‘TuxCare Comics’ 제5호에 실린 케빈 미트닉과 사회공학

이 블로그 글의 AI 요약으로 바로 가기

어떤 해커들은 자신이 작성한 코드로 기억되기도 합니다. 반면 케빈 미트닉은 어떤 익스플로잇으로도 닿을 수 없는 것을 상대방이 자발적으로 넘겨주도록 설득해내는 능력, 즉 해결하기 훨씬 더 어려운 문제로 기억되고 있습니다.

모든 것은 카드 마술에서 시작되었다. 그가 열 살쯤 되었을 무렵, 이웃집 아버지가 마술을 보여주셨고, 그게 전부였다. 미트닉은 몇 년 뒤 회고록에서 이를 다음과 같이 솔직하게 털어놓았다. “마술은 사람들을 속이는 기술로 들어선 나의 첫 번째 문이었다.” 『TuxCare Comics』 제5호에 실린 〈Wanted〉는 그의 말을 그대로 받아들여, 복제된 휴대폰과 도용된 신원, 그리고 그의 취미를 1면 뉴스로 만들어버린 연방 당국의 수배가 난시절에 활동하는 무대 마술사로 그를 그려낸다.

또한 이 작품은 수상 경력에 빛나는 시리즈의 최신작이기도 합니다. 시리즈의 첫 두 편은 ‘서밋 디지털 미디어 어워드(Summit Digital Media Awards)’에서 각각 상을 받았는데, 『The Worm』은 ‘리더 어워드(Leader Award)’를, 『ILOVEYOU』는 ‘이노베이터 어워드(Innovator Award)’를 수상했습니다. 『Wanted』는 이 시리즈를 색다른 보안 이야기로 이끌어가는데, 이 이야기에서 가장 흥미로운 취약점은 바로 전화기 반대편에 있는 사람 그 자체입니다.

사람들이 공격 표면의 일부가 되었을 때

피싱 키트가 흔한 도구로 자리 잡기 훨씬 전부터, 미트닉은 시간이 지나도 여전히 불편할 정도로 변함없는 진실을 보여주고 있었다. 접근 권한이 항상 강제로 빼앗기는 것은 아니다. 때로는 요청이 일상적인 것처럼 들리고, 전화한 사람이 정확한 이름을 사용했으며, 이야기가 사실처럼 느껴질 만큼 충분한 세부 사항을 담고 있었기 때문에, 단순히 권리가 넘겨지기도 한다.

그가 끊임없이 반복했던 수법이 바로 그것이었다. 신뢰, 사칭, 그리고 한 조각의 정보를 이용해 다음 정보를 캐내는 방식. 그 이후로 인증 방식은 개선되었고, 로깅도 개선되었으며, 탐지 능력도 향상되었다. 하지만 요청이 정상적이라고 상대를 설득하는 것은 여전히 견고하게 구축된 시스템을 우회하는 가장 짧은 경로 중 하나이며, 이에 대한 CVE는 존재하지 않는다.

모토로라를 설득한 비결

1992년, 도주 중이던 미트닉은 누구도 추적할 수 없는 휴대폰을 원했고, 이는 당시 시장에서 가장 세련된 휴대폰이었던 모토로라 마이크로택 울트라 라이트의 펌웨어 소스 코드를 원한다는 뜻이었다. 여기에는 어떤 취약점 공격도 개입되지 않았다. 제로데이도, 버퍼 오버플로도, 스캐너가 감지했을 법한 어떤 것도 없었다.

그는 무료 전화번호 안내 서비스에 전화를 걸었다. 안내원은 밝은 목소리로 일리노이주 샴버그에 있는 모토로라의 ‘셀룰러 가입자 그룹’을 알려주었다. 그는 그 번호로 전화를 걸어, 알링턴 하이츠 연구개발팀의 릭이라고 자신을 소개하고, 팸이 휴가 중이라 자신에게 전화하라고 부탁했다는 사실을 전한 뒤, 알리사라는 여성에게 소스 코드를 보내줄 수 있는지 물었다. 그녀는 가능하다고 했고, 실제로 보내주었다. 그 과정에서 그녀는 그에게 서버 이름과 로그인 정보를 알려주었다.

