SaaS 방식의 사이버 범죄, 그 해결 방안은 어디에 있을까?

원본 기사

www.boannews.com/media/view.asp?idx=95751

중고나라 안전결제 사기도 랜섬웨어도... SaaS 방식 사이버 범죄 판친다

 

최근 클라우드가 각광받으면서 각종 서비스 또한 클라우드에 넣어 있는 형식인 SaaS(Software as a Service)가 많이 사용되고 있다. 이는 기존에 기업이 인프라 또는 플랫폼으로 클라우드를 사용했던 것과 달리, 소프트웨어를 빌려 주는 형식으로 제공하는 것을 의미한다. 기사에서는 SaaS 방식의 운영을 "인터넷으로 쇼핑몰을 만들어 운영하고 싶은데, 관련 지식과 운영인력이 없다면, 쇼핑몰 구축부터 서버나 네트워크 등은 물론 관리까지 모두 서비스 형태(구입하는 것이 아닌 사용료를 내고 빌리는 형식)으로 사용하는 것" 이라고 말하고 있다.

이처럼 SaaS 방식의 확대는 기술이나 인력 등에 한계가 있는 중소기업에서 환영받고 있으며, 이는 보안 분야에도 역시 사용되고 있다. 안랩은 '안랩 오피스 시큐리티'라는 보안관리 솔루션을 SaaS 형식으로 출시하였고, 모비젠은 클라우드 기반 빅데이터 솔루션인 "IRIS SaaS"를 선보였으며, 포티넷과 아톤 역시 SaaS 형식의 서비스를 확장해나가고 있다. 단순히 클라우드에서의 SaaS뿐만 아니라, 소프트웨어 자체를 제공하는 형식으로 발전해나가는 것이다.

그러나 기사에서도 말했듯이, SaaS 방식을 통해 손쉽게 서비스를 사용할 수 있다는 것은, 범죄자들 역시 SaaS 방식을 이용하여 범죄를 저지를 수 있다는 점이다. 대표적인 것으로는 기사에서 언급한 RaaS(Ransomeware as a Service)가 있는데, 범죄조직이 랜섬웨어를 만든 뒤 이를 다른 범죄자들에게 대여하는 방식이다. 이 대표적인 것으로는 갠드크랩 랜섬웨어가 있다고 언급하고 있는데, 이후에도 소디노키비나 포보스, 다르마 등의 서비스형 랜섬웨어들이 존재했다.

이러한 서비스형 소프트웨어들의 발전은, 결국 추상화가 관건이다. 기사에서는 상용화된 소프트웨어들이 사용자가 더 쉽고 편리하게 사용할 수 있도록 성장해 나가면서 범죄도 같은 길을 걷는다고 언급하고 있지만, 이는 결국 추상화된 외부 구조만을 통해 범죄자가 사용하는 것이고, 내부 구조까지는 파악하기 어렵다는 것을 의미한다. 하지만 내부 구조를 파악할 수 있다면, 그리고 그 업무를 수행할 수 있는 인력이 보안 업계에 존재한다면, 유사한 소프트웨어 서비스들은 모두 파훼할 수 있다는 점과 일맥상통한다.

결국 이에 대한 대책 마련에 있어서, 범죄가 쉬워진 만큼, 더 쉽게 검거가 가능해져야 한다는 의미이다. 하지만 국내는 개발과 보안의 비대칭성으로 인해 대책을 빠르게 찾아낼 수 있을지에 대한 의문이 든다. 기사에서 언급한 것과 같이, 중고나라 안전결제 사기를 검색하면 상당한 숫자의 관련 글들을 확인할 수 있다. 그리고 기사에서 언급한 제보에 따르면, 가짜 안전거래 사이트를 만들어 호스팅하는 업체도 있다고 언급하고 있다. 이러한 상황에서, 보안에 대한 약간의 투자만 이루어진다면 이러한 사이트를 찾아내는 것은 어렵지 않을 것으로 보인다.

추가적인 문제로, 기사에서 언급한 것처럼 이를 이용한 범죄가 늘더라도 범죄를 위해 소프트웨어를 만든 이들은 잡기가 어려워진다는 문제가 존재한다. 또한 우리나라의 경우 악성코드의 유포 행위만 처벌하고 있고, 제작 행위는 별도로 정보통신망법에서 다루고 있지 않다. 1차적으로 잡는 것도 문제일 뿐더러, 잡은 뒤에 어떤 범죄로 처벌할지도 미지수라는 것이다. 따라서 이러한 서비스형 사이버범죄에 대한 전문적인 수사와 함께 처벌을 강화해야 할 필요가 있다.