이 저희가 하고 있는 일이기도 하죠. 또한 저희는 한국에서의 보안 위협에 대한 상황을 이해하기 위해 뛰어난 한국 보안 연구원들을 채용했습니다.
 
한국의 오피스를 포함하여 이제는 8개의 리서치 센터를 보유하게 되었죠. 브라질의 상파울로, 미국의 워싱턴 DC, 댈러스, 네덜란드의 암스테르담, 우크라이나, 루마니아, 인도, 중국 베이징에 위치하고 있습니다. 저희는 이러한 리소스를 통해 전 세계적으로 일어나고 있는 사이버 범죄에 대해 알아내고 있으며 이 정보들을 토대로 저희 고객이 사이버 범죄를 효과적으로 방어할 수 있도록 도와주고 있습니다.
 
◇2011년에 많은 한국 기업이 해킹을 당했습니다. 이에 대해 알고 계시나요?
네, 저도 그 뉴스들을 봤습니다. 안타까운 일들이죠. 워낙 큰 이슈가 된 사건들이었기 때문에 한국 내에서뿐만 아니라 전 세계적으로 알려졌습니다. Targeted attack(타깃 공격)을 통해 해킹을 당했다고 알고 있는데, 사실 APT 공격은 한국뿐만 아니라 전 세계적으로 일어나고 있습니다. 대상은 일반 기업도 포함하지만 정부 역시 예외가 될 순 없습니다.
 
◇한국 기업들의 보안 수준에 대해서 어떻게 생각합니까?
솔직히 말씀 드려서 제가 한국 기업들의 보안 수준에 대해서 자세히 알지는 못합니다. 그러나 작년에 일어났던 사건들을 포함하여 몇 가지 알려진 정보들을 추가로 분석해본 결과, 한국의 보안 상황은 미국에 비교했을 때 3~4년 정도는 뒤쳐져 있다고 생각합니다. 이렇게 생각한 이유를 3가지 정도, 말할 수 있을 것 같습니다.
 
첫째, 한국에서 일어나고 있는 해킹 사고는 미국에서는 비교적 과거에 이용되었던 기술들이라 볼 수 있습니다. 물론 보안 사고를 100% 예방한다는 것은 불가능한 이야기입니다. 그러나 한국의 해킹 사고에 이용됐던 기술들은 그다지 고급이 아니라는 것이죠. 예를 들어 ActiveX는 미국에서는 더 이상 이슈가 되지 않고 있지만 한국은 여전히 골칫거리로 알고 있습니다. 또한, 모 기업을 공격하기 위해 쓰였던 업데이트 취약점도 분명 대단한 기술은 아닙니다.
 
둘째, 한국 기업들이 보안에 대해서 생각하고 있는 마인드의 문제를 말하고 싶습니다. 한국의 보안 시장이 잘 발달되어 있는 것은 사실입니다. 모의해킹이나 관제 같은 서비스도 잘 되어 있다고 알고 있습니다. 그러나 그뿐이라는 것이죠. 가령, 웹 사이트가 취약한지 검증하는 것은 잘하고 있지만 보안에 대해서 거시적으로 생각하지는 않는 것 같습니다. 웹 사이트가 아무리 안전하더라도 사람이 해킹 당하는 순간, 그걸로 끝입니다. 또 다른 예로, 게임 회사조차 온라인 범죄자의 동향이나 블랙 마켓을 추적하는 팀이 없다는 것은 큰 문제입니다. 이러한 정보들이 있다면 회사의 정책을 세울 때 도움이 될 수 있습니다. 바이너리나 코드 검증 등 자사 프로그램의 안정성을 검증하는 비즈니스가 활발하지 않다는 것도 추가적인 예로 볼 수 있습니다.
 
