디지털 시장에도 불어온 아날로그 바람,'디지털 디톡스'

디지털 시장에도 불어온 아날로그 바람, '디지털 디톡스'

 현재 전자기기는 우리 삶의 일부가 되었다 해도 과언이 아니다. 아침에 눈을 뜨고 일어날 때부터 잠자리에 들 때까지 스마트폰으로 시작하여 스마트폰으로 끝나고, 직장에 가더라도 컴퓨터가 기다리고 있으니 말이다. 이러한 환경 덕에 다양한 SNS와 메신저 어플리케이션이 갖고 있는 영향력은 엄청나다. 너도 나도 SNS 또는 메신저 어플리케이션 하나쯤은 갖고 있고, 오히려 없다면 소외되는 부분이 발생하기 때문이다.

 하지만 요즘 들어 사람들 사이에서 아날로그의 바람이 불고 있다. 이러한 아날로그의 바람은 카메라, 음식, 인테리어뿐만 아니라 디지털 시장에서도 불기 시작했다. SNS의 재미를 넘어 과도한 SNS와 메신저의 사용으로 삶에 부작용이 수면위로 하나 둘 씩 들어 나고 있기 때문에서일까. 그렇게 디지털 시장에는 아날로그의 바람으로 인해 디지털 디톡스라는 것이 등장했다.

 ‘디지털 디톡스(Digital Detox)’란 디지털과 독을 해소하다라는 뜻의 디톡스가 결합된 말로 넘쳐나는 정보화 시대에서 벗어나 좀 더 자연적인 생활 방식을 추구하는 행동을 뜻한다. , 단기적으로 몸에 쌓인 독소를 빼내는 디톡스처럼 일상생활에서 전자기기를 일부 중단하면서 디지털에 찌들어 피로해진 몸과 마음을 치유하는 행동이다. 아날로그 열풍에서 시작된 디지털 디톡스는 스마트폰 중독, 디지털 치매, 스트레스 등 디지털과 관련된 부정적인 증세가 세상에 공론화 되면서 주목받기 시작했다.

 디지털 디톡스의 방법으로는 정해진 시간에 스마트폰 꺼두기, 스마트폰 이용 내역 적어보기와 같은 직접적인 방법 외에도 사람들과 만나서 얘기하기, 운동하기, 취미생활 갖기 등이 있다

 만약 당신도 메신저와 SNS를 무의식적으로 들락날락 거리고 있다면 디지털 디톡스를 통해 전자기기에서 해방되어 보자.



 

신고

문자를 받는 것만으로도 감염되는 안드로이드 악성코드 'Stagefright'

 바야흐로 진정한 스마트 시대가 도래했습니다. 안드로이드와 iOS 진영의 스마트폰들이 전 세계 스마트폰 시장 점유율의 97% 이상을 차지하고 있는 세상이죠. 우리에게 가장 보편적이고 대중적으로 다가오는 스마트폰은 바로 안드로이드 스마트폰으로, 그도 그럴만한 것이 안드로이드 스마트폰이 시장 점유율의 80% 이상을 차지하고 있기에 우리에게도 친숙하게 느껴질 수밖에 없겠지요.


이렇게 많은 안드로이드 핸드폰을 모두 위협할 수 있는 악성코드가 등장했다면 쉽사리 믿어지지 않을 것 같지만 실제로 그런 악성코드가 등장했습니다. 그리고 자신을 감염시키는 방법이 아주 악랄한 악성코드인데요. 이 악성코드는 악성 어플리케이션을 설치하는 것도, 인터넷에서 이상한 행위를 하는 것도 아닌 그저 문자(MMS) 메시지를 수신하는 것만으로도 스마트폰을 충분히 감염시킬 수 있는 악성코드입니다. 이러한 특성 때문에 종전에 등장했던 여러 악성코드들과는 달리 그 파괴력이 가장 치명적이라고 할 수 있겠습니다.

한 번 이 녀석에 대해 알아볼까요?



(https://en.wikipedia.org/wiki/Stagefright_(bug)#/media/File:Stagefright_bug_logo.png)


이 악성코드가 등장하기 전까지의 안드로이드 악성코드들은 모두 그저 어플리케이션 형태로 등장하는 악성 어플로서, 해당 어플리케이션을 설치해야만 동작하는 프로그램들이 전부였습니다. 물론 어플리케이션 형태로 제작되는 이러한 악성코드들이 가장 파괴적이긴 하지요. 그러나 이러한 악성 어플리케이션들은 설치를 하지 않으면 그만입니다. 또한 운영체제 내에서 기본적으로 이러한 어플리케이션들을 설치할 때는 경고 창을 띄워주기도 하고요.

그러나 Stagefright는 좀 다릅니다. 사용자가 MMS를 수신하는 것만으로도 악성코드에 감염이 될 수 있기 때문입니다. 그러니까 그냥 내 휴대폰에 악성 MMS가 도착하고, 내가 그걸 수신한다면 이미 감염이 되는 것이지요. 한마디로 사용자가 쉽게 방어할 수 없는 악성코드라는 말입니다.

Stagefright에 감염된다면 어떤 공격을 받을 수 있을까요? 보통의 바이러스들은 감염되기 쉬우면, 파괴력도 약합니다. 그러나 이 녀석은 좀 다릅니다. 한 번 Stagefright에 감염된다면 해커는 감염된 핸드폰의 어플리케이션 정보나 카메라 정보, 연락처 등에 접근할 수 있다고 합니다. 내 개인 정보들이 순식간에 빠져나갈 수 있는 통로를 이 녀석이 제공해주는 셈인 거죠.

심지어 Stagefright는 안드로이드 2.2 (프로요) 이상부터 현재 최신 버전인 5.1.1 (롤리팝)까지의 안드로이드 핸드폰들에게 타격을 입힐 수 있다고 하니, 모든 안드로이드 스마트폰이 공격 대상이라고 봐도 무방할 정도입니다.


Stagefright, 공격의 원리

그렇다면 과연 어떤 취약점이 이런 공격을 가능하게 하는 걸까요?

(https://www.grahamcluley.com/2015/08/bad-news-google-android-stagefright-patch/)


사실 Stagefright는 악성코드의 이름은 아닙니다. Stagefright란 안드로이드 내부에서 미디어를 포함한 텍스트 메시지 (MMS)를 수신할 때 그 메시지의 처리를 도와주는 라이브러리의 이름입니다. 이 취약점이 libStageFright 라는 라이브러리를 대상으로 하고, 이 라이브러리는 안드로이드 2.2부터 5.1.1까지 사용되는 라이브러리이기 때문에 거의 대부분의 안드로이드 핸드폰이 해당 취약점에 노출돼있는 것이죠.

해커들이 이용하는 취약점은 바로 해당 라이브러리의 Integer Overflow 취약점을 이용하는 것입니다. 만약 size와 chunk_size의 합이 2^32 (32bit Integer가 표현할 수 있는 최대 범위) 가 넘어가면, Memory Corruption을 일으켜 해커들이 원하는 악성 코드를 삽입할 수 있게 해줍니다.


Stagefright, 당하지 않으려면



(https://www.twilio.com/blog/2015/07/how-to-protect-your-android-device-from-stagefright-exploit.html)


Google에서는 이 취약점이 발표된 직후 안드로이드 제조사들과 협력해서 해당 문제점을 수정하겠다는 의지를 바로 피력했습니다. 그리고 안드로이드 사용자들을 위한 보안 지침도 함께 공개했습니다. 대표적인 지침은 "MMS 자동으로 수신하기" 옵션을 꺼 놓는 것입니다. MMS를 자동 수신하게 되면 악의적인 MMS를 자동으로 수신하는 것을 방지해주기 때문이죠.

다만 Google의 속도 빠른 대응에도 불구하고, 새로운 Stagefright 관련 취약점이 등장했습니다. 이번 취약점은 바로 MMS를 통해서 동영상 파일(mp4)을 수신할 때 생기는 취약점으로서 역시 Google은 이런 새로운 취약점에 대해서도 발빠르게 보안 패치를 하겠다고 천명했습니다.


과연 내 핸드폰은 안전할까?


