보이지 않는 감염: 단지 웹사이트에 접속하는 것만으로 해킹이 될까

어둠 속의 초대장

새벽 2시. 스마트폰 화면이 짧은 진동과 함께 켜진다. 발신자를 알 수 없는 문자 메시지 하나가 도착해 있다. 텍스트는 없고 의미를 알 수 없는 무작위 알파벳의 짧은 URL 링크만이 덩그러니 놓여 있다. 당신은 화면을 응시한다. 호기심과 불안이 교차하는 가운데, 저 링크를 누르면 무슨 일이 벌어질지 상상하게 된다. 손가락이 닿는 순간 폰 안의 모든 데이터가 어둠 속의 서버로 빨려 들어가는 것은 아닐까. 당신은 결국 화면을 끄고 기기를 뒤집어 놓는다.

전염의 도시 전설

현대인이라면 누구나 한 번쯤 들어본 철칙이 있다. 출처가 불분명한 링크는 절대 클릭하지 말라는 경고다. 대중의 인식 속에서 악성 웹사이트는 마치 방사능 오염 구역과 같아서, 그곳에 발을 들이는 순간 즉 웹 브라우저로 페이지를 여는 것만으로도 스마트폰이나 PC는 돌이킬 수 없는 감염 상태에 빠진다고 믿는다. 인터넷 커뮤니티와 뉴스 댓글란에는 이러한 괴담이 넘쳐난다. 스팸 문자의 링크를 무심코 눌렀더니 화면이 잠시 하얗게 변했다가 원래대로 돌아왔고, 며칠 뒤 은행 계좌에서 돈이 빠져나가거나 사진첩의 사적인 이미지들이 해외의 익명 서버로 전송되었다는 식이다. 피해자들은 한결같이 자신은 아무것도 다운로드하지 않았고 개인정보를 입력하지도 않았다고 주장한다. 그저 웹사이트에 1초 남짓 머물렀을 뿐이라는 것이다. 우리는 이것을 클릭 한 번으로 모든 것이 끝나는 완벽하고도 치명적인 해킹으로 받아들인다.

균열을 드러내는 의문들

하지만 이 서늘한 괴담 앞에는 짚고 넘어가야 할 거대한 모순이 존재한다. 만약 단지 웹사이트에 접속하는 행위만으로 즉각적인 해킹이 이루어진다면, 현재의 인터넷 생태계는 애초에 유지될 수 없다. 구글이나 빙 같은 검색 엔진은 매일 수십억 개의 웹페이지를 긁어모아 우리에게 결과를 제시하며, 우리는 검색 결과를 클릭하며 하루에도 수십 번씩 미지의 웹페이지에 접속한다. 심지어 평범한 언론사 뉴스 기사를 하나 읽을 때도 해당 페이지 안에는 수십 개의 외부 광고 서버와 추적 코드가 동시에 로드된다. 만약 접속만으로 기기 제어권이 넘어가는 것이 사실이라면, 왜 무작위 웹 서핑의 위험성에 대해서는 아무도 경고하지 않는 것일까. 왜 유독 스팸 문자의 링크만이 흑마술을 품고 있는 것처럼 묘사될까. 이 지점에서 도시 전설은 기술적 현실과 정면으로 충돌하며, 진실을 파악하기 위해서는 기기 내부의 브라우저 구조와 사이버 무기 시장의 이면을 들여다보아야 한다.

우리는 보이지 않는 선을 넘는 행위 자체를 두려워하도록 학습되었다.

유리벽 안의 세계

우리가 매일 사용하는 웹 브라우저인 크롬, 사파리, 엣지 등은 대중의 생각보다 훨씬 편집증적으로 설계되어 있다. 이들은 기본적으로 인터넷상의 모든 코드를 적대적인 것으로 간주한다. 링크를 클릭하여 웹사이트에 접속하면 브라우저는 해당 서버로부터 텍스트, 이미지, 그리고 자바스크립트라는 코드를 내려받아 화면을 그리는데, 이때 실행되는 코드는 샌드박스라는 고도로 격리된 환경 안에 갇힌다. 샌드박스는 폭발물을 터뜨려도 밖으로 파편이 튀지 않는 방탄 유리 상자와 같다. 만약 악의적으로 작성된 웹사이트 코드가 샌드박스 안에서 스마트폰의 연락처를 훔쳐보려 하거나 시스템 파일에 접근하려고 시도한다면, 기기의 운영체제는 샌드박스 밖으로 나오려는 이 비정상적인 시도를 가차 없이 차단하고 프로세스를 강제로 종료해 버린다. 결론적으로 웹사이트가 정상적인 브라우저의 샌드박스를 완벽하게 뚫고 나와 기기 전체를 즉각 감염시키는 것은 시스템 설계상 불가능에 가깝다. 단지 접속했다는 이유만으로 해킹되는 마법은 우리가 아는 일반적인 환경에서 일어나지 않는다.

