2022년 12월 24일 토요일

왜 가상자산의 몰락을 말하는가?

 가상자산의 몰락은 가상자산을 다루는 자들의 이중성에서 시작되었다고 나는 생각한다. 블록체인 기술의 가치가 중요하고 블록체인 기술이 발전할 것이기 때문에 가상자산은 가치가 있어질 것이니까 투자해야 한다는 논리를 펼치는데, 그렇다면 가상자산 사업 자체도 블록체인 기술과 개념에 근간해서 해야 하는 게 맞지 않을까?


 하지만, 가상자산에 대한 투자를 기반으로 하는 사업들은 그런 곳을 찾아 보기가 힘들다. 어느 곳도 블록체인 기술을 기반으로 해서 탈중앙화를 제대로 구축하거나, 신뢰를 기반으로 할 수 있는 증빙도 제대로 만들어 놓은 곳이 아직 없다. 그렇다면, 가상자산에 투자하는 사람들은 무엇을 신뢰하고 투자를 해야 하는 것일까라고 질문할 수 있을 것이다.

 가상자산에 투자하는 대다수의 사람들은 거래소가 만들어낸 임의의 가치의 흐름을 따라서 투자하고 있다고 봐야 한다. 현금화되지 않는 가상자산에 매력을 느낄 사람은 그리 많지 않았을 것이다. (물론 퍼블릭 블록체인 기술이 지금과 같은 수준에 이르는 단계가 되기 전까지는 말이다.) 거래소를 통해서 만들어진 임의의 가치를 구축하고 휘두르기 위해서 수 많은 프로젝트가 탄생하고 움직였다. 이를 기반으로 가장 많은 돈을 만지고 얻게 된 것은 누구일까? 실제로 가상자산이 가치를 갖게 된 프로젝트가 현재 존재하고는 있는 것일까라는 의문을 던져 보면 된다.

 그럼 가상자산 거래소가 이러한 임의의 가치를 주도하는 것이 과연 옳은 것인가에 대해서 반문해야 하지 않을까? 가상자산 거래소가 정말로 법률이나 사회 인식 수준에 근거할 때 정말로 그런 권한을 가질 정도의 책임을 갖고 사업을 영위해 왔던 것일까에 대해서 생각해 보면 된다. (그랬다면, 지금 이러한 몰락의 수순은 밟지 않고 있을지도 모른다.)

 (왜 블록체인 기술 자체도 아직 발전하는 단계이지만, 가상자산 기술의 근간이 되는 퍼블릭 블록체인 기술은 이제서야 그 틀을 짜고 있으니까 말이다.)


 블록체인 기술이 IT 기술에서 주요한 부분인 것은 맞지만, 왜 중요한 지에 대해서 설명하는 사람이 많지 않은 이유에 대해서 궁금해하는 사람이 많았다면, 퍼블릭 블록체인 기술에 근간한 가상자산이라는 시장은 지금과 같지 않았을 것이다. 가상자산이 실물자산을 대체해서 돈을 벌 수 있는 기회를 제공할 것이라는 믿음을 주입해 시장을 만들고, 이를 기반으로 돈을 벌려는 사람들은 이 중요한 부분을 알리는 것을 꺼려 할 수 밖에 없다. (사람들이 거기에 관심을 가지면, 가상자산이 제대로 돌아가는데 얼마나 더 많은 발전이 필요한 지에 대해서 생각하게 될 수 밖에 없기 때문이다.)

 가상자산이 블록체인 기술에서 꼭 필요한 것도 아니고, 가상자산이 없어도 블록체인 기술은 돌아갈 수 있다는 사실에 대해서 간과를 한다. 물론 퍼블릭 블록체인 체인의 경우에 보상이 필요하지만, 그게 지금의 가상자산처럼 처리되거나 할 필요는 없는 것도 이제서야 많이 알려져 있다. (물론 아직도 더 많은 다수는 퍼블릭 블록체인 시스템의 보상은 가상자산으로 되어야지 시스템에 참여하는 사람이 많아질 것이라고 믿는다.)


 퍼블릭 블록체인의 보상이 어떤 식의 과정을 거쳐서 가상자산이라는 형태를 띄게 되었는 지 생각해 본 적이 있는가? 처음부터 퍼블릭 블록체인의 보상은 화폐라는 개념으로 만들어 졌을까에 대해서 왜 의구심을 갖지 않는가에 대해서 질문하면, 대답할 수 있는 사람은 몇명이나 있을까?라는 암울한 귀결이 지금의 사태를 만들어 냈다고 생각한다.

