'FBI를 해킹했다'는 주장, 직원 정보만으로는 부족합니다

핵심 요약

FBI 직원 정보를 갖고 있다는 주장만으로 내부 시스템 침입까지 입증되지는 않습니다.
데이터가 진짜인지, 어디서 구했는지, 언제 수집했는지는 따로 확인해야 합니다.
실제 직원 정보가 노출됐다면 사칭과 표적 피싱에 악용될 수 있습니다.
직원 정보가 노출됐다고 해서 수사 자료까지 유출됐다고 봐서는 안 됩니다.

“FBI를 해킹했다”는 말을 들으면 비밀 수사 자료가 통째로 빠져나간 장면부터 떠올리기 쉽습니다. 하지만 해커가 증거로 내놓은 것이 직원 명단이라면, 그 말만으로는 알 수 없는 게 많습니다. 어떤 정보를 손에 넣었는지와 어디에 침입했는지를 구분해야 사건의 규모를 제대로 가늠할 수 있습니다.

직원 정보를 가졌다고 내부망에 들어간 것은 아닙니다

먼저 정보의 대상과 정보가 빠져나온 곳을 구분해야 합니다. 데이터에 FBI 직원의 이름이 있다고 해서 그 데이터를 FBI 서버에서 가져왔다고 단정할 수는 없습니다.

예를 들어 이름과 업무용 연락처를 모은 명단이 있다고 해보겠습니다. 공개 자료를 모아 만들었거나, 직원이 이용한 외부 서비스에서 유출된 정보일 수 있습니다. 과거에 노출된 자료를 다시 묶었을 수도 있습니다. 이런 경로가 가능하다는 얘기이지, 특정 사건에서 실제로 이런 일이 있었다고 확인됐다는 뜻은 아닙니다.

FBI가 관리하는 시스템에서 데이터를 빼냈다는 증거가 있다면 얘기는 달라집니다. 이때도 어느 시스템에 접근했고 어떤 권한을 얻었는지 살펴봐야 피해 범위를 알 수 있습니다.

직원 정보 확보, 내부 시스템 침입, 수사 자료 탈취를 주장하려면 각각 그에 맞는 증거가 있어야 합니다.

진짜 데이터인지와 최근 유출인지는 다른 질문입니다

공개된 표본에서 실제 직원의 이름과 이메일이 확인됐다고 해보겠습니다. 여기서 알 수 있는 것은 표본 중 일부가 정확하다는 점입니다. 그것만으로 전체 데이터가 진짜라거나 해커가 설명한 경로로 침입했다고 볼 수는 없습니다.

언제 수집한 정보인지도 따져야 합니다. 오늘 게시된 파일에 몇 년 전 연락처가 담겨 있을 수 있기 때문입니다. 공개 날짜와 유출 날짜를 같다고 보면 오래된 자료를 새로운 침해의 증거로 오해할 수 있습니다.

데이터가 얼마나 많다는 주장도 그대로 받아들이기는 어렵습니다. 명단에는 같은 항목이 여러 번 나오거나 과거 직원의 정보가 섞여 있을 수 있습니다. “몇 건을 확보했다”는 숫자를 곧바로 “현재 직원 몇 명이 피해를 봤다”로 바꿔 읽어서는 안 됩니다.

보도를 읽을 때는 어디까지 확인했는지 살펴봐야 합니다. 기자가 표본 일부를 검증한 것과 기관이 내부 시스템 침해를 확인한 것은 서로 다른 사실입니다. 해커가 주장한 내용 중 매체가 무엇을 검증했는지, 기관은 어디까지 확인해 설명했는지 나눠서 읽어야 합니다.

직원 정보만 노출돼도 가볍게 볼 수 없는 이유

내부망에 침입했다는 증거가 없더라도 직원 정보가 노출된 위험은 남습니다. 그 정보가 실제 직원의 것이라면 그것만으로도 피해가 생길 수 있습니다.

이름과 업무용 이메일은 사칭 메시지를 만드는 데 쓰일 수 있습니다. 소속이나 직무까지 알려지면 업무상 필요한 연락인 것처럼 꾸며 접근하기도 쉬워집니다. 특정 사람의 상황에 맞춰 속이는 공격을 표적 피싱이라고 부릅니다.

개인 전화번호나 집 주소가 포함됐다면 걱정해야 할 문제도 달라집니다. 업무 계정을 보호하는 데서 그치지 않고, 사생활을 침해당하거나 괴롭힘을 당할 가능성까지 살펴야 합니다.

다만 이런 위험이 있다고 해서 실제로 피해가 발생했다는 뜻은 아닙니다. 수사기관 직원의 정보라는 이유만으로 진행 중인 수사가 노출됐다거나 정보원이 드러났다고 추정해서도 안 됩니다. 어떤 파장이 있을지 설명할 때도 확인한 사실을 넘어 단정하지 않아야 합니다.

기관의 설명은 ‘해킹 여부’보다 구체적이어야 합니다

직원 정보가 유출됐다는 주장이 나오면 기관은 “해킹당했습니까?”라는 질문 외에도 답해야 할 것이 많습니다. 직원에게는 자신의 어떤 정보가 노출됐는지 아는 일이 더 시급할 수 있습니다.

기관은 우선 데이터가 진짜인지, 어떤 정보가 들어 있는지 설명해야 합니다. 누구의 정보가 노출됐는지도 밝혀야 합니다. 내부 시스템이 침해된 것인지, 외부 서비스에서 정보가 노출됐을 가능성이 있는지도 구분해야 합니다. 아직 확인 중인 부분은 확인 중이라고 분명히 밝혀야 합니다.

대응도 노출된 정보에 따라 달라져야 합니다. 연락처가 노출됐다면 사칭 연락을 가려내고 별도 경로로 확인하는 절차가 중요합니다. 인증 정보까지 노출됐다면 계정 접근을 차단하고 복구해야 합니다. 집 주소처럼 쉽게 바꿀 수 없는 정보가 나갔다면 계정 보안 조치만으로 대응을 끝낼 수 없습니다.

“FBI를 해킹했다”는 문장은 강렬하지만, 그 말만으로 사건을 판단하기에는 설명이 부족합니다. 직원 정보가 노출된 위험은 살피되, 내부망 침입이나 수사 자료 탈취는 각각 증거가 있는지 따져야 합니다. 비슷한 제목의 기사를 읽을 때 먼저 확인할 것은 “어떤 정보가 어디에서 빠져나왔다는 사실까지 확인됐을까?”라는 질문에 대한 답입니다.