해당 취약점을 가장 먼저 발견한 보안 회사 Zimperium에서는 안드로이드 휴대폰이 Stagefright 취약점에 노출돼 있는지를 알려주는 Stagefright Detector라는 어플리케이션을 출시했습니다. 나의 휴대폰이 안전한지 확인하려면 해당 어플리케이션을 실행시켜 보는 것도 괜찮은 일이겠네요!

그리고 MMS 자동 수신 같은 옵션이 꺼져있는지 꼭 확인해 보셔야 합니다. (행아웃, 메시지 등...)

(http://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?menu_dist=1&seq=23949)






저작자 표시 비영리 변경 금지
신고

랜섬웨어! 정체를 밝혀라!

▶1. 랜섬웨어? 그게 뭔데요?

  랜섬웨어는 희생자의 정보를 암호화하는 악성코드이다. 신용카드 정보 등의 정보를 훔쳐가는 기존의 일반적인 악성코드와는 달리, 희생자 로컬에 존재하는 파일들(.hwp, .doc )들을 암호화한다. 암호화된 파일들은 “.ccc”, “.encryped” 등의 확장자로 변형되며, 접근하지 못하게 된다. 그것들을 복호화하기 위해서는 키가 필요한데, 그 키는 공격자가 가지고 있다. 그리고 공격자는 희생자에게 협박을 시작한다. “너의 파일들을 복호화하고 싶으면 돈 내놔!” 이렇게 협박을 하면서 인질들의 몸값으로 적게는 30만원에서 많게는 1000만원까지도 요구한다.


▶2. 랜섬웨어, 어떻게 감염이 되는 것일까요?

  희생자는 스팸 메일에 첨부된 파일을 실행하거나, 드라이브 바이 다운로드 공격(Drive By Download)코드가 삽입된 웹 페이지에 접근함으로써 랜섬웨어에 감염될 수 있다. 또한 요즈음에는 토렌트의 첨부파일을 통해 감염이 되기도 한다.(스크린세이버 파일 등). 



3. 파일이 암호화되는 상세 과정은요?  

립토락커의 작동 과정을 예를 들어 설명하도록 하겠다. [그림 1]은 크립토락커 일부 변종의 작동 과정이다. 그러나 랜섬웨어의 종류, 변종 별로 각기 다른 작동 과정과 암호화 과정이 적용되므로 [그림 1]의 과정이 모든 랜섬웨어에 적용된다고 생각하면 안 된다. 


[그림 1 - 암호화 과정]

1. 사용자는 랜섬웨어에 감염된다. 이 랜섬웨어에는 공격자의 RSA 공개키가 하드코드되어 전송된다.
2. 
랜섬웨어가 실행된 후 사용자는 공격자의 C&C서버에 접속한다. 이때 사용자의 시스템 정보, 아이피 정보 등을 공격자에게 전송한다. 
3. 사용자 시스템에서 자동으로 생성되는 대칭키(AES-256)를 이용하여 사용자의 파일을 암호화한다.
4. 사용자의 암호화된 데이터 정보와 암호화된 대칭키 정보를 공격자에게 전송한다. 
5. 암호화를 마치면 사용자의 로컬에 존재하는 공격자의 RSA 공개키가 삭제된다.
6. 이 과정은 추가적인 과정이다. 만약 희생자가 공격자에게 비트코인을 전송한다면, 공격자는 RSA 개인키를 전송함으로써 희생자 파일을 복호화하게 할 수도 있다. 그러나 가능성은 희박하다.


  랜섬웨어에 감염되면 파일들은 AES-256알고리즘의 대칭키로 암호화된다. 그런데 이 과정에서 공격자는 RSA-1024나 RSA-2048와 같은 비대칭키 암호화 알고리즘 또한 사용한다. 즉, AES 대칭키 알고리즘과와 RSA 비대칭키 알고리즘 2가지를 사용하는 것이다. 여기서 의문이 생긴다. 공격자는 비대칭키만으로도 충분히 안전한(?)파일의 암호화가 가능하다. RSA-1024나 RSA-2048현재 기술로는 크랙이 불가능한 알고리즘이기 때문이다. 그런데 공격자는 파일을 암호화할 때 256비트의 비교적 크랙하기 쉬운 AES키를 사용한다. 왜 이런 일을 하는 것일까? 

  굳이 AES-256을 사용하는 이유? 그 이유는 바로 대칭 키의 빠른 암호화에 있다. RSA-2048과 같은 비대칭 키는 대칭 키에 비해 안전하지만 파일을 암호화 하는 데 시간이 오래 걸린다. 랜섬웨어 특성상 희생자 파일들을 빠르게 암호화한 후 사라져야(자기삭제) 탐지될 확률이 적어진다. 따라서 랜섬웨어 제작자들은 파일을 암호화할 때 속도가 빠른 AES를 사용하고, RSA는 AES 키를 암호화하는 데 사용함으로써, 속도와 안정성 두 마리 토끼를 잡을 수 있었던 것이다. 



4. 그렇다면, 공격자를 추적할 수 있지 않을까요?

  현실 세계에서 사기 범죄가 발생했다. 경찰은 범죄자의 계좌번호를 알아내었고, 은행에 연락하여 범죄자의 이름, 거주지 등의 신상정보를 알아내었다. 그리고 며칠 후 범죄자를 성공적으로 체포할 수 있었다. 이것은 현실에서 일어나는 범죄에 대한 매우 일반적이고 당연한 접근방법이다. 
  자, 이제 랜섬웨어에 이 상황을 대입해 보도록 하자. 아까 말했듯이 랜섬웨어는 희생자에게 “입금”을 요구한다. 그러면서 "비트코인 주소"라는 일종의 계좌번호 정보를 남긴다. 앗, 그렇다면 이 계좌번호로 공격자를 추적할 수 있지 않을까?


[그림 2 - 비트코인]

  슬프게도, 그럴 수 없다. 비트코인이라는 인터넷상의 화폐를 사용하기 때문이다. 비트코인은 발매자도 없고 관리자도 없다. 또한 비트코인은 비트코인 주소를 제외하고는 공격자의 어떤 정보도 포함하지 않는다.. 모든 비트코인 사용자는 여러 개의 비트코인 주소를 소유할 수 있으며, 또한 공격자는 새로운 주소를 무한대로 생성할 수 있으므로 공격자의 추적은 불가능하다. 




5. 랜섬웨어 감염을 예방하려면? 혹은 감염된 시스템을 복구하려면?

  먼저 랜섬웨어 예방법을 소개함에 앞서, 이 단원에서는 "병에 걸리지 않기 위해서는 손을 깨끗이 씻어라"와 같은 교과서적인 말밖에 할 수 없다는 점에 미리 사과한다. 말 그대로다. 예방법으로는 대표적으로 4가지가 있다. 일단 첫 번째로, 사용자는 수상한 URL에 접근하지 말아야 한다. 파일을 다운받거나 실행하지 않아도, URL을 클릭하는 것 만으로도 랜섬웨어에 감염될 수 있다는 사실을 인지하고 있어야 한다. 두 번째로 랜섬웨어에 감염될 때를 대비하여 파일을 주기적으로 외부 저장소에 백업해 두어야 한다. 세 번째로 수상한 E-mail에 첨부된 실행 파일을 실행해 보거나, 출처가 불분명한 파일을 실행하지 말아야 한다. 이 때에는 .exe확장자 뿐만 아니라 .scr(스크린세이버)등의 기타 확장자의 파일 또한 조심해야 한다. 마지막으로 웹 브라우져와 운영체제, 그리고 백신을 꾸준히 최신 버전으로 업데이트하여 알려진 취약점을 이용한 공격을 막아야 한다.
  어렵지만, 복구 방법도 있긴 하다. 일말의 가능성을 믿고 공격자에게 비트코인을 보내보기, 지구 어딘가에 존재할 
공격자의 C&C서버를 털어서 키를 가져오기(..?), 양자컴퓨터를 개발하여 RSA-2048(RSA-1024)알고리즘을 크랙해 보기(...?),  타임머신을 개발하여 파일이 암호화되기 전으로 돌아가기(....?) 등등의 조금은 어려운(...) 방법이다. 첫 번째 방법은 랜섬웨어 범죄 행위를 부추길 수 있다는 점에서 권장하지 않는 방법이다. 또한 세 번째와 네 번째 방법은 안타깝게도 아직 보고된 성공 사례가 없지만, 두 번째 방법은 사례가 존재한다. 올해 9월 네덜란드 경찰이 랜섬웨어 용의자의 서버를 털어 14031개의 복호화 키를 확보하고, 해당 복호화 키를 대상으로 카스퍼스키랩에서 랜섬웨어 복호화 툴을 만들어 배포하였던 사례이다. 이에 대한 자세한 정보는 https://noransom.kaspersky.com/에서 확인할 수 있다. 