 혁신적인 퍼블릭 블록체인 기술 개념을 창안해 내었다 해도, 그를 구현해 나가는 과정에서 보상에 대한 부분이 부각되지 않으면 참여자가 적어져서 기술이 성공하지 못할 것이라는 압박을 받는 케이스도 봤으며, 보상에 대한 부분을 너무 부각시킨 나머지 실제로 기술 구현에서 그걸 보장하지 못함으로 쉬쉬하는 케이스도 보았는데, 인과를 뒤집어서 보고 있음으로 발생하는 현상이 아니었을까 싶다.

 기술이 모든 것을 해결해 줄 수 있다고 생각하는 것은 아니지만, 기술은 기술을 필요로 하는 사회적 현상의 방향성을 끌어가는 위치에 놓인지 오래되었지만, 기술을 통제하는 것은 아직도 자본인 것도 맞다는 사실을 생각하면, 가상자산 현상은 아이러니한 결과물일 수 밖에 없다. 가상자산 자체가 퍼블릭 블록체인 기술을 통해서만 얻어질 수 있는 보상으로, 퍼블릭 블록체인이 성공하지 않는다면, 그 가치는 존재하지 않기 때문이다. 근데, 가상자산이 무너지면 퍼블릭 블록체인도 무너진다는 논리가 어떻게 ‘인과가 될 수 있다’로 귀결이 되는지 말이다.


 퍼블릭 블록체인 기술의 중요성이나 필요성에 대해서 이야기를 하면, 그렇기 때문에 가상자산은 존재할 수 밖에 없고, 가치가 있다고 이야기할 사람들이 있을 것이기 때문에 그 부분은 논하지 않겠다.



 가상자산을 다루는 곳들 중에서, 아래와 같은 이야기를 하는 곳은 믿고 걸러 보는 게 좋다.

(1) 탈중앙화의 필요성을 정치적인 이유나 개념에서 찾는 곳

(2) 법이나 규제에 대해서 안일하게 대응하는 곳

(3) 토크노믹스의 확장이라는 개념이 사업의 확장으로 점철되는 곳

(4) 기술의 도움을 받는 것에 대해서 쉽게 가능하다고 말하는 곳

 


 가상자산을 다루는 사람들 스스로 이중성을 인정하면 당연히 망하겠지만, 이중성을 벗어던지고 퍼블릭 블록체인 기술의 보상이라는 점과 보상이 가치를 띄게 되는 것에 대한 부분에 집중한다면 전혀 다르지 않을까? 라고 의문을 던져 보기 위한 글입니다.

2021년 2월 16일 화요일

Collecting Metadata for Cryptocurrency-related Cases-Crimes

 

 There have been a number of crimes using cryptocurrency as a means of goods, and Metadata is being built based on transaction information obtained from people who have been victimized (or participated) in this crime.


 The main content of Metadata is to check the transaction and the wallet used for the transaction, the relationship between the transaction and the transaction, and the amount of movement of goods generated by the transaction flow.


Case can be reconstructed through metadata, and based on understanding of the flow of goods, I think the possibility of confirming the substance is opened.

  Items corresponding to Metadata


  1. Transaction address

  2. Wallet address

  3. Connection between transactions within a case

  4. Goods flow from case to wallet

  5. Connection information for wallet (exchange, case, contract, etc.)


  The reason for collecting cases is to increase the accuracy of Metadata. Since Case and Case are related to each other, if you analyze it as a movement in a specific wallet, it is not possible to confirm a mixed or large flow.

The current case is as follows. (February 15, 2021)


  1. PlusToken-(Only user transaction records are kept, can be resumed immediately)

  2. YouBank

  3. MIO

  4. NBY (C-BOX is the same)

  5. AWS

  6. CloudToken

  7. Renvale


  (Case will continue to increase, and based on this, it is judged that a clearer understanding of the case will be possible.)


#CryptoCurrency #Blockchain #Metadata #Scam #CyberCrime


2021년 1월 17일 일요일

플러스토큰(PlusToken) 사건의 끝을 바라보는 시선

 

 2019년 7월에 플러스토큰 지갑의 출금 정지가 된 시점에 나는 해당 사건과 관련된 기술 정보를 확보해 달라는 요청을 받았었다. (출금정지가 된 시점은 2019년 6월이었다.)