그런 다음 그는 아침이 되어도 흔적이 남아 있지 않도록 그녀의 셸 기록을 지웠다. 이 모든 과정이 마치 카드 포스 기법처럼 펼쳐지는데, 만화 작가도 이를 그대로 묘사해 패널을 정중앙에서 가르고, 독자가 마술사의 정장이 문장 도중에 모토로라 폴로 셔츠로 변하는 모습을 지켜보게 한다.

그 일을 개인적으로 받아들인 남자

어떤 훌륭한 공연이든, 관객 중에는 그것을 즐기지 않는 사람이 한 명쯤은 있기 마련이다.

1994년 크리스마스 날, 누군가가 샌디에이고 슈퍼컴퓨터 센터의 계산 물리학자 시모무라 츠토무의 가정용 컴퓨터 시스템에 침입해 그의 파일을 복사해 갔다. 그 후 조롱 섞인 음성 메시지가 이어졌지만, 미트닉은 평생 동안 그 메시지가 자신의 것이 아니라고 부인했다. 어쨌든 그 메시지는 시모무라에게 전달되었고, 그는 더 이상 방관자로 남아 있을 수 없게 되었다.

그 다음에 벌어진 일은 마법이라기보다는 무선 방향 탐지에 가까웠다. 시모무라는 연방 수사관들과 전화 회사와 협력하여 휴대전화 신호를 따라 노스캐롤라이나주 롤리(Raleigh)의 한 동네까지 추적했고, 거기서 아파트 단지로 범위를 좁힌 뒤, 결국 한 채의 아파트 문까지 특정해 냈다. 1995년 2월 15일 새벽 1시 30분, 요원들은 그 문을 열고 들어갔다. 실내에서는 복제된 휴대전화, 100개가 넘는 복제 코드, 여러 세트의 위조 신분증, 그리고 롤리 시민들이 여전히 잊지 못하는 한 가지 증거인 데니스(Denny’s) 냅킨이 발견되었다.

이 글은 여기서 끝납니다. 법정이 그 후 어떤 조치를 취했는지, 그리고 미트닉이 그 사건 이후 20년 동안 어떤 행보를 보였는지는 이 호의 뒷부분에 실려 있으며, 별도의 맥락 없이 객관적으로 읽어볼 가치가 있습니다.

이 작품이 만화로 만들어져야 하는 이유

사건 보고서는 유용하지만, 아무도 두 번 읽지는 않습니다. 마술 공연이 더 나은 교육 도구인 이유는, 마술의 핵심이 바로 관객이 잘못된 손을 보고 있었다는 점에 있기 때문입니다. 이것이 바로 한 문장으로 요약한 소셜 엔지니어링입니다. 이는 기술적 결함이라기보다는 ‘웨트웨어’에서 발생하는 권한 관련 결함에 가깝고, 이를 손재주로 묘사함으로써 타임라인만으로는 결코 드러낼 수 없는 메커니즘을 가시화할 수 있습니다.

게다가 이 부분은 업무 중에서도 특히 골치 아픈 부분이기도 합니다. 팀원들은 패치 적용, CVE 분류, 지원 종료 제품 마이그레이션 등 티켓이 생성되는 모든 업무를 능숙하게 처리하게 됩니다. 그러다 알링턴 하이츠에 사는 릭이라는 사람이 전화를 걸어오면, 그 모든 것이 무의미해집니다. 왜냐하면 정문이 안쪽에서 열려버렸기 때문이죠.

TuxCare 만화 허브에서 ‘Wanted’를 비롯해 ‘Morris Worm’, ‘ILOVEYOU’, ‘Project Rivolta’, ‘WannaCry’에 관한 기사도 함께 읽어보세요.

요약