[그림 3 - 백신의 자동 업데이트 허용]




6. TeslaCrypt 파헤치기! : 시스템 관점과 네트워크 관점에서

 ▷6.1 시스템 관점에서

  TeslaCrypt는 게임 관련 파일들을 대상으로 한 랜섬웨어이다. 필자는 웹 서핑을 통해 TeslaCrypt의 샘플을 구할 수 있었고, 여기에서는 간단히 분석해보았다. 먼저 [그림 4]는 감염 직후의 희생자 바탕화면이다. TeslaCrypt는 희생자 시스템을 감염시킨 후 친절하게도 3가지 방법(png, txt, html)으로 입금을 안내한다. 


[그림 4 - 감염 직후]



 희생자 시스템 내의 파일은 [그림 5]와 같이 .ccc의 확장자가 생기며, 해당 파일을 열 수 없게 된다.  암호화 된 것이다. 


[그림 5 - 파일의 변화]



  또한 C:\Documents and Settings\ever\My Documents 하위에는 recover_file_[랜덤문자열].txt 파일이 저장된다. 이는 희생자의 시스템, IP등의 정보를 포함하는 값으로, 희생자를 구분하는 역할을 한다. 추후에 공격자 사이트에 이 파일을 업로드 해야만 공격자의 비트코인 지갑 주소를 알 수 있다. 


[그림 6 - 희생자를 구분하는 고유한 값]



  또한 레지스트리의 값에도 변화가 존재한다. 희생자 레지스트리의 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 경로에는 "qewr2342"라는 이름으로 "C:\\Users\\Administrator\\AppData\\Roaming\\[랜덤문자열]-a.exe"가 저장된다. 여기에서는 pojiu-a.exe의 이름이다. RUN 레지스트리는 자동 실행 프로그램을 등록하는 곳이다. 그렇다면 키 값으로 등록되는 pojiu-a.exe 파일은 무엇일까?

[그림 7 - 랜섬웨어 실행파일 레지스트리 등록]

 pojiu-a.exe은 랜섬웨어 실행파일이 드롭하는 파일이다. 랜섬웨어 파일과 구조상 동일하며, %Appdata% 경로에 생성된다. 기존의 악성코드들이 코드 인젝션이나 DLL 인젝션을 이용해 악성 행위를 수행했던것과 달리 TeslaCrypt는 이렇게 악성행위 실행파일 자체를 특정 경로에 생성하여 실행하는 특징을 보인다. 동적 분석 결과, Teslacrypt에 감염된 시스템에서는 다음과 같은 행위가 순차적으로 수행됨을 확인할 수 있었다.

1. 맨 처음에 희생자가 랜섬웨어 실행파일에 감염된다.  
2. 해당 랜섬웨어 실행파일은
자기 자신과 동일한 실행파일을 %Appdata%경로에 생성한 후에 자기자신을 삭제한다. (생성하는 파일의 이름은 [랜덤문자열]-a.exe이다.)
3. 
생성된 실행파일 [랜덤문자열]-a.exe은 희생자 시스템 내에서 파일을 암호화하는 실제 악성행위를 수행한다. 그 후 모든 일을 마치면 자기자신을 삭제한다. 

 또한 레지스트리의 HKCU\Software\5A62E9DE47EBD77\data경로에 랜덤 문자열의 이름으로 binary형태의 키 값을 등록한다. 희생자 시스템에는 아래와 같은 로그가 남는다. 

01/12/2015 21:5:34.125","registry","SetValueKey",
"C:\Users\Administrator\AppData\Roaming\pojiu-a.exe","HKCU\Software\5A62E9DE47EBD77\data
[그림 8 - 희생자 로그]



이렇게 레지스트리의 HKCU\Software\5A62E9DE47EBD77\data경로에 저장된 값을 추출하여 hex값을 살펴본 결과 [그림 9]와 같이 1024비트의 문자열이 확인되었다. 이는 공격자의 RSA 공개키로 추측된다. 이 키 값은 시스템 내의 모든 암호화된 파일에서 공통적으로 발견된다. [그림 9 - data레지스트리 값]과 [그림 10-암호화된 파일 값]의 블록 지정된 부분은 동일한 값인데, 이와 같이 Teslacrypt악성코드는 암호화 과정에서 시스템의 레지스트리를 이용한다.


[그림 9 - data 레지스트리의 값]



[그림 10 - 암호화된 파일]


해당 키값은 희생자 시스템 내의 모든 암호화된 파일에서 공통적으로 발견된다. 이를 통해 필자는 다음과 같이 해석할 수 있었다.

"TeslaCrypt는 희생자 시스템 내의 파일을 AES키값으로 암호화한다. 이러한 AES키값은 악성코드 실행시간에 랜덤하게 생성된다.
즉 모든 파일은 각기 다른 AES키로 암호화되는 것이다. 그 후에 파일의 헤더에 해당 AES키를 붙인다.
그리고 이렇게 생성된 파일의 [헤더+데이터] 부분을 통채로 RSA 공개키로 암호화한다.
마지막으로, 사용된 RSA 공개키를 [그림 9]에서 확인할 수 있듯이 파일의 앞부분에 붙인다. 
이렇게 하면 희생자가 어느 한 파일의 AES키값을 알아낸다고 해도 전체 파일을 복호화하지는 못한다.
왜냐하면 전체 파일은 각각 다른 AES키값으로 암호화되어 있기 때문이다. 그러나 공격자는 RSA 비밀키 하나만 있으면 희생자 파일을 모두 복호화할 수 있게 된다.
왜냐하면 RSA 비밀키로 희생자 파일을 복호화하면, 그 후에는 파일 자체에 들어있는 AES키로 해당 파일을 복호화하면 되기 때문이다."



 ▷6.2 네트워크 관점에서

이 챕터에서는 랜섬웨어의 활동을 네트워크 포렌식 관점으로 접근해 분석하였다. 먼저 랜섬웨어는 myexternalip.com에 접속하여 [그림 11]와 같이 희생자의 공인IP를 알아낸다. 이 정보는 추후에 공격자의 C&C서버에 전송되며, 희생자를 식별하는 키 값의 일부로 사용된다.


[그림 11 - 희생자의 공인IP정보 획득]


그 후에, [그림 12]와 같이 공인IP정보를 포함한 희생자 시스템의 정보를 암호화하여 C&C서버로 전송한다. 해당 패킷에서 공격자 서버는 latinmoves.com이다. 그러나 이 뿐만 아니라 희생자는 여러 개의 C&C서버로 접속을 시도한다. 그 이유는 이용하는 서버의 대부분이, 악의적이지 않은 일반적인 웹 사이트이기 때문인데, 공격자는 취약점이 존재하는 웹 사이트를 해킹하여 공격에 사용되는 파일이나 코드를 심어놓는다. 그리고 그것을 악성코드 배포 및C&C 서버로 이용한다. 이러한 사이트의 취약점이 패치된다면 더 이상의 공격이 불가능하다. 따라서 하나의 서버가 불능이 될 것을 대비하여 여러 개의 서버를 마련해 놓는 것이다.


[그림 12 - 희생자 정보 전송]


[그림 13 - 공격자 서버 정보]

[그림 13]은 패킷 분석 결과 발견된 공격자 서버의 URL과, 그것에 해당하는 IP이다. 이 사이트들에게 모두 패킷을 전송하나, 대부분의 서버는 다운되어 500번 에러 메시지로 응답한다. 그러나  이 중 살아있는 공격자 서버에 연결되면, 서버로부터 [그림 14]와 같이 "---!!!INSERTED!!!---" 의 응답이 온다.