해당 플러스토큰 지갑 앱은 난독화도 되어 있지 않아서 쉽게 분석할 수 있었고, 네트워크 패킷 내역 분석도 쉽게 끝날 수 있었다.

PlusToken 지갑이  통신한 main domain 주소에 대한 정보 


당시에 내가 제출했던 자료들은 바로 수사에 쓰이지 않았고, 가상자산(비트코인과 이더리움)의 흐름에 대한 결과 부분만 제출해서 쓰였다. (사실 2019년 당시만 해도 해당 부분에 대해서 경찰의 이해도도 떨어져 있었고, 내가 쌓은 메타데이터도 견고하지 않은 상태였다.)

물론 그 당시 기술 정보에 해당 사건을 일으킨 집단 쪽에서 사용한 가상자산 지갑주소 뿐만 아니라, 서버 및 개발 회사 정보 등이 모두 포함되어 있었다.


해당 사건을 경찰에 고발하는 단계에서 이러한 기술 정보가 중심이 되었다면, 대한민국에서 플러스토큰 사건은 전혀 다른 방법으로 흘러 갔을 것이다. (당시 플러스토큰에 자금을 유치한 다단계 그룹은 가짜 대표-대역배우와 가짜 뉴스에 휘둘리고 있었고, 기술 자료를 적시에 넘기지 않는 등 수사를 방해하기까지 했다. 그들은 플러스토큰이 다시 열릴 것이라고 아직도 믿고 있고 계속되는 가짜 뉴스를 바라보고 있다. 물론 2차적인 범죄에 이용당하고 있다고 나는 보고 있다. 그렇게 이야기하는 근거는 가짜뉴스를 근거로 해서 장밋빛 미래를 계속해서 이야기하고 있기 때문이다.)


 플러스토큰 사건은 아래와 같이 결말이 난 상태이다.

 https://www.coindesk.com/chinese-authorities-have-seized-a-massive-4-billion-in-crypto-from-plustoken-scam

  https://news.joins.com/article/23934292


 블록체인을 기반으로 하는 가상자산은 기술을 통해서 봐야 한다. 아무리 사업 계획서가 그럴 듯 해도 그것이 기술적으로 가능하지 않거나, 그렇게 할 준비나 체계를 준비하지 않고 있다면 그것은 범죄라고 할 수 있다.

 (장밋빛 그림을 그려서 가상자산 토큰을 만들었던 수많은 ICO는 기부에 가깝다고 말한 분이 있는데, 난 그말에 동의하지 않는다. 기부라면 어느 정도 효과가 있어야 하지만, 대부분 기술적 기반이 없고 아이디어만 있었던 경우는 ICO에 참여한 사람을 기망하거나, 순간의 차익을 누린 투기에 편승했을 뿐이라고 말하고 싶다.)


 가상자산의 대부분은 블록체인 기술을 기반으로 해서 새로운 미래의 금융이나 거래, 신뢰 관계 등을 형성시키줄 수 있는 기회를 제공할 것이라는 것에 대해서 반문하지 않지만, 그걸 이루는 단계에서 현재 이루어진 가상자산의 불편한 진실들은 정리가 되어서 넘어가야 한다. 그렇지 않다면, 블록체인보다 더 신뢰할 수 있는 기술로 넘어가 버리게 될 가능성이 높다고 생각한다.


 기술이라는 측면에서 보면, 현재 흐름은 가능성을 증가시키는 쪽으로 가는 것은 아닌 것으로 보인다.

 



2018년 6월 8일 금요일

백서에 블록체인이 부족한 암호화폐를 경계해야 한다.

