정보 유출
밖에서 뚫리는 것보다 안에서 새는 것이 더 흔합니다. 유출의 정의와 경로, 내부자 위협이 왜 탐지하기 어려운지, 그리고 조사에서 실제로 확인해야 하는 것이 무엇인지 다룹니다.
정의
정보 유출은 조직이 보호해야 할 정보가 권한 없는 상대에게 전달되거나, 조직의 통제를 벗어나 외부로 나가는 것을 말합니다. 외부의 침입으로 발생하기도 하고, 내부 구성원의 행위로 발생하기도 하며, 담당자의 실수로 발생하기도 합니다.
열람과 유출은 다르다
조사 실무에서 가장 먼저 정리해야 하는 구분입니다. 권한 있는 직원이 자료를 열어본 것 자체는 유출이 아닙니다. 그 자료가 통제 범위 밖으로 이동 했을 때 유출이 됩니다.
이 구분이 중요한 이유는, 열람 기록만으로 사람을 지목하면 대부분 반박당하기 때문입니다. "업무상 열어봤다" 는 해명은 대개 반증하기 어렵습니다. 조사가 확인해야 할 것은 열람이 아니라 반출의 흔적, 즉 자료가 회사 밖으로 나간 경로입니다.
유출 경로
- 이동식 저장 매체: USB 메모리, 외장 하드. 연결 기록과 파일 복사 흔적이 남습니다.
- 개인 클라우드: 개인 계정의 클라우드 저장소에 업로드. 브라우저 기록과 통신 로그에 흔적이 남습니다.
- 웹메일과 메신저: 개인 메일로 첨부해 발송하거나 메신저로 전송.
- 출력과 촬영: 문서를 인쇄해 들고 나가거나 화면을 휴대폰으로 촬영. 촬영은 전산 흔적이 거의 남지 않아 가장 까다롭습니다.
- 외부 공격: 침입 후 데이터 탈취. 이 경우는 침입 경로와 체류 기간, 반출된 데이터의 범위를 함께 규명해야 합니다.
경로마다 남는 흔적의 종류와 보존 기간이 다르기 때문에, 조사에서는 여러 갈래를 동시에 확인합니다. 한 경로만 보고 "흔적이 없으니 유출이 없었다" 고 결론짓는 것은 위험합니다.
내부자 위협
내부자는 이미 접근 권한을 갖고 있고, 어디에 무엇이 있는지 알고 있으며, 언제 감시가 느슨해지는지도 압니다. 그래서 외부 공격과 달리 침입 흔적이 남지 않고, 그의 행위는 정상적인 업무와 겉으로 구별되지 않습니다. 방화벽은 이런 상황에서 아무 일도 하지 않습니다.
단서가 되는 것은 행위 자체가 아니라 행위의 맥락 입니다. 퇴직 의사를 밝힌 직후 평소보다 훨씬 많은 자료를 열람하거나, 담당 업무와 무관한 부서의 자료에 접근하거나, 새벽 시간대에 대량으로 다운로드하는 식입니다. 단일 행위 하나만으로는 판단할 수 없고, 시간 순서로 엮어야 비로소 그림이 드러납니다.
사고 인지 후에 하지 말아야 할 것
- 대상자의 PC 를 켜서 직접 확인하는 일. 확인하는 순간 접근 시각이 바뀌고, 나중에 "조사자가 만든 흔적" 이라는 반박의 빌미가 됩니다.
- 퇴직자 장비를 초기화해 재지급하는 일. 재사용 시점에 대부분의 흔적이 덮어써집니다.
- 대상자에게 미리 알리고 소명을 요구하는 일. 증거를 정리할 시간을 주는 셈이 됩니다.
유출의 경로와 유형
정보는 어디로, 어떻게 새는가. 이메일·클라우드·저장매체 등 주요 유출 경로와, 실수에 의한 유출과 고의 유출의 차이를 정리합니다.
유출은 대개 경계 안에서 시작된다
정보 유출이라고 하면 외부 해커의 침입을 먼저 떠올리지만, 실제 사고의 상당수는 이미 접근 권한을 가진 내부 구성원에게서 비롯됩니다. 정상적인 권한으로 자료에 접근한 뒤 그것을 밖으로 옮기는 행위는 침입 탐지 장비에 잘 걸리지 않기 때문에, 경계를 지키는 것만으로는 막을 수 없습니다.