[그림 14 - 서버로부터의 응답]




 ▷V3 진단 결과

마지막으로 AhnLab V3에서의 이 악성코드의 진단명은 Trojan/Win32.Teslacrypt.R168154이다. 사용자가 해당 악성코드를 다운로드할 시 V3는 파일을 즉각 삭제한다. 또한 V3는 악성코드 진단 및 치료 뿐만 아니라 유해 사이트 차단기능까지 제공한다. 공격 과정에서 접속하는 [그림 13]의 URL에 접근할 시에는, 해당 공격 사이트를 악성 사이트로 진단하고 [그림 16]와 같이 접속을 차단한다.


[그림 15 - 유해 사이트 접속 차단]


[그림 16 - 악성코드 진단 및 삭제]






[참고 사이트]
  http://asec.ahnlab.com/1032
  http://www.isightpartners.com/2015/09/teslacrypt-2-0-cyber-crime-malware-behavior-capabilities-and-communications/

[참고 문헌]
  Cryptowall Verson 3 Threat, Cyber Threat Alliance




(잘못된 내용은 아래 메일로 제보해 주시면 수정하도록 하겠습니다.)


신고

나도 모르는 사이 계정이 거래되고 있다고? 진화하는 불법 해킹시장.

나도 모르는 사이 계정이 거래되고 있다고? 진화하는 불법 해킹시장.

 

 

<온라인 게임 해킹피해에 둔감해지는 사람들>

 오늘날 개인정보 유출과 그로 피해에 관련된 보도는 일상처럼 접할 수 있는 기삿거리가 된지 오래이다. 이는 분명히 심각한 문젯거리이나 비슷한 사례의 반복적인 노출로 인해 오히려 둔감해지기 쉬우며, 실제로 적지 않은 사람들이 해킹피해를 남의 이야기인 것처럼 여기는 것을 볼 수 있다. 국내 최대 게임사인 넥슨의 온라인 게임 메이플스토리의 사례를 통해서 온라인 게임상에서의 불법 해킹시장이 어떻게 진화하고 있고 그로 인한 피해는 어떻게 막을 수 있을지 알아보자.

 

 

<해킹피해, 과연 남의 일일까?>

 메이플스토리는 올해 12주년을 맞은 게임으로, 여전히 온라인 게임 순위 10위 이내에 들고 있을 정도로 꾸준히 사랑 받고 있다. 특히 2011 8월에는 국내 온라인 게임의 흥행척도인 동시 접속자수에서 무려 62만명을 돌파하는 대기록을 세우기도 했는데, 이는 아직까지도 국내 2위의 기록으로 남아있다. 그러나 불과 같은 해 11월에 넥슨은 1320만명의 개인정보를 유출 당하는 사상 최악의 해킹피해를 입게 되는데, 열기가 뜨거운 게임이었던 만큼 그로 인해 확장된 피해는 상당했으며 지금까지도 광범위하게 지속되고 있다.

 

 

 

<다양한 피해 사례들>

 일반적으로 온라인 게임해킹의 직접적인 피해를 언급할 때, 단순히 게임 아이템을 빼돌려 외부에 처분 하는 직접적 형태만을 생각하기 쉽다. 물론 이는 피해사례의 대표적인 유형이나 이 밖에도 주의해야 점이 있다는 것이 중요하다. 아이템을 처분하는 방식의 해킹은 보통 해당 게임을 플레이 하는 유저가 대상이 되는 것으로 생각하기 쉬우나 항상 그런 것은 아니다.

 메이플스토리 운영진은 모든 유저들에게 놀라운 장비강화 주문서라는 강화아이템(이하 놀장강)을 지급한 바 있는데, 이 아이템의 성능이 지나치게 강력하여 게임의 질서를 파괴시키는 심각한 부작용이 발생하는 바람에 당초에 지속적으로 공급하려던 계획을 수정하여 1회 지급에 그치고 말았다. 강력한 성능과 희소성으로 인해 놀장강의 가격은 3년 후 한 계정당 한화 4~7만원에 이르게 되었다. 이 놀장강의 공급의 90% 이상이 바로 해킹계정에서 비롯되는 것으로, 현재는 메이플을 이용하지 않는 과거 유저도 이 놀장강을 얻기 위한 해커들의 목표가 되어버린다.

 또 다른 유형의 피해는 메이플을 전혀 이용하지 않은 사람들 조차 당할 수 있는 피해이다. 메이플의 주요 컨텐츠 중 하나인 일회성 이벤트는 종종 현금성 강화 아이템을 지급한다. 한 사람당의 아이템 가치는 대략 2000~5000원 정도이나 유출된 주민등록번호를 통해 양산된 계정을 이용하여 수십 만원 대의 아이템으로 재탄생시키는 방식으로 수익을 창출한다. 이와 같은 간접적 피해는 그 게임과 아무련 관련이 없는 사람의 개인정보까지도 그 대상이 된다는 점에서 경각심을 가질 필요가 있다.

 

 

<어떻게 막을 수 있을까?>

 가장 기본적인 예방책은 자신의 아이디와 비밀번호를 지속적으로 바꾸어주는 것이다. 그러나 사후적으로 피해를 입었을 경우에는 이를 복구하는 방법을 알아보는 것도 중요하다. 해킹 피해를 받은 유저가 게임에서 이탈하는 것을 막기 위해 일부 게임은 해킹 전으로 복구시켜주는 서비스를 제공하고 있으니 꼭 확인해보는 것이 좋다.

 게임을 이용하지 않았음에도 불구하고 일어나는 간접적인 피해는 어디에서 발생할지 예측하기 어렵기 때문에 자신의 명의가 사용된 곳을 한꺼번에 알아보는 것이 좋다. clean.kisa.or.kr에서는 자신의 명의로 생성된 계정을 광범위하게 알아볼 수 있는데 이를 통해 자신의 의지와 관련 없이 생산된 계정을 삭제해준다면 앞으로 발생할 피해를 예방하는데 효과적이다.

 

<기업형으로 발전한 불법 해킹 작업장, 적극적으로 대비하자>

온라인 게임 해킹시장의 규모는 일반적으로 생각하는 것보다 훨씬 클 것으로 추정된다. 이들 중 상당수는 중국 등에서 수익을 목적으로 하는 기업형으로 발전하기에 이르렀는데, 이중 중국 단둥에서 주로 메이플 등의 한국 게임을 대상으로 하는 기업형 해킹집단에 속한 정쯔(가명)씨에 에 따르면 온라인 게임을 주요 타깃으로 하는 수많은 기업형 작업장이 존재하는데, 각각의 작업장은 많게는 30~50명가량의 구성원으로 이루어진 곳도 있으며 이들 각각의 수익은 불규칙한 편이나 한 달에 1~5억에 달한다고 한다. 이는 작업장 1인당 약 200만원~1000만원 수준으로 중국 1인당 gdp가 한화로 약 70만원 수준인 것을 감안하면 지하경제의 특성상 시장 전체를 구체적으로 파악하기는 어려움이 있음에도 불구하고 그 규모가 상당할 것임을 의미한다. 따라서 자신에게도 해킹의 피해가 미칠 수 있음을 인지하고, 사전적인 예방법과 사후적인 대처법을 기억하고 실천하는 자세가 필요하다.

 

 

 

안랩 대학생 기자단

연세대학교 경제학과 이상원

 

신고

유난히 ‘다사다난’했던 2014년 보안이슈들 되돌아보며.

유난히 사건사고가 많았던 2014, 지난 1년동안 보안분야에서도 많은 이슈들이 있었다. 1월부터 우리나라 카드3사에서 개인정보가 유출된 사건은 그 신호탄이었다. 2015년 새해를 맞이하기에 앞서 2014년 꼭 집고 넘어가야 보안이슈들을 되돌아보자.

 

개인정보유출 사고

2014년에는 유독 정보유출 사고가 많았다. 먼저 2014 1월에는 카드사의 총 1 4천만건의 고객 정보가 유출된 사상 초유의 사태가 일어났다. 협력업체 직원이 내부정보를 탈위하여 발생한 사건으로 카드사의 부실한 보안시스템이 여지없이 들어났다.

[사진출처: http://syba.tistory.com/607]

비슷한 사건으로 3월에는 KT 통신사에서 1200만건의 고객정보가 유출되는 사건이 일어났다. 홈페이지의 취약점을 파고든 해커의 공격으로 2년전에도 비슷하게 870만명의 고객정보가 유출된 KT는 기업이미지에 엄청난 타격을 입었다.