암호화폐가 구축한 생태계에 블록체인이 부족하다면, 그 암호화폐는 불필요하다.
특정 생태계를 조성하기 위한 암호화폐가 무수히 쏟아지고 있다. 그런 와중에 자금이 몰리는 현상을 이용해서 생태계에 블록체인은 없고 돈을 모아서 별도의 사업을 하려는 경우가 꽤 많아 보인다.
생태계 내에서 암호화폐의 흐름을 통해서 이익이 발생하는 것이 아니라, ICO를 통해서 자금을 조달하고 다른 목적의 사업을 위한 경우가 더 많아 보인다.
이런 암호화폐는 암호화폐의 미래를 어둡게 할 뿐이다. 블록체인 기술을 이용해서 생태계를 구축하여 해당 산업군의 문제를 해결하려는 노력을 하는 암호화폐가 보이지 않게 만든다.
암호화폐의 미래를 판단하는 1차 기준은 백서(White paper)라고 할 수 있다. 백서에 블록체인 기술을 생태계에 어떻게 적용할 지 내용이 없다거나, 전혀 관련성이 없다면, 기술은 아무 의미가 없다. 어떤 블록체인 기술을 썻느냐가 상관 없이 해당 암호화폐는 그들이 주장하는 어떤 형식으로도 산업군에 영향을 줄 수도 없다는 것이란 점이 중요하다.
왜 꼭 암호화폐에서 블록체인 기술을 꼭 생태계에 적용해야 하느냐에 대해서 궁금해 할 것이다. 암호화폐는 기본이 되는 블록체인 기술을 통해서 생태계의 정보 흐름을 투명하고 신뢰하게 만드는 과정을 통해서 해당 산업군이 가진 고질적 위험 요소나 잠재적 위협을 제거하는 것이 중요하기 때문이다.
그런 목표를 위해서 암호화폐를 설계하고, 그걸 구현하기 위해서 진행되어야 하는 것이 ICO(암호화폐 공개)라고 할 수 있다. 하지만, 다수의 암호화폐는 다른 사업 목적을 달성하기 위해서 전혀 관계 없는 생태계를 끌어 드려서 암호화폐 발행을 통한 자금 확보를 시도하고 있다. 이런 시도는 암호화폐의 특징을 기준으로 봤을 때는 사기(Fake)라고 할 수 있다.
그러면 암호화폐의 흐름이 아니라, 별도의 사업을 통해서 발생한 수익을 분배해 주겠다는 말을 왜 신뢰할 수 없는가에 대해서 궁금해 할 것이다. 암호화폐가 흐르지 않는 별도의 사업은 현실에서 자주 일어나고 있는 회계 부정이나 장부 조작과 같은 일이 발생할 가능성이 여전히 존재하게 되고, 또한 해당 사업의 실패로 인해서 발생하는 손실은 아무도 책임지지 않게 된다. 이게 무슨 소리냐고 할 것인데, ICO를 통해서 구입한 암호화폐는 별도의 사업에 대한 계약이 아니라, 암호화폐와 관련된 계약이기 때문이다. 백서가 계약의 효력을 가진다고 하지만, 그것은 암호화폐를 기준으로 봤을 때이고, 별도의 사업의 성공 여부나 손실 발생 여부 등에서 책임을 명시하지 않았다면, 그 부분에 대해서 책임을 묻기는 어렵다는 법적 해석이 있다. (물론 별도의 사업을 수행을 했다는 기준이며, 수행의 결과에 대해서 책임을 묻기 힘들다는 의미로 보인다.)
암호화폐의 백서가 만드려는 생태계가 속하는 산업군에 대해서 이해하고 그 산업군에서 요구하는 솔루션을 블록체인 기술을 통해서 어떻게 해결해 나가려고 하는 지에 대해서 관심을 가져야 한다. 그런 과정을 통해서 암호화폐의 필요성이 생기고, 블록체인 기술이 발전해서 통용될 수 있을 것이다. 지금처럼 암호화폐가 일종의 사업적 수단(돈벌이?)으로 인식이 된다면, 블록체인에 대한 신뢰까지 무너져서 암호화폐를 이용하는 미래는 오지 않을 지도 모른다.

2017년 11월 19일 일요일

업무 프로세스 정립하는 과정에 대한 생각


 최근에 몇몇 업무를 보면서 느끼는 생각을 정리해 보려고 합니다.

 업무 들어가기 전에 업무 프로세스를 미리 설계하고 들어가는 편이었는데, 최근에 일들은 일정 관계상 그런 절차를 밟을 수가 없었습니다. 그러면서, 문제들이 터져 나왔습니다. (일정을 고려하기 보다는 일정을 최대한 확보하는 쪽으로 먼저 고민을 했어야 하는데, 일정 내에 일정 수준까지만 맞추려고 했던 것이 문제로 가시화 된 것으로 보입니다.)

 그래서, 업무 프로세스를 정립하는 과정에 대해서 생각을 해 봤고 이를 정리해 놓으려 이 글을 올립니다.
 글을 시작하기 전에 업무를 큰 단위로 보고 그 업무를 세분화한 단위를 작업이라고 지칭합니다.

