정보유출은 자회사 직원, 산업스파이 등의 내부자에 의한 유출이나 해커 등과 같은 외부자에 의해 발생된다. 중요한 정보를 종이에 기록했던 과거와는 달리 현대에는 거의 대부분의 문서가 전산화ㆍ데이터베이스화 되고 컴퓨터의 보급으로 인해 정보가 빼내기 쉬운 데이터 형태로 존재하기 때문에 내부유출이 증가할 수 있다.
믿을 만한 대기업마저도 정보유출의 피해자가 되고 있는 이 때, 개인은 속수무책으로 정보유출의 피해자가 되야만 하는 것일까. 정보 유출에 관련된 기술을 알아보고, 우리가 할 수 있는 일을 찾아보자.

빼가는 놈

그럼에도 불구하고 내부자에 의한 정보ㆍ기밀 유출 사건을 보면 ‘어떻게 저렇게 허술하게 관리할 수 있을까?’ 하는 의문점이 생긴다. 그 비밀은 데이터베이스시스템(Database System. 이하 DB)에 있다. DB는 여러 사람들이 공유하여 사용할 목적으로 체계적으로 통합 관리하기 위한 연관 데이터의 집합을 말한다. 이는 자료의 중복 저장을 없애 자료 검색과 갱신의 효율을 높일 수 있다. 이러한 DB에는 이용자ㆍ설계자ㆍ프로그래머ㆍ관리자 등이 관계돼 있다. 단순한 데이터 이용자들은 자신이 필요한 데이터에만 접근 할 수 있으며, 설계자와 프로그래머는 데이터베이스시스템을 디자인하고 만든 사람들이기 때문에 전체 데이터에 접근할 수 있다. 그러나 회사 내부적으로 DB에 접근할 수 있는 권한자(DBA. Database Administrator) 혹은 책임자가 있는데, 이들은 이용자ㆍ프로그램ㆍ데이터 전체를 관할하기 때문에 이 사람들이 마음을 먹으면 손쉽게 정보가 빼낼 수 있는 것이다. 박영호(데이터베이스 전공) 교수는 “최근에는 데이터베이스를 암호화하고 있지만 이마저도 권한자(DBA)는 접근이 가능하기 때문에 100% 안전한 것은 아니다”라고 말했다.

이처럼 내부에서 빼돌리는 경우도 있지만, 기업 외부에서 정보를 빼내는 경우도 많다. 바로 해킹에 의한 정보유출의 경우다. 해커들이 주로 이용하는 방법 중 하나는 인터넷을 통해 시스템 계정에 접근하는 것이다. 이를 위해서는 공격 대상 시스템의 IP주소를 알아내는 것도 중요하지만 요즘은 유동 IP를 사용해 IP만으로는 해킹이 어렵다. 그래서 예전에는 이메일에 백도어(Backdoor) 등의 해킹 프로그램을 첨부하는 방법이 주로 이용됐다.

그러나 최근에는 출처를 알 수 없는 파일은 함부로 내려받지 않아, 사용자들을 끌어들일만한 광고성 메일을 보내 웹사이트로의 접근을 유인해 시스템의 IP주소를 획득하기도 한다. 위와 같은 방법으로 IP를 획득하는 것 외에도 웹에서 다운로드 받는 ActiveX 파일에 해킹프로그램이나 스파이웨어/웜 바이러스 같은 악성 프로그램들이 포함시키기도 한다.

잡아내는 놈

현재 진행 중인 프로젝트에 대한 문서를 해외 경쟁사로 유출하려고 했던 김 대리. 원본을 그대로 둔 채 다른 이름으로 파일을 저장해 복사한 뒤 사본은 휴지통에 버렸다. 흔적도 없이 지웠다고 생각한 김 대리는 얼마 후 산업정보유출로 검거됐다. 어떻게 된 일일까? 김 대리처럼 우리는 많은 프로그램과 데이터를 디스크에 쓰기도 하고 지우기도 한다.