 

윈도우 XP 지원종료

지난 10년넘게 많은 사랑을 받았던 위도우XP의 업데이트 지원이 2014 4 8일에 종료되었다.단순히 운영체제하나가 서비스 종료하는 것이지만, 보안시장에는 엄청난 파장을 일으켰다. 그 이유는 아직까지도 POS ATM 등 산업기기 대부분이 XP를 사용하고 있어 잠재적으로 보안 위협이 존재하기 때문이다

 

                               [사진출처: http://mailplug.tistory.com/521]

XP는 더 이상 보안패치를 제공받지 못하기 때문에 이를 이용한 취약점 공격이 일어날수 가 있는데 이러한 장비들이 모두 금전적인 거래를 담당하고 있는 경우가 많아 해커들의 표적이 되고있다. 따라서 금융 관련 기기들의 OS XP의 상위버전으로 업그레이드 하여 해커들의 공격에 대비하는것이 시급한 문제이다.

 

주민번호 수집금지와 새로운 인증수단 마이핀

2014 8 7일 개인정보보호법 개정안이 시행되면서 무단으로 주민등록번호를 수집 및 활용이 금지되었다. 이 때문에 공공기간이나 민간사업자는 주민번호 대신에 본인인증의 대체수단으로 신원을 확인해야 하는데 그 새로운 인증수단으로 마이핀(My-Pin)이 등장했다.

                                               [사진출처: 안전행정부]

마이핀은 개인정보가 포함되어 있지 않은 총 13자리의 번호로 이루어져 있어 개인정보를 통한 금융 사기 피해를 방지할 수 있고 발급절차도 간단하다. 가까운 주민센터에 직접 방문하거나 온라인상으로도 발급 받을 수 있다고 하고 한번 발급받은 마이핀은 연 3회 변경이 가능하다고 하여 유출된다고 해도 주민번호보다 훨씬 안전하다고 할 수있다.

 

무선 공유기 해킹 사례 급증

대한민국의 전 지역이 무선인터넷 망으로 연결되어 있다고 해도 믿을 정도로 이제 어느 곳이든 무선 인터넷을 이용할 수 있다. 그러나 업계에 따르면 무선공유기를 통한 사이버공격이 올해 들어 급증했다고 한다. 보안 취약성을 보안패치와 백신 등으로 보완할 수 있는 PC와 달리 무선공유기는 대응책이 없어 사이버 공격에 무방비로 노출되어 있다.

                                [사진출처:http://m.boho.or.kr/p_info/p_info4.jsp]

특히 비밀번호가 설정되어 있지 않은 무선공유기를 무심코 사용했다가는 스마트폰 또는 노트북에 저장된 각종 정보를 탈취당할 수 있다. 공격자들이 무선 공유기를 해킹하여 사용자의 정보를 빼갈 수 있기 때문이다. 무선 공유기 해킹 시 공격자는 해당 공유기를 통해 이동하는 데이터를 모두 엿볼수 있다고 한다. 최근에는 통신사 와이파이망을 사칭한 무선 네트워크를 만들어 개인정보를 탈취하는 사례도 생겨났다.

이를 예방하기 위해서는 확인되지 않는 무선공유기를 사용하지 말고특수문자를 포함한 비밀번호를 어렵게 수정, 보안을 강화하고 펌웨어를 최신버전으로 업데이트 하여 해커들이 개인정보를 수집하는데 최대한 어렵게 해야한다고 한다.

 

 

 대학생기자 김도형 / 경기대학교 경영정보학과

1%라도 더 끌리는 선택을 하자

 

 

 

 

신고

디지털 세탁소, 디지털 장의사, “개인정보 모두 지워드립니다”

하루에 몇 통씩 울리는 스팸전화, 메일을 꽉 채워 지우기도 버거운 스팸메일. ‘개인정보’는 더 이상 ‘개인’ 소유가 아닌 듯하다. 인터넷 이용과 개인정보 수집은 불가분의 관계이기 때문에 이용자는 더욱 불안하다. 이런 상황에서 디지털 세탁소, 디지털 장의사라는 신종 서비스가 등장했다. 이름마저 생소한 이 서비스, 도대체 무엇인가!?


개인 정보 삭제 서비스, ‘디지털 세탁소’


<사진출처 : 미디어 오늘>

‘디지털 세탁소’를 쉽게 풀어 설명하자면 ‘개인 정보 삭제 서비스’로 말할 수 있다. SNS 및 온라인에 떠돌아다니는 사진이나 글 등을 지워주는 서비스를 제공한다. 일정 시간이 지나면 개인 기록이 자동적으로 삭제되거나, 필요시 SNS에 남긴 댓글까지 모두 삭제가능하다. 게시판 상 부정적인 글의 경우에는 ‘밀어내기’ 방법으로 SNS에서 눈에 띄지 않게 도와준다. 여기서 ‘밀어내기’란 긍정적인 글을 올려 불쾌한 게시 글을 밑으로 내리는 작업이란다.

선진국의 경우, 대표적 디지털 세탁소로는 ‘레퓨테이션닷컴’, ‘리무브유어네임’ 등의 업체가 있다. 우리나라의 경우 ‘산타크루즈’, ‘맥신코리아’ 등의 업체 디지털 세탁소 서비스를 운영중에 있다. 디지털 세탁소 서비스는 아직 보편화 되지 않아 적게는 수십, 많게는 수 백 만원의 비용이 든다. 그러나 과거의 흔적을 말끔히 지워준다는 장점아래 연예인, 기업인, 정치인부터 결혼을 앞둔 예비 부부, 취업 준비생, 일반인까지 디지털 세탁소 서비스를 이용하는 추세다.


사이버 언더테이커, ‘디지털장의사’


<사진출처 : 네이버>

‘디지털 장의사’. 디지털 세탁소 서비스 운영과 함께 신종 직업으로 떠오르고 있다. 이미 해외에서는 ‘디지털 장의사’를 ‘사이버 언더테이커(cyber undertaker)’라 칭하며 대중화 되고 있다. 디지털 장의사는 세상을 떠난 이후 온라인에 그대로 남아있는 자신의 흔적을 지우고 싶어 하는 소비자들을 위해 나타난 직업이다. 의뢰자는 사망 전 본인의 블로그 및 SNS등 각종 개인 정보를 안전하게 정리하도록 디지털 장의사에게 의뢰한다. 뿐만 아니라 고인의 가족들 도 고인을 위해 디지털 장의사를 찾는다고.

중앙시사매거진(2014년 9월 17일 자)에 따르면, 디지털 장의사를 찾는 사람들의 사례 중 이성친구와 교제 과정이나 채팅 등을 통해 찍었던 사진과 동영상이 퍼진 경우가 있었다. 고교생인 C양은 7년 전에 장난삼아 했던 화상채팅이 무단으로 녹화돼 유포되고 있는 걸 친구를 통해 최근에야 알게 됐다. 이미 파일공유사이트를 통해 널리 퍼진상태였다. C양은 “어렸을 때 했던 철없는 행동이 이렇게 크게 문제를 일으킬 줄 몰랐다” 한 디지털 세탁소 사이트를 방문하게 됐다고 한다.

그러나 디지털 장의사의 보완점도 있다. 국내법상 영리를 목적으로 개인정보를 수집하고 동의하는 건 가능하지만, 개인정보보호법상 제3자에게 아이디와 비밀번호를 알려주는 건 불법이라 디지털 장의사 제도를 도입하기엔 한계가 있어 보인다.


디지털 세탁소와 디지털 장의사의 등장은 ‘개인 정보 유출’ 및 ‘개인 사생활 관리’에 신경 쓰는 이용자가 많아 졌다는 것을 반증한다. 서비스 이용자들은 ‘잊힐 권리’를 주장해 이 서비스를 옹호한다. 그러나 더욱 중요한 것은 서비스를 이용 전에 개인정보관리에 더욱 힘써야 한다는 점이다. 늘어나는 개인정보 유출로 인한 서비스의 등장. 달갑지는 않지만 여러 방면으로 뻗어나갈 수 있는 장점이 많기에 앞으로의 발전을 기대해 본다.