1. 업무 정보 파악
 업무에 대한 구체적인 사항을 파악하는 일이 될 것 같습니다. 이 구체적인 사항의 깊이는 깊을 수록 좋겠지만, 시간 제약으로 인해서 완벽하게 파악할 수 없을 때가 많습니다. 그렇다면, 업무를 하나 하나 작업으로 세분화시키고 그 세분화된 것의 중요도를 먼저 파악하고 구체적인 사항을 파악하는 쪽으로 접근을 해야 한다고 봅니다.
 이 과정에서 가장 민감하게 다루어질 부분은 위협 요소(Risk)라 할 것입니다. 이로 인해서 업무 요구 강도의 예상 범위를 결정할 수 있기 때문입니다.
 구체적인 사항으로 내려 갔을 때 해당 작업을 위해서 필요한 능력 부분에 대한 것도 구체적일 수록 좋기는 합니다. 다만 정확히 그 능력을 파악하기 어려운 경우가 많은데, 그럴 경우에는 다른 유사 작업에서 요구했던 경험을 바탕으로 해서 능력을 파악해 놓기만 해도 도움이 될 수 있습니다. (설마 전혀 유사 경험이 없는 작업이 포함된 업무를 진행하는 경우라면, 해당 작업에 필요한 지식을 습득하기 위한 시간을 충분히 고려해야 합니다.)


2. 업무 내 작업 관계 파악
 업무 내에서 작업은 1차적으로 시간에 의한 순서 관계 또는 작업이 요구하는 전제 조건에 따르는 선후 관계가 만들어 집니다. 이 선후 관계를 정확히 알지 못하면, 해당 작업 사이의 문제 유발이 될 경우에 이를 수정하기 위해서 앞뒤 작업을 지속적으로 반복하는 사태를 겪게 될 수도 있습니다.
 다음으로는 작업의 성격에 따라서 영향을 미치는 범주를 고려해야 합니다. 해당 작업이 영향을 미치거나 영향을 받는 것에는 작업이 가지는 성격(특이성)이 있습니다. 작업의 진행에서 발생할 수 있는 다양한 상황이 그러한 성격(특이성)을 만들어 냅니다. 그러한 부분을 고려한 관계를 파악하고 명시해야 합니다.
 작업의 선후 관계와 동시에 진행 가능한 작업과 불가능한 작업, 동시에 진행하기 위해서 필요한 전제 조건 등에 대해서 파악이 가능해 집니다.


3. 작업이 요구하는 노동 강도
 각 작업은 업무 내용에 따라서 요구하는 노동 강도가 다르게 됩니다. 동일한 작업이라 해도 업무 내용에 따라서 요구되는 노동 강도의 차이가 발생한다는 점이 주요한 부분이 됩니다.
 노동 강도는 동일한 시간 기준으로 했을 때 투입되는 에너지 또는 집중 등으로 인해서 육체 또는 정신이 소모되는 정도에 대한 부분입니다. 업무에 투입되는 인력에 따라 허용 가능한 노동 강도가 다르다는 점을 생각을 해야 합니다.
 특정 작업에 요구되는 노동 강도가 투입되는 인력이 허용 가능한 노동 강도 이상이면, 그 작업에는 무리가 따르게 되고 문제가 생기게 됩니다. 또, 다른 방향으로 보면 예상했던 노동 강도보다 실제 노동 강도가 크면, 작업 자체가 지연되거나 또는 인력 이탈 등의 문제를 유발할 수 있습니다.
 그런 문제를 막기 위해서 작업이 요구하는 노동 강도를 정확히 파악하고, 이를 적합한 인력에게 배분해서 작업 지연이나 인력 유출 등의 문제를 최소화할 수 있습니다.


4. 작업의 배치
 작업의 배치는 위의 전제 조건을 바탕으로 해서 몇 가지 방식으로 나누어 지게 됩니다. 각 현장의 특성에 맞춰서 이를 선택하게 됩니다.
 가장 먼저 고려되는 것은 인력에게 작업을 배치하는 것입니다. 이는 각 작업의 유기적 관계가 적을 경우에 적합한 시간을 배정해서 인력이 이를 완수하게 하는 것입니다.
 그러나 작업이 유기적으로 연결되어 있고 영향이 많이 미칠 경우에는 우선은 시간 순서및 작업 간의 관계로 나열을 시킨 후에 각각 가능한 작업 인력을 배치하고 그 뒤에 이를 적합하게 소화할 수 있는 노동 강도로 분산시켜서 인력을 배치하는 것입니다.
 작업의 배치의 마지막은 해당 작업의 일정을 취합해서 업무를 마무리할 수 있는 일정을 확보하는 것입니다. 마무리할 수 있는 일정에는 각 작업의 위험 요소 발생 확률과 이를 처리할 수 있는 시간까지 포함이 되어 있어야 합니다.