주요 유출 경로
- 이메일·메신저: 첨부파일이나 본문에 자료를 담아 외부 주소로 전송합니다. 가장 흔하고 추적이 비교적 쉬운 경로입니다.
- 클라우드·웹하드: 개인 계정의 저장소나 공유 링크로 업로드합니다. 회사 통제 밖의 공간이라 회수가 어렵습니다.
- 이동식 저장매체: USB 메모리, 외장하드로 복사합니다. 물리적으로 반출되면 흔적을 거의 남기지 않을 수 있습니다.
- 인쇄·촬영: 출력물을 들고 나가거나 화면을 촬영합니다. 디지털 통제를 우회하는 아날로그 경로입니다.
- 협업도구·소스코드 저장소: 권한 범위를 넘어 열람하거나 대량으로 내려받습니다.
과실인가, 고의인가
같은 유출이라도 실수로 잘못 보낸 것과 작정하고 빼돌린 것은 성격이 다릅니다. 과실은 교육과 시스템 보완으로 줄이고, 고의는 접근 통제와 조사로 대응합니다. 조사에서는 삭제·은폐 시도, 반복성, 반출 시점 등을 근거로 둘을 구분합니다.
내부자 유출
가장 흔하고 가장 탐지하기 어려운 위협. 내부자가 왜 위험하며, 어떤 징후로 드러나는지 다룹니다.
왜 내부자가 더 위험한가
내부자는 이미 정당한 접근 권한을 갖고 있어, 자료를 보는 행위 자체가 이상 신호로 잡히지 않습니다. 조직의 구조와 어떤 자료가 가치 있는지도 알고 있어 목표를 정확히 노립니다. 그래서 피해가 크고 발견이 늦습니다.
유형
- 퇴직 예정자의 자료 반출: 이직이나 창업을 앞두고 담당 자료를 개인 매체나 메일로 옮깁니다.
- 권한 남용: 업무에 필요하지 않은 자료까지 열람하고 수집합니다.
- 외부 결탁: 금전이나 경쟁사의 요청에 따라 특정 자료를 반출합니다.
조사에서 보는 징후
- 평소와 다른 대량 다운로드나 복사
- 업무 시간 외, 또는 접근 권한 종료 직전의 접근
- 개인 메일·개인 클라우드·이동식 매체 사용의 증가
- 접근 기록과 실제 업무 내용의 불일치
이런 징후는 하나만으로 단정하기 어렵고, 로그와 기기 분석을 종합해 맥락을 재구성해야 합니다. 디지털 포렌식은 누가 언제 무엇을 어떻게 다뤘는지를 객관적으로 규명하는 역할을 합니다.
유출 사고 대응
유출이 의심될 때 무엇을 먼저 해야 하는가. 탐지부터 보존·조사·신고까지의 순서를 정리합니다.
첫 단계는 증거 보존
유출이 의심되면 원인을 빨리 밝히고 싶은 마음에 기기를 만지거나 재설치하기 쉽지만, 그 순간 결정적인 흔적이 사라집니다. 대응의 첫 원칙은 성급한 조치보다 현 상태의 보존입니다.
대응 순서
- 탐지·인지: 이상 징후나 제보로 사고를 인지합니다.
- 범위 파악·차단: 어떤 자료가 어디까지 영향을 받았는지 가늠하고 확산을 막습니다.
- 증거 보존: 관련 로그와 기기를 원본 그대로 확보하고 관리 연속성을 기록합니다.
- 원인·경로 조사: 디지털 포렌식으로 유출 경로와 행위자를 규명합니다.
- 통지·신고: 법이 정한 통지·신고 의무가 있는지 확인하고 기한 내에 이행합니다.
- 재발 방지: 드러난 취약점을 보완하고 통제를 강화합니다.
포렌식의 역할
사고 대응에서 포렌식은 누가·언제·무엇을·어떤 경로로 반출했는지를 증거능력 있는 형태로 규명합니다. 이는 내부 징계나 법적 대응의 근거가 될 뿐 아니라, 무엇이 뚫렸는지 정확히 알아야 제대로 된 재발 방지가 가능하기 때문에 중요합니다.