  



대학생기자 김가현


"혼자 핀다고 봄인가요, 함께 피어야 봄이지요" 


 fkdhs3@gmail.com



 



신고

공인인증의 대체 '간편결제'


액티브 X(Active X)를 기반으로 작동하는 공인 인증서는 가뜩이나 보안에 취약한 액티브 X의 문제점과 국제 표준에 맞지 않는 전형적인 한국만을 위한 인증방법이다. 결제를 위해 프로그램을 설치하더라도 카드사마다 다른 프로그램을 설치해야하는 번거로움에다가 액티브 X까지 깔아야하는 불편함은 결제에 대한 결정을 다시한번 생각하게 만들어준다. 최근들어 시대의 변화에 맞지 않는 뒤떨어진 산물이라는 의견이 다분한 공인인증서를 대체 할 새로운 서비스로 '간편결제'가 떠오르고 있다.

간편 결제란 무엇일까? 액티브 X나 공인 인증서 없이 최초에 1회 결제 정보를 등록하면 간단한 인증만으로 간편하게 결제를 할 수 있는 서비스를 말한다. 기존의 국내 제도에 의해 많은 제한이 있어서 간편 결제에 관련한 서비스들을 국내에서 찾아보기 힘들었지만, 공인 인증서 의무 사용이 폐지되며 편의성을 갖춘 결제 서비스들이 속속 등장하고 있다. 수없는 취약점이 발견되고 공인 인증서의 유출 가능성이라는 커다란 문제점을 가지고 있던 기존 서비스를 대체할 '간편결제' 서비스는 기존의 논란을 잠식 시키에 충분한 서비스이다.

하지만 기존의 서비스에 비해 좋은 평을 받고 있지만 '간편 결제' 서비스는 과연 완벽한 것일까? 늘 붙어다니는 보안 문제에 대해 과연 안전할 수 있을지에 대해 우려가 든다. 간편 결제 서비스시 PG사(전자지급결제대행업체. Payment Gateway)가 간편 결제 시스템을 운영하게 되는데 이때 카드 이용자의 카드 정보까지 저장할 수 있기에 PG사에 대한 관심이 모아지고 있다. 금융 당국은 업계에서 PG사들을 엄선해서 검증된 곳에서만 결제를 할 수 있겠다는 방침이지만, 카드사와 통신사에서 대규모 정보유출 사고가 발생하는 것들을 수없이 지켜본 우리로서는 불안한 것은 여전하다. 이용자들에게 더욱 편의성을 보장하며 안전함까지 보장해주는 것은 우리의 바램이자 당연한 요구이다. 부작용 없는 서비스를 위해 끊임 없는 노력을 요구하며 다른 부작용이 없을지 숙고해야할 것이다.




안랩 대학생 기자 김종헌 / 한세대학교 전자소프트웨어학과 



 

신고

마이핀(MyPIN), 나를 인증하는 똑똑한 수단



 출처 안전행정부


지난 8월 7일부터 개인정보보호법 개정이 시행되면서 무단으로 주민등록번호를 수집 및 활용이 금지 되었다. 지난 대략 40여년동안 개인 간 계약 체결, 민간·공공서비스 신청, 구직, 회원등록 등 생활 전반에 널리 쓰인 '만능번호' 사용에 처음으로 제동이 걸린 것이다. 때문에 공공기관이나 민간사업자는 주민등록번호 대신에 아이핀이나 휴대폰번호 등 대체수단으로 신원을 확인해야 한다. 안전행정부는 이러한 대체수단 활용을 적극 시행하기 위해 본인확인의 과정에서 불편을 줄인 마이핀(MyPIN) 서비스를 도입했다.

 



마이핀(My-PIN)은 인터넷이 아닌 일상생활에서 사용할 수 있는 본인확인 수단으로서 개인 식별정보가 전혀 포함되지 않은 13자리의 무작위 번호이며, 그동안 온라인상에서 사용해왔던 아이핀(I-PIN)을 정부와 공인된 기관에서 오프라인까지 확대 제공하는 서비스이다. 그러므로 오프라인에서 신원을 확인하는 경우 무작위 번호가 선정된 마이핀(MyPIN)으로 확인 할 수 있게 되었다. 이에 따라 무분별한 주민 등록번호 수집을 최대한 줄여 개인정보보호를 강화할 수 있게 되었다.








마이핀은 기존의 주민등록번호와 달리 나이, 성별 등 개인정보가 전혀 포함되지 않고 마이핀 발행연도, 발행기관코드 및 난수의 13자리 번호로 구성되어 개인정보가 보호된다. 사용내역을 스마트폰 전용 앱이나 이메일로 즉시 알 수 있으며, 필요시 연간 5회 이내에서 번호를 바꾸거나 폐기할 수 있어 개인피해를 최소화 시킬 수 있다. 또한 일반사업장에서 마이핀 보관 금지에 따라 개인정보 연계에 따른 피해를 줄일 수 있다. 더군다나 마이핀 번호로 각 종 관련 사업장에서 포인트를 적립 할 수 있어 이용자의 편리성을 강화 할 수 있다.  그럼 이렇게 다양하게 활용 가능한 마이핀은 어떻게 발급 받을까?   방법은 간단하다.





① 인터넷 발급
공공 아이핀센터 또는 나이스평가정보 등 본인 확인기관 홈페이지에서 간단한 본인인증 절차 후 발급 받을 수 있다.
-공공 I-PIN 센터 www.g-pin.go.kr
-나이스 평가정보 www.nicepin.co.kr
-서울신용평가 정보 www.siren24.co.kr


②동사무소 방문 신청 발급
온라인에서 본인인증이 어렵거나 온라인 사용이 익숙치 않다면 가까운 동사무소에서 신청 후 발급 받을 수 있다. 거주지와 상관없이 전국의 센터에서 발급이 가능하다.


③모바일 발급
공공 I-PIN서비스 어플리케이션을 다운 후 간단한 실명인증 후 회원가입을 하여 발급 받을 수 있다.





발급받은 마이핀의 번호 13자리를 다 외우고 다녀야 할 필요는 없다. 신용카드 크기 발급증 형태의 마이핀 서비스와 함께 사용내역을 휴대폰이나 이메일로 알려주는 ‘알리미서비스’도 제공되기 때문이다. 한번 발급 받은 마이핀은 연 3회 변경이 가능한 번호라 개인을 식별하기 어려워 유출된다 해도 주민등록번호만큼 지속될 수 없다.



마이핀이 처음 도입됨에 따라 다양하게 반응하고 있다. 아이핀도 잘 활용 안하는데 마이핀은 잘 활용 할 수 있을까, 마이핀 가입절차에서도 결국 본인인증을 하는데 번거롭지 않은가 등 우려의 시선도 있다. 앞서 장점을 언급했듯이 연간 3회정도 번호를 변경할 수 있어 변경이 불가능한 고유 주민등록번호보다는 개인정보를 보호 하는데 효과적일 것이다. 또한 언제든 폐기 가능해 크나큰 피해를 최소화 할 수 있다.

 

개인정보는 나만의 고유정보이자 누구에게도 알려서는 안 되는 소중한 정보이기도하다. 또한 금전적 피해나 정신적 피해까지 야기할 수 있는 중요한 정보이다. 이를 지키기 위해서는 적극적인 관심과 예방 방법을 적극 실천 하는 태도가 필요하다. 이번에 시행되는 마이핀{MyPIN}은 나를 지키고 나를 인증하고 또 내 주변 것을 지킬 수 있는 작지만 안전한 도약이 될 것이다.




대학생기자 김도형 / 경기대학교 경영정보학과

대학생기자 손지혜 / 세종대학교 디지털컨텐츠학과


신고

우리나라 온라인게임산업, 괜찮나요?

 

 

 

스마트폰이라는 신 혁신의 기기가 발전함에 따라 우리의 게임 동향은 온라인에서 스마트폰으로 옮겨지고 있다. 더군다나 스마트폰 게임의 진입장벽은 현저히 낮아 대규모 기업뿐만 아니라 소규모 개발자들도 쉽게 개발하고 있고 여러 게이머들을 흡수 하고 있다.