 전체적으로  다룰 수는 없어서 간략하게 정리를 해 보았습니다.

2017년 1월 2일 월요일

대한민국 사용자를 대상으로 성적 소재를 다루는 사이트의 수익 창출 방법


 이런 민감한 사안을 다루는 것에 대해서, 고민을 많이 했던 적이 있다.
 하지만, 실제로 일어나고 있는 일이고 그들은 수많은 피해자를 만들어 내고 있다.

 성적 소재(성매매, 성범죄)를 이용해서 상업적인 사이트를 만들고 이를 이용해서 수익을 창출하고 있다면, 이는 반드시 엄벌해야 하는 대상이라고 볼 수 있다.
 개인 간에 일어나는 일에 대해서 공권력이 개입할 수도 없고 없어야 하지만, 기업이나 조직이 개입되서 일어나는 일이라면 반드시 일벌백계해야 한다고 생각한다. 그래서, 그런 사이트들이 어떤 식으로 수익을 발생시키는 지에 대해서 이야기를 하고자 합니다.


  1. 그런 목적의 사이트를 해외에 개설한다.
    • 사용자가 원활하게 접근하는 것이 전제가 되어야 하므로, 인프라가 어느 정도 확보되어 있는 지역에 개설을 한다.(주로 미국 또는 북미가 많으나, 도메인 주소나 소유권 등은 페이퍼 컴퍼니를 활용한다.)
    • 결제가 비트코인으로 되는 호스팅 업체를 선호한다. 특히 서버 규모를 조절할 수 있는 클라우드를 선호하는 편이다.
    • 특히 특정 지역에 존속되는 클라우드가 아닌 글로벌하게 센터가 위치한 클라우드를 선호한다. 문제가 생긴 지역에서 다른 지역에서 빠르게 이동할 수 있기 때문이다.
  2. 사용자 확보를 위해서 자극적인 몰카를 유포한다.
    • 사이트를 개설하면, 커뮤니티처럼 보이게 만들어 놓고, 개인이 촬영한 몰카라고 하면서 자극적인 소재들을 올린다.
    • 이를 위해서 그런 소재를 생성해 낼 수 있는 사용자를 금전을 사용해서 영입한다.
    • 소재를 올릴 경우에 조회 수 단위로 비용을 주는 계약을 체결하는 경우가 많다.
    • 해당 비용은 비트코인을 이용해서 지급한다.
    • 사용자가 어느 정도 확보되면, 소재 관련 컨테스트나 이벤트를 개최한다.
  3. 해당 사이트의 사용자 유입 통계를 이용해서 영업한다.
    • 신뢰할 수 있는 사이트 통계 툴의 결과를 바탕으로 성매매 또는 관련 업소에 영업을 한다.
    • 해당 업소는 광고를 게재하고 영업 및 판촉 활동을 한다.
    • 해당 광고에 대한 조회수 기반으로 해서 국내에서 비용을 받는다. (이 과정은 2~3단계 정도 돈세탁을 거치고 브로커가 활동하는 것으로 알려져 있다.)
  4. 사이트가 차단되는 것을 감안해서 SNS를 운영한다.
    • SNS 자체는 자극적인 내용을 다루지 않고 사이트의 도메인 변경이나 운영 관련 이슈 등만을 전달해서 SNS 사용 정책을 지키는 쪽으로 운영한다.
    • 또한 다른 SNS 사용자들이 적극적으로 그런 정보를 유포하도록 유도한다.
  5. 지속적인 유입을 위해서 새로운 소재를 요구한다.
    • 경쟁 사이트들이 존재함으로 자신들의 가치를 유지하기 위해서 2번에서 고용된 사용자들에게 더욱 높은 비용을 지급하고 요구한다.
    • 해당 사이트가 위치한 국가의 법률에 저촉될 수 있는 사안이 발생하거나, 또는 경찰 수사로 인해서 접촉이 발생할 경우에 사용자에게 소재 제한을 시키거나 콘텐트를 삭제해서 증거를 인멸한다.

