개요
해킹은 컴퓨터나 정보통신시스템에 정당한 접근권한 없이 침입하거나 허용된 권한을 넘어 시스템·데이터에 접근하는 행위를 일반적으로 말한다. 영어로는 Hacking이라고 하며, 실제 침해사고에서는 계정 탈취, 악성코드 감염, 정보 유출, 데이터 변조, 시스템 장악 등 다양한 형태로 나타날 수 있다.
한국인터넷진흥원은 침해사고 유형 가운데 해킹을 정당한 접근권한 없이 또는 허용된 접근권한을 초과하여 정보통신시스템에 침입하는 사이버공격으로 설명한다. 다만 보안 분야에서 해킹이라는 표현은 합법적인 취약점 연구나 모의침투까지 넓게 사용되기도 하므로 사용 권한과 목적을 구분하는 것이 중요하다.
주요 해킹 유형
해킹은 공격 대상과 방법에 따라 여러 형태로 나타난다. 공격자가 탈취한 아이디와 비밀번호를 이용해 이메일이나 업무시스템에 접근하는 계정 해킹이 대표적이며, 프로그램이나 서버의 보안 취약점을 악용해 시스템 내부로 침입하기도 한다.
악성코드를 이용한 공격에서는 사용자의 컴퓨터나 서버에 프로그램을 몰래 설치해 정보를 빼내거나 시스템을 원격으로 조종할 수 있다. 랜섬웨어는 시스템이나 데이터를 암호화해 사용할 수 없도록 만든 뒤 금전을 요구하는 대표적인 사이버공격이다.
웹사이트의 취약점을 이용한 공격에서는 중요정보가 노출되거나 웹페이지가 변조되고 악성코드가 삽입될 수 있다. 디도스 공격처럼 대량의 트래픽을 발생시켜 서버나 네트워크의 정상적인 서비스를 방해하는 공격도 침해사고의 한 형태다.
취약점과 침해사고
보안 취약점은 프로그램이나 시스템의 설계·구현·설정 등에 존재해 공격자가 악용할 수 있는 약점을 의미한다. 운영체제나 웹서비스, 네트워크 장비뿐 아니라 계정 관리와 접근권한 설정이 부적절한 경우에도 공격 가능성이 커질 수 있다.
취약점이 존재한다고 해서 반드시 해킹 피해가 발생하는 것은 아니다. 그러나 공격자가 해당 약점을 이용해 시스템에 침입하거나 정보를 탈취하면 실제 침해사고로 이어질 수 있다. 보안 업데이트와 취약점 점검이 중요한 이유도 이러한 공격 가능성을 사전에 줄이기 위해서다.
기업과 기관에서는 실제 공격 상황을 가정한 모의침투를 통해 시스템 내부 침투 가능성이나 중요정보 탈취 가능성을 확인하기도 한다. 모의침투는 반드시 시스템 소유자나 관리자의 명시적인 허가와 정해진 범위 안에서 수행해야 한다.
예방과 대응
해킹 피해를 줄이려면 운영체제와 프로그램을 최신 상태로 유지하고 보안 업데이트를 지속적으로 적용하는 것이 중요하다. 인터넷에 공개된 서버와 네트워크 장비는 사용하지 않는 서비스를 차단하고 관리자 계정의 접근권한을 최소화하는 것이 좋다.
계정에는 다른 서비스와 중복되지 않는 비밀번호를 사용하고 가능하면 다중인증을 적용하는 것이 안전하다. 이메일 첨부파일과 출처가 불분명한 프로그램을 함부로 실행하지 않고 중요자료는 별도의 저장공간에 정기적으로 백업하는 것도 기본적인 예방 방법이다.
침해가 의심되면 임의로 증거를 삭제하기보다 관련 시스템과 로그를 보존하고 네트워크 연결 차단 여부 등을 보안 담당자와 판단하는 것이 중요하다. 국내에서는 한국인터넷진흥원의 보호나라를 통해 해킹·랜섬웨어·디도스 등의 침해사고를 신고하거나 118 상담을 이용할 수 있다.
법적 책임과 허가된 보안활동
대한민국 정보통신망법은 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위를 금지한다. 악성프로그램을 전달·유포하거나 대량의 신호와 데이터를 보내 정보통신망의 안정적인 운영을 방해하는 행위도 법적 규제 대상이 된다.
따라서 보안 기술을 공부하거나 취약점을 시험한다는 이유만으로 타인의 서버나 계정에 허가 없이 접근해서는 안 된다. 공개된 인터넷 서비스라도 시스템 소유자의 명시적인 허가가 없다면 임의로 취약점을 시험하거나 인증 절차를 우회하는 것은 문제가 될 수 있다.
반면 자신의 시스템이나 정식으로 허가받은 환경에서 수행하는 취약점 점검과 모의침투는 사이버보안을 강화하기 위한 정상적인 활동이다. 해킹 기술의 합법성과 불법성을 구분하는 핵심은 대상 시스템에 대한 권한과 허가, 그리고 실제 행위의 범위와 목적에 있다.