그러나 몇년째 온라인게임 개발은 제자리 걸음을 하고 있다. 거대자본을 소유한 대규모 게임업체외에는 온라인게임개발에 부담을 느끼고 있다. 게다가 중국의 게임자본이 국내에 다량으로 그리고 빠르게 유입되면서 온라인게임의 선진국의 타이틀을 내주게 되었다.또한 온라인게임의 점유율을 보면 현재 최고 인기 게임 리그오브레전드와 디아블로3, 피파온라인 등 국외 게임이 상위권을 차지 하고있다. 이렇듯 국내 온라인 게임의 시장은  주춤하고 있다. 그런데 우리나라 정부는 셧다운제, 게임중독법 등 게임 산업 규제 정책을 내놓아 열악한 국내 온라인게임 시장을 규제하고 있다. 그렇다면 우리나라 외 다른 나라의 온라인 게임 산업시장은 어떠 한가?  

 

 

 

1) 한국 '게임은 사회악'

 

- 게임규제 관련 다수 법안 발의,

  그러나 최근 게임 산업 진흥 장려안 내놓기도 

 

'사회악', 다소 거친 표현 일 수 있으나 우리나라는 게임에 대해 부정적인 관념이 대부분이다. 그 예로 우리나라는 지난 2011년에 '셧 다운제'를 도입했다. '셧 다운제'란 16세 미만의 청소년에게 심야시간의 인터넷 게임 제공을 제한하는 제도이다. 게임이 청소년들의 발달에 굉장한 악영향을 미친다는 정부의 입장 때문이다. 또한 작년 정부가 '게임 중독법' 등 다수의 게임산업 규제법을 발의 하면서 많은 논란을 빚었다. '게임 중독법'은 게임을 술, 도박, 마약들과 함께 중독을 유발하는 물질로 분류하여 보건복지부에서 게임을 관리하고 제한하겠다는 내용이다. 그 외 법안으로는 게임사 매출 1%를 강제 징수하는 것으로 요약되는 손인춘법’, 영세한 콘텐츠 업계를 살리겠다는 명목으로 게임 등 콘텐츠 사업자의 매출을 5% 징수하는 박성호법등 이다. 발의된 건들이 법으로 만들어진다면 게임 규제가 강화되 게임산업에 대한 투자가 줄어 게임시장이 위축될 것으로 보인다. 이처럼 정부는 문화콘텐츠분야에서 수익이 60%로 가장 높은 게임 산업을 부정적으로 인식해 셧다운제 같은 법률로 강제적으로 규제하고 있다.

그래도 최근에는 문화재청이 한국 콘텐츠 진흥원과 기능성 게임개발·보급에 협약을 체결해 게임산업을 문화교육정책에 활용하고 있다. 협약을 통해 문화유산 교육용 기능성 게임의 공동개발 보급, 개발 완료된 게임 보급 확대 등 정부가 게임 육성을 돕는 것이다. 이처럼 정부가 공익을 위해 게임의 긍정적 요소들을 활용하고 있다. 또한 얼마전 정부의 게임규제를 완화하겠다는 발언을 해 게임산업 규제가 풀릴 것이라고 게임업계는 기대하고 있다. 이처럼 우리나라는 게임산업을 사회악으로 치부해 정부가 규제를 강하게 하고 있지만, 최근 들어 게임 산업에 대해 인식을 전환하려는 노력을 하고 있다.

 

 

 

 

2) 미국 '강력한 규제 없고 정부가 적극 나서 게임진흥 장려'

 

 -게임 규제 자율적으로 기업에게 맡기고

   정책 홍보 수단으로 활용 하는 등 정부의 적극 정려

 

 

미국은 게임 산업에 대해 정부가 법률적으로 직접 규제하고 있지 않고 자율적 규제로 게임 기업들에게 맡긴다. 정부가 규제를 한다면 소비자들에게 올바른 정보를 제공하기 위해 우리나라가 tv,영화 의 심의 등급을 하듯이 게임을 이와 같은 문화콘텐츠로 취급하고 등급을 분류하는 심의가 전부이다. 미국의 게임물 등급 분류 표시는 7가지로 콘텐츠에 대한 연령 한계를 설정하는데, 폭행이나 노출, 나치와 같은 역사적 상황 등 윤리적 이슈에 관해서만 제재를 가한다., 게임의 내용에만 제제를 가할 뿐 게임 자체 플랫폼에 제제를 가하는 것이 아니다.

또한 미국 정부는 게임 산업진흥을 적극 장려한다. 게임을 정책 홍보 수단으로 활용하거나 교육 등 정책에 적극 도입하고 있다. 일례로 미국 보건당국은 모바일 게임 '플래이그' 게임을 통해 전염병 관련 정보를 게임 사용자에게 전달하고 있다. 사용자 접근성이 높은 게임의 순기능을 활용해 공공보건에 적대적인 게임을 오히려 대국민 홍보 수단으로 전환한 것이다. 게임을 통해 학습에 자연스럽게 몰입하도록 하는 미국의 스템(STEM) 정책도 마찬가지다. 오바마 정부가 청소년들의 게임 과몰입을 법으로 규제하기보다는 게임을 교육에 활용하고자 도입한 스템은 비디오 게임을 직접 플레이하고 제작하면서 자연스럽게 성취의식을 높여 학습에 흥미를 갖도록 하는데 초점을 두었다. 그리고 최근에 미국 연방정부 독립 대행 단체 국립예술기금(National Endowment for the Arts, 이하 NEA)가 지원 부문 항목에 게임을 포함시켰다. NEA는 게임을 예술 항목에 추가해 공공의 이익을 추구하며 보다 혁신적인 게임프로젝트를 골라 작품의 제작 및 유통에 활용할 수 있는 자금을 제공한다. 게임 작품에 최대 2억원의 정부 지원을 받는 것이다.

이처럼 미국에서의 게임 산업은 한국과 달리 게임자체 제제가 아닌 사용자들을 위해 내용만 등급으로 분류하며 게임을 예술로 인정해 정부가 지원을 하고 정책에 이용하는 등 긍정적인 산업으로 인식되고 있다.

  

 

 

 3) 중국  '게임관련 진흥정책 만들어 전폭적지지'

 

 -과거엔 정부의 직접적인 규제, 그러나 산업 장려책으로 노선변경

   신흥 게임강국 중국으로 대세 자리잡아

 

 

중국은 게임을 전자 헤로인’, 정확히 말하면 인터넷 중독을 마약이라 칭하는 등 게임과 마약을 동일선상에 놓고 규제를 가했었다. 인구 13000만 명 중 10% 정도가 인터넷 중독 증상을 보이고 이중 청소년의 비중이 7%에 달해 심각한 문제로 부상한 것이다. 이에 중국 정부는 규제를 더욱 강화하고 온라인게임을 3시간 이상 플레이하면 경험치 획득량을 절반으로, 5시간 이상 플레이하면 경험치와 아이템을 획득할 수 없는 피로도 시스템 도입을 도입해 과몰입 방지에 나섰다. 이후에도 모든 온라인 게임 이용자들이 실명 등록 과정을 거쳐야 게임을 할 수 있게 하는 등 매년 게임 관련 규제는 강력해지는 모습을 보였다.

그러나 게임 시장이 폭발적으로 성장하고 정부가 가했던 규제가 실효성이 없는 것으로 판단되자 중국 정부의 게임 관련규제는 정부와 기업, 가정이 함께 참여해 게임 시장의 산업 발전을 위한 자율적인 규제로 노선을 변경했다. 중국 정부는 이러한 자율규제화에 앞서 꾸준한 자국 게임 산업 장려책을 펼쳐왔다. 자국 게임 산업 육성방안인 외상투자산업지도목록을 통해 해외 게임이 자국 내에서 독자적으로 유통 되는 행위를 금지 목록에 포함 시키기는 등 외산 게임이 직접적으로 중국 게임시장에 들어올 수 없도록 조치했다.