 현재 위와 같은 형태로 운영되는 사이트가 상당수이며, 여기에 고용되서 활동하는 사용자 숫자도 꽤나 된다. 직접 고용된 경우도 있지만, 해당 사이트에서 진행하는 소재 구하는 작업에 참여해서 돈을 받는 경우도 꽤나 많다.

 해당 소재를 보는 행위 자체가 범죄가 된다는 이유는 위의 구조와 같이 금전적 목적으로 활용이 되기 때문이다. 해당 소재를 통해서 조회 수 증가가 성매매 업소의 광고 영업의 자료로 활용되는 악순환을 이룬다는 점을 인지하지 못한다는 것은 매우 안타까운 부분이다.

 이런 구조에서 소재에 노출되는 피해자는 주로 여성이 될 수 밖에 없다. 2번에서 소재를 만들어내는 사용자는 주로 픽업아티스트라고 불리는 사람들이며, 꽤 전문화된 형태로 이런 일을 벌인다. 여성을 유혹해서 사귀거나 또는 즐기는 과정에서 영상을 촬영하고 이를 활용하는 방식이다.
 해당 여성이 유포된 것을 알면, 해킹 당했거나 핸드폰을 잃어 버렸다고 주장하는 등의 수법을 쓰는 편이다. 피해 여성들이 적극적으로 경찰 신고를 해야 하지만, 대한민국 사회 정서상 피해 여성을 공범으로 몰아 붙이거나 행동거지 등에 대해서 논하는 등 더 피해를 볼 게 두려와서 인상 착의나 자신을 알아볼 수 없다고 판단되면, 신고를 하지 않는 등의 대처가 더 눈에 띈다.

 남성들이 이런 구조에 대해서 인식하고 몰카를 멀리하고 해당 사이트들에 대해서 접근하지 않는 것은 중요한 부분이다. 자극적인 소재를 찾아서 움직이는 습성을 버리는 것이 얼마나 중요한 것인지 인식이 필요하다.

 앞으로도 이런 범죄에 대해서 수사가 진행되서 운영자가 처벌되고, 직접적으로 참여를 한 사용자들까지 모두 처벌이 되어야지 어느 정도 진정세가 되지 않을까 싶다.

2013년 5월 30일 목요일

대한민국 국내 인터넷 뱅킹에 대한 해킹 시뮬레이션 - 개인정보+공인인증서+보안카드


 2013년 5월 28일 매일경제 신문 1면에 올라온 기사 - '뻥 뚫린' 공인 인증서 - 에 대한 분석 차원에서 작성한 것이다.

- 해당 내용은 2006년 및 2011년 이전 에 금융감독위원회 및 경찰청, 다수 금융기관에 그 가능성에 대해서 알린 바가 있으므로, 이를 모방한 범죄가 발생하는 모든 상황의 책임은 이를 예방하기 위한 활동을 해야 하는 정부 기관 및 수사기관에 있다고 할 것이다. -


 특정 사건에 대해서 해킹을 시뮬레이션 하는 목적은 해당 사건을 방지할 수 있는 기술을 만들고 제도를 보완해서 동일한 수법을 이용한 사건이나 유사한 사건을 막자는 것이 가장 큰 목적임을 미리 밝힌다. 그러므로, 해당 방법을 이용해서 범죄를 계획하거나 실행하는 경우에 법에 저촉될 수 있음을 미리 밝힌다.