천문학적인 그림자 비용

물론 예외는 존재한다. 샌드박스의 취약점을 찾아내어 사용자의 아무런 추가 행동 없이도 기기를 장악하는 기법이 있으며, 보안 업계에서는 이를 제로 클릭 혹은 드라이브 바이 다운로드라고 부른다. 이것이 바로 도시 전설이 묘사하는 묻지마 해킹의 실체다. 그렇다면 피싱 문자를 보내는 스팸 조직이 이 기술을 사용했을 가능성은 얼마나 될까. 여기서 철저한 경제적인 논리가 개입한다. 브라우저와 운영체제의 다중 방어망을 한 번에 뚫어내는 기술은 소프트웨어의 알려지지 않은 결함, 즉 제로 데이 취약점을 이용해야만 가능하다. 현재 사이버 무기 암시장에서 이러한 취약점의 가치는 상상을 초월한다. 실제로 취약점 거래를 중개하는 유명 업체 제로디움의 공개 단가표를 보면, 사용자의 클릭 없이 최신 기기를 장악할 수 있는 제로 클릭 익스플로잇의 매입가는 200만 달러를 훌쩍 넘긴다. 아직 구글이나 애플의 보안팀이 발견하지 못한 이 취약점은 현대 사이버 전쟁에서 치명적인 전략 무기다.

가짜 약품을 팔거나 소액 결제 사기를 치는 저급 범죄 조직이 수백만 달러짜리 익스플로잇을 보유하고 있을 가능성은 제로에 수렴한다. 범죄의 세계에서도 투자 대비 수익률은 철저히 계산되기 때문이다.

수백만 달러짜리 사이버 무기는 당신의 지갑에서 몇 푼을 빼내기 위해 낭비되지 않는다.

표적이 된 소수

그렇다면 그 값비싼 취약점은 누가, 어떻게 사용하는가. 이것은 주로 국가 정보기관이나 최고 수준의 해킹 그룹의 영역이다. 이들은 은밀하게 취약점을 사들여 페가수스 같은 고도의 군사용 스파이웨어를 만든다. 과거 아마존의 창업자 제프 베이조스의 스마트폰이 해킹되었을 때, 혹은 특정 국가의 반체제 인사나 언론인들이 감시당했을 때 사용된 기술이 바로 이것이다. 이들은 메시지 앱을 열어보거나 링크를 받기만 해도 기기의 통제권을 상실했다. 하지만 이 무기는 치명적인 약점을 가지고 있다. 바로 은밀성이다. 취약점이 무작위로 대중에게 사용되어 세상에 그 흔적이 노출되는 순간, 글로벌 빅테크 기업의 보안팀이 즉각적인 분석에 착수하여 며칠 내로 보안 패치를 전 세계에 배포해 버린다. 업데이트가 완료되는 순간 막대한 자금이 투입된 무기가 하루아침에 휴지조각이 되는 것이다. 따라서 이러한 해킹 방식은 고위급 정치인, 군 관계자, 적국의 스파이, 글로벌 기업의 최고경영자 등 정보 가치가 극도로 높은 특정 타깃에게만 일회성으로 신중하게 사용된다. 평범한 일상을 살아가는 일반인이 이들의 표적이 될 수학적 확률은 벼락을 두 번 연속으로 맞을 확률보다 낮다.

진정한 해커는 화면 밖에 있다

정기적으로 운영체제와 브라우저를 업데이트하는 현대의 스마트 기기는 단지 웹페이지를 여는 것만으로 무너질 만큼 허술하지 않다. 그렇다면 매일같이 쏟아지는 해킹 피해자들과, 계좌가 비어버렸다고 절규하는 사람들의 기기는 어떻게 뚫린 것일까. 진실은 기술적 결함이 아닌 인간의 심리를 찌르는 사회공학적 기법에 있다. 범죄자들은 단단한 샌드박스 유리를 망치로 부수는 대신, 사용자가 직접 문을 열어주도록 유도한다. 글로벌 특송 업체인 페덱스나 DHL의 배송 조회를 핑계로 똑같이 생긴 가짜 웹사이트에 접속하게 한 뒤, 세관 통과를 위해 필요하다며 악성 앱 설치 파일을 내려받도록 유도한다. 혹은 아마존이나 페이팔의 허위 결제 영수증을 보내어 환불을 원하면 첨부된 파일을 실행하게 만들고, 구글이나 마이크로소프트와 동일한 로그인 창을 띄워 사용자 스스로 자신의 계정 정보를 타이핑하게 만든다.

해킹은 어둠 속의 마법 같은 기술로 일어나는 것이 아니라, 정교한 기만으로 완성된다. 스팸 링크를 눌렀을 뿐인데 해킹을 당했다는 도시 전설은, 스스로 함정에 걸어 들어간 인간의 치명적인 실수를 기술의 탓으로 돌리고 싶은 방어 기제가 만들어낸 변명일지도 모른다. 수상한 파일을 직접 내려받아 실행하거나, 출처를 알 수 없는 앱에 권한을 내어주지만 않는다면 당신의 기기는 안전하다. 도시 전설의 안개는 걷혔다. 링크는 그 자체로 당신을 해칠 수 없다. 그러나 안심하기에는 이르다. 진짜 위험은 브라우저의 격리된 샌드박스 안이 아니라, 화면을 바라보는 우리의 눈과 판단력 사이에 존재하기 때문이다. 보안의 가장 취약한 고리는 언제나 기기를 들고 있는 사람이다.