이어 자국 온라인게임에 대한 규제 대신 육성책 위주로 정책을 펼치며 게임 산업 성장의 기틀을 마련해줬다. 이러한 장려책으로 인해 중국 온라인 게임시장은 정부의 지원아래 2005~2008년 사이에 연평균 55%대의 성장을 기록했고 2009~2012년 사이에는 연평균 30%대의 성장을 보이며 세계 최대 규모의 시장으로 성장할 수 있었다. 또한 2000년 초반 한국산 게임 등 외국 게임이 시장을 장악하고 있었던 것과 달리 지난 2011년에는 게임차트에서 자국 게임이 차지하는 비율을 약 50% 수준까지 끌어올리게 됐다. 중국 정부는 차세대 먹거리 사업인 게임 산업의 경쟁력 강화를 위해 게임 유관 부서에서 업체 선정을 통해 저금리 대출과 보조금 지원, 수출 지원 등의 우대 정책을 제정하고 실시하는 상황이다.

특히, ‘중화인민공화국 국민경제 및 사회발전 제 125개년 계획 요강을 통해 문화산업을 국민경제의 지주 산업으로 추진한다라고 언급했다. 이를 통해 각 지방 단체는 이 요강에서 제시한 문화산업의 대대적 발전 요구에 따라 중국 게임 산업의 발전을 지원하기 위한 정책을 확립하고 강종 관련 법률과 법규도 마련했다.

이에 따라 상해와 북경 등 대도시는 물론 복건성 지방과 남경시 등은 게임에 대한 전폭 적인 지원을 아끼지 않고 있으며 게임 산업을 비롯한 문화사업이 전반적으로 규모가 확대되어 국책사업으로 추진되는 모습이다.

 

 

 

4) 일본  '게임 내부 외부 가이드라인만 존재'

 

-게임 내용 표현방식 및 결제 등 내부 컨텐츠 규제,

  키즈 게임 산업 발전으로 게임선진국 대열 합세

 

 

일본도 미국과 같이 게임산업을 타깃으로 한 법률적으로 강력한 규제는 없다. 자율 규제를 강조한다. 한국에서처럼 게임 이용을 차단하는 방식으로 접근하지도 않는다. 규제라고 하면게임의 내용과 같은 내적인 사항으로 게임물 등급 분류를 하는 게임 심의가 전부다. 소비자들에게 올바른 정보전달을 위해 폭력, 범죄, 성적 모사 등에 대한 규제 조항을 두고 있다. 금지표현 규정에 따르면 '극단적인 출혈묘사', '대량살인', '폭행표현', '성행위 및 성행위와 관련된 포옹, 애무 등의 표현' 등의 규정을 두고 있는 등 한국처럼 게임 자체에 규정을 두는게 아닌 게임 내부 표현방식 규정에 초점을 두었다.

그리고 정부의 법적인 규제라고 한다면 게임에 대한 규제는 없지만 결제에 대한 규제는 있다. 대표적인 게 20104월에 시행된 자금결제법이다. 자금결제법이란 온라인게임업체가 출시하는 게임 중 가용 포인트의 유효 기간을 반년 이내로 정하거나 포인트 총액의 절반을 공탁금으로 금융 기관에 예치하는 것을 말한다. 이렇게 게임자체적인 규제가 아닌 게임의 외부적인가이드 라인만 존재한다.일본정부는 게임을 유년기 지능 발달의 도구로 적극 활용하는 '키즈게임' 산업을 발전 시켰다. 이 기능성 게임은 아이들의 뇌 발달과 창의력 향상에 도움을 준다. 마우스 클릭을 통해 목표물 맞추는 게임인 '코코의 어드벤처'나 두 개의 그림을 놓고 차이점을 찾아내는 '차이를 잡아라', '드림 피쉬 키즈게임' 등이 대표적이다.

이렇듯 일본정부는 법적인 강력한 규제보단 자율적 규제를 두고 게임을 고급문화로 인식해 교육이나 의료산업에 이용하는등 중국,미국과 같이 게임선진국에 나란히 이름을 올리고 있다.

 

 

 

우리나라 외 미국, 중국, 일본의 온라인 게임산업에 대한 다양한 정부 장려책과 활용안을 알아보았다. 사례를 보아도 정부의 적극적인 장려와 진흥 책이 온라인게임시장을 부흥시키고 성장하는데 큰 역할을 하였다. 최근 정부는 SW조기교육과 인재양성을 강조하고있다.그리고 코딩과목을 중 고교 정규과목으로 채택하는 정책 등 IT산업에서  우리나라의 소프트웨어 산업 경쟁력을 높이려 하고 있다. 

그런데 SW산업과 창조경제를 융합하여 경쟁력있는 IT강국으로 성장 하기 위해서는 컨텐츠산업의 최고점유율이고, 전 세계를 아우를 수 있는 온라인 게임산업이 한 몫을 할 것이다. SW의 새로운 시장을 개척하는 것도 중요하지만 기존의 있는 온라인 게임시장을 규제하는 것이 아닌 적극 장려하는 정책으로 확장시키는 것도 중요하지 않을까 싶다.

 

 

 

 

 

 

대학생기자 손지혜 / 세종대학교 디지털 컨텐츠학과

 

 

 

 
신고

주민번호의 존폐를 논하는 이 시점에서 시행된 개인정보 보호법!


개인정보 유출 사고가 수도 없이 발생했다. 이젠 개인정보 유출 사고가 또 발생했다고 하더라도, 놀랍지 않을 정도이다. 이렇게 놀랍지 않은 건, 내 개인정보가 이미 유출 된 경험이 있을 것이란 말이 된다. 뒤늦게 기업들에서 지키고, 수습을 한다고 하더라도 이미 늦었다는 생각이 들기도 한다. 그래서일까, 많은 사람들이 한 목소리로 주민번호 폐지를 얘기한다.



이 목소리의 가장 큰 이유는 주민번호로 할 수 있는 일이 너무 많다는 것이다. 처음부터 주민번호는 개인정보를 식별할 수 있게 하는 IT의 한 표현수단이었기 때문에, 회원가입부터 결제까지 주민번호로 할 수 있는 일들이 너무 많다. 그런데, 이게 유출되었다면. 바뀌지도 못하고, 없애지도 못한다면. 무슨 의미가 있냐고 주민번호를 폐지하자고 하는 사람들의 이유다.

하지만 다른 의견도 존재한다. 유출된 주민번호에 대해서는 성찰을 해야 하지만, 폐지는 안된 다는 것이다. 폐지가 된다면, 주민번호로 할 수 있는 것들을 못하게 된다는 것이다. 이미 주민번호와 공인인증서를 기반으로 다양한 서비스를 할 수 있도록 했는데, 주민번호를 없앤다면 이 서비스가 중단된다는 점에서 우려하는 것이다. 이는 사회적인 혼란만 야기할 것이라고 말한다.


 

이러한 시점에서, 87일 개정된 개인정보 보호법이 시행되었다. 제일 첫 번째로, 주민번호를 수집 및 처리하는 것을 원칙적으로 금지한다. 위반할 경우에는 3천만원의 과태료가 부과된다. 물론 주민번호 처리는 예외적인 경우를 허용한다. 불가피하거나 구체적으로 처리를 요구했을 경우가 그렇다. 두 번째로는 주민번호 유출이 발생했을 경우이다. 이 때 안전성 확보조치를 하지 않았다면, 최대 5억원 이하의 과징금이 부과 될 수 있다. 매번 개인정보가 유출되었을 경우에는 누군가가 사퇴하는 것으로 무마하려고 했었는데, 그 관행이 이번 개정된 보호법을 통해서 조금이나마 해결되었으면 좋겠다.

 

13자리 숫자에 대해서 아직도 이렇고, 저렇고 말이 많고. 관련된 법안도 바뀌었다. 그동안 주민번호를 통해서 많은 혜택과 편리함을 누려왔기 때문에. 당장 13자리 숫자를 없애기에는 분명히 어려움이 존재한다. 반대로 계속 유지하고 있는 것은, 정말 찝찝한 일이다. 주민번호 논폐의 끝이 무엇이 되든, 아직은 알 수 없지만. 개정된 개인정보보호가 답이 아니라는 것은 아마 모두가 알 것이다. 물론 개정된 내용은 좋지만, 이는 주민번호 논폐의 해답은 아니다. 짧은 시간 안에 매듭지어질 문제는 아니지만, 다만 해답이 좀 더 명확해지고, 좋은 방향으로 매듭짓길 바란다



 안랩대학생기자단 홍수영 / 서울여대 정보보호학과


 omnia tempus habent

신고