  1. 타겟 선정 기준
    • 가장 큰 전제는 대한민국 국민 대다수의 개인 정보는 유출되어 있다는 점이다.
    • 쇼핑몰 거래 내용 및 안전 거래 등의 정보를 통해서 계좌 정보를 확보할 수 있다는 점이다.
    • 개인 간의 이메일을 감시하거나 문자 메시지를 감시함으로써 간단하게 계좌 정보를 확보할 수 있다.
    • 거래가 지속적으로 있는 계좌는 쉽게 닫히지 않으며, 항상 여유 잔고가 충분하게 존재할 가능성이 있다. 
    • 인터넷 뱅킹 및 텔레뱅킹을 주로 사용하고 있음을 확인한다. 
    • 다른 접근 방식으로 이미 설치되어 있는 좀비 프로그램을 이용해서 수집된 정보를 기반으로 해서 접근하는 방법이다.
  2. 접근 방법 설계
    • 사용자 컴퓨터 및 스마트폰에서 사용 기록을 확보해 줄 좀비 프로그램의 삽입이다.
    • 좀비 프로그램의 삽입을 위해서 가장 많이 사용하는 방법이 지인을 사칭해서 좀비 프로그램이 설치되는 코드가 포함된 플래시 파일 또는  ActiveX 설치를 유도하는 사이트 접근이다.
    • 최소한 1년 이상(공인 인증서 갱신을 포착해야 함으로)의 시간을 투입해서 해당 사용자의 정보를 걸러낼 필요성이 있다.
    • 공인인증서 암호는 키보드 입력을 통해서 확보가 가능하다. 대부분의 공인인증서 접근은 ActiveX를 이용한 프로그램을 통하는데, 보안이 아무리 잘되어 있어도 키입력을 전달하는 파이프라인 메모리를 직접 감시하면 현재 환경에서 구별하는 것이 거의 힘들다. (키보드 I/O를 가로채는 키로거는 대부분 안티바이러스 프로그램이 찾아 내지만, ActiveX에 직접 파이프 라인 메모리를 확인하는 것을 감지하는 안티바이러스 프로그램은 매우 드물다. 일단 Microsoft사가 이에 대한 감지 및 보안 방법이 없음을 이미 공표한 바 있다.)
    • 공인인증서 암호 확보에 실패 했다면 공인인증서 재발급 프로세스를 위해서 접근하게 된다. 재발급하게 되면 암호를 임의대로 입력할 수 있다.
    • 최근에는 국내 안티바이러스 프로그램 들이 공인인증서 파일에 대한 접근을 감시하기 때문에 쉽지 않지만, 안티바이러스 프로그램이 설치되어 있지 않거나, 무력화가 가능한 경우에 공인인증서 파일을 유출해서 전송한다. (공인 인증 시스템을 위한 전송이 아니어도 파일 자체만으로 공인인증서 효력이 나타나게 되는 은행 시스템도 있다.)
  3. 보안카드 작성
    • 은행 거래 시에 요구되는 보안카드의  번호 위치는 빈번하게 일치하기 때문에 하나의 번호 위치키인 4자리를 확보하는데 오래 걸리지 않는다.
    • 좀비 프로그램이 설치되어 있는 경우에  은행 거래 시마다 이를 기록해서 해당 사용자의 보안카드를 작성하게 된다. (주로 URL을 감시해서 기록 정보를 확보하는 형태가 이용된다.)
    •  보안카드의 완성도가 75% 이상이 되면, 거래 시에 보안카드 번호 입력 제한 횟수 이내에 완료를 할 수 있다.
    • 가상키보드나 스마트폰을 사용하는 경우에는 화면 캡쳐와 입력 좌표를 대조해서 해당 위치의 이미지를 활용한다.
    • 보안카드 작성과 관련해서는 이전에 텔레뱅킹과 관련된 사건도 있다. 아파트 건물의 전화단자함에 일종의 도청 장치를 해놓고 텔레뱅킹을 사용하는 신호만 걸러내서 계좌번호와 비밀번호, 보안카드 번호를 확보한 사건이었다.)
  4. 공인 인증서 재발급
    • 공인인증서를 확보했으나, 암호를 확보하지 못한 경우에 선택을 하게 된다.
    • 공인인증서 재발급을 위해서는 이름, 주민등록번호와 해당 명의의 계좌번호, 보안카드 발행번호, 보안카드 키값이 필요하다.
    • 1년 정도 시간 동안에 감시를 했다면 충분히 확보할 수 있는 정보 들이다.
    • 이 정보를 이용해서 공인인증서를 발급 받는다.
  5. 계좌 인출 시도
    • 개인 계좌의 1회 인출 한도 금액은 천차 만별이다.
    • 그러므로, 최대한 적은 횟수에 가능한 많은 금액을 빼내야 한다.
    •  차명 계좌(대포 통장)나 가상 계좌 등을 이용해서 인출 시도 후 성공하면 즉시 현금 인출하는 방식을 사용한다.

 위의 방법을 현재 100% 막을 수 있는 방법이나 시스템을 갖추고 있는 은행은 현재로서는 없다.

 여기에 추후 쓸 스미싱 기법을 합쳐 놓으면, 과연 막을 수 있을까 싶다.