셋째, 제가 듣기로는 한국 해커들의 경우 실력은 좋지만 그만한 대우를 못 받고 있는 것으로 알고 있습니다. 이것만 보더라도 한국이 보안의 중요성에 대해 어떻게 생각하고 있는지 알 수가 있는 것이죠. 보안이 얼마나 중요한지 인지한다면, 해당 직종에 있는 사람들에게 보다 좋은 대우를 해주는 것은 당연합니다. 미국의 경우, IT에 종사하는 사람들의 평균 임금이 다른 직종에 비하여 높은 편이지만, 그 중에서도 IT security에 속하는 사람들의 임금은 더 높은 편에 속합니다.
 
◇한국 해커들의 실력이 어떻다고 생각하나요?
한국 해커들은 굉장히 재능이 있다고 들었습니다. 특히 해킹 실력을 겨룰 수 있는 대회에서 좋은 성과를 거두고 있죠. 대회 성과만 보면 한국이 아시아에서는 독보적이라고 알고 있습니다. 그러나 그뿐이라는 것이죠. 외국인 입장에서 봤을 때, 제가 알고 있는 한국 해커들의 실력은 CTF가 전부입니다. 한국의 해킹 커뮤니티는 다른 나라와 비교해도 무척 활발합니다. 그렇지만 그에 비해 특별히 좋은 연구나 버그를 발표한 적이 비교적 적습니다. 적어도 영어로는 말이죠.
 
제가 말하고 싶은 것은, 한국 해커들이 재능은 있지만, 국제적으로 인정을 받기 위해서는 세계의 해커들과 어울려야 한다는 것입니다. 글로벌 시장에서 부딪혀야 한다는 것이죠. 해커들은 인터넷을 통해서 많은 것을 배워왔습니다. 또, 커뮤니케이션을 통해 많은 것을 이루어왔죠. 한국 해커들도 거기에 참여할 수 있어야 합니다. 그러기 위해서는 우선 언어의 장벽을 해결하는 것이 필요하다고 생각합니다.
 
◇한국의 해킹 문화에 대해서 어떻게 생각하세요?
앞서 말씀 드렸지만 한국의 해킹 Scene은 무척 발달되어 있습니다. 한국에서 열린 Conference를 몇 군데 가보았는데, 아주 강렬한 열기를 느낄 수 있었습니다. 특히, 젊은 학생들이 해킹에 대해서 큰 관심을 보인다는 것은 긍정적인 현상이라고 볼 수 있죠.
 
그러나 미국과 비교한다면 아직까지는 발전할 여지가 있다고 봅니다. 가령, 한국 보안 Conference에는 주로 젊은 세대가 층을 이룹니다. 미국 Defcon 보안 Conference의 경우 매년 수많은 인파가 몰리는데, 여기에는 남녀노소 가리지 않고 찾아옵니다. 다시 말하면, 미국에선 보안이 하나의 문화로 자리 잡았다는 것이죠. 굳이 한국과 비교한다면 미국이 좀 더 성숙하지 않을까 생각합니다. 물론 한국의 해킹 문화도 시간이 지나면 성숙해질 것입니다.
 
추가로 외국인 입장에서 아쉬운 이야기를 하자면, 개인적으로 한국의 문화를 좋아하는데도 불구하고 언어의 장벽이 너무 높아서 한국 보안 문화에 다가가기가 쉽지 않다는 것입니다. 물론, 한국어를 배우기 위해 노력하고 있습니다.
 
◇마지막으로 한국 해커들에게 하고 싶은 말씀이 있다면?
제가 외국인임에도 불구하고 한국의 해커 커뮤니티는 저를 매우 잘 받아주고 있습니다. 감사합니다. 저는 악성코드, 온라인 사기기술, 그리고 재미있는 연구들을 한국의 해커 커뮤니티와 공유하고 싶습니다. 저희는 친목을 위해 KOSEC 미팅을 자주 갖고 있는데요, 기회가 되신다면 여러분들도 참가하셔서 소주잔을 나누며 같이 이야기를 나누고 싶습니다. KEEP HACKING!! (Korea Security 페이스북 페이지: www.facebook.com/groups)
[데일리시큐=길민권 기자]