우선 하드 디스크에 데이터를 기록하는 과정에 대해 알아보자. Windows OS는 파일의 크기와 최초 클러스터 번호 등의 파일 시스템 정보를 기억 장치에 들어있는 파일목록 부분(디렉토리 엔트리)에 기록하고, 데이터의 위치정보를 섹터에, 데이터 자체는 데이터 영역에 기록한다. 그리고 그것을 읽어올 때는 엔트리의 정보를 읽어내고, 최초 클러스터 번호와 섹터영역에 저장된 위치정보로부터 데이터가 기록되어 있는 영역을 읽어내게 된다. 우리가 파일을 지우는 것은 단순히 디스크에 저장된 파일의 경로와 엔트리에서만 삭제하기 때문에 데이터의 본체는 디스크에 남아있게 된다. 때문에 습관처럼 윈도우 상에서 파일을 삭제하는 것만으로는 완벽히 삭제가 안 돼 김 대리의 덜미가 잡힌 것이다.

김 대리처럼 지난 2003년부터 올 상반기까지 첨단 기술을 국외로 유출하려다 국가정보원에 적발된 사례는 44건에 이른다. 유출직전에 막았지만, 만약 유출됐더라면 40조원대의 손실이 났을 것이라고 한다. 또 정보유출의 70%이상이 내부직원의 소행이라는 조사결과도 있다.

모르는 놈

이렇게 기업의 정보를 비롯해 개인정보가 빈번히 유출되고 있음에도 불구하고, 많은 사람들은 자신의 정보가 유출됐는지, 인터넷에 얼마나 노출돼 있는지 모르고 있다. 국내의 검색엔진은 개인정보에 대한 검색어에 대해서는 검색을 차단하고 있지만, 미국의 ‘구글’은 정보의 개방성에 의거해 개인정보 검색어에 대한 차단을 하고 있지 않고 있다. 간혹 구글에서 자신이 자주 사용하는 아이디ㆍ이름ㆍ생년월일ㆍ주민번호ㆍ연락처 등을 입력하면 자신의 정보가 공공연하게 노출된 경우를 볼 수 있다. 이 경우에는 해당 사이트에 접속해 자신의 정보를 지워줘야 한다.

또 웹사이트에 가입할 때, ‘회원약관’에 동의하도록 돼있는데, ‘개인정보 수집 및 활용에 대한 안내’ 등의 항목에도 동의를 해야 회원가입이 되는 경우가 있다. 이는 계열사에 개인정보가 제공될 가능성을 시사하는데, 이번 GS칼텍스 사건의 경우에도 11000만명 중에 15만명이 계열사 고객이라고 한다. 이에 전문가들은 계열사에 정보를 제공하는 경우 반드시 계열사마다 각각 가입동의를 얻어야 한다고 조언하고 있다.

기업은 정보유출을 막고자 회사에서 드나드는 모든 정보를 감시하고 통제하는 등 다각적인 노력을 하고 있다. 그러나 정보 보호ㆍ보안에 완벽이란 불가능 할 것이다. 기업이 알아서 잘 하겠지 하며 맹신하지 말고, 우리가 스스로 나서야 할 때다. 때마침 자신도 모르게 여기저기 가입돼 있는 웹사이트를 일괄적으로 정리해주는 ‘개인정보 클린 캠페인(하단 기사 참조)’이 한창이다. 자신도 모르게 가입돼 있는 웹사이트들이 많을 수도 있지만, 본인 스스로 장기간 접속하지 않은 사이트와 불필요한 사이트를 정리해 인터넷 세계에 남아있는 내 흔적을 지우는 일을 지금 당장 시작해보자.

* 백도어 : 사용자가 무심코 인증을 허용해 해커가 시스템 권한에 접근할 수 있게 도와주는 프로그램. 시스템 유지보수를 위해 만들어졌으나 일반적으로 해커가 시스템 침입에 성공한 후 손십게 관리자 권한을 얻을 수 있게 하는 '뒷구멍'을 말한다. 백도어 프로그램의 대표적인 예로 '트로이 목마'를 들 수 있는데 악성코드가 들어있어 시스템의 불법적인 침입을 위한 백도어로 자주 사용된다

* 클러스터 : 하드디스크에 파일을 저장하는 단위. 섹터로 구성된다. 파일용량이 커 흩어진 클러스터를 사용하는 경우에도 위치와 순서를 기록하는 파일시스템(NTFS) 으로 관리해 한번에 파일 전체를 읽어올 수 있다. 또 클러스터가 손상될 경우 윈도우의 '디스크 조각 모음'기능을 이용한다.

* 섹터 : 디스크에 주소를 지정하는 최소 단위의 저장공간. 디스크를 조직적으로 관리하고 드라이브 읽기 쓰기 헤드로 데이터를 쉽게 찾을 수 있도록 해준다.