여러분은 대부분 뉴스 메인을 장식하는 사이버 공격에 대해 잘 알고 있을 것입니다. 처음에 보고된 것보다 유출 피해가 어마어마했던 2017년 에퀴팩스 사건(미국의 신용정보사로 미국 전체 인구 40%의 정보가 유출된 사건)이나 2018년 일본 Coincheck 사건(일본의 최대 암호화폐 거래소가 한화 5,700억원을 도난당한 사건)을 접해보셨을텐데요. 일반적으로 뉴스 메인을 장식하는 것은 피해 액수가 표면적으로 드러나는 금융 산업의 해킹 사고입니다. 하지만 이에 못지 않게 교육 산업도 금융 산업만큼이나 해커들이 사랑하는 공격 대상입니다. 해커는 왜 교육 산업을 사랑할까요? 지금 함께 그 이유를 알아봅시다.


상대적으로 국공립 학교는 많은 돈을 갖고 있지 않지만, 해커는 교육 기관을 공격 타겟으로 삼습니다. 2017년 4월 NUS(National University of Singapore)와 Nanyang Technological University(NTU)는 정부 연구 데이터를 수집하는 공격을 받았습니다. 다행스럽게도 해커는 데이터 수집에 실패했습니다.

이러한 해킹은 대학들이 정치적인 군사 전략이나 기술에 관한 연구를 정부와 협력하여 수행하기 때문에, 해당 정보를 얻기 위해 경쟁국에서 공격하는 것으로 추측됩니다. 생각보다 많은 대학이 사이버 위협에 대응할 준비가 되어 있지 않습니다. 2016년 3월에는 영국 대학의 30% 이상이 매시간 사이버 공격을 겪고 있는 것으로 나타났습니다.
 

흔히 해커들이 노리는 데이터라고 하면 주민 등록 번호나 신용 카드 번호 같은 것을 생각하지만, 사실 다크웹에서 가장 인기 있는 아이템은 학생 이메일 주소입니다.

2017년 3월, 디지털 시민 연합(Digital Citizens Alliance, DCA)은 범죄자가 대학 자격증을 훔치고 활용하는 것에 대한 조사 결과를 발표했습니다. 2017년 현재, 다크웹에는 약 1천 4백만개의 이메일 계정이 있으며, 이는 3.50달러에서 10달러 사이에 판매되고 있습니다. 물론 규모가 큰 대학들이 분명 침해 가능성이 큰 계정을 더 많이 가지고 있지만, 그렇다고 해서 규모가 작은 대학들이 사이버 범죄자로부터 안전한 것은 아닙니다.


웹에서 사용할 수 있는 수십억 개의 이메일 주소가 있을텐데 왜 하필 학생들의 이메일 주소가 인기 있을까요? 비밀은 ".edu"에 있습니다. 일반적으로 한국에서는 ac.kr 주소를 많이 사용하지만 미국에 기반을 둔 대학은 .edu를 사용합니다. 보통 값비싼 소프트웨어나 기타 제품들은 학계 사람들에게 대폭 할인된 가격에 제공되곤 하는데요. 일부 온라인 소매 업체들은 학생이나 교사들에게 무료 배달 서비스를 제공하기도 하죠.

이외에도 ".edu"주소를 얻으려고 하는 동기는 무엇일까요? 해커는 교육 기관에서 보유한 더 민감한 데이터에 대한 접근 권한을 얻기 위해 피싱을 사용하려고 시도할 수도 있습니다. 예를 들어, 해커는 ID를 도용하여 학교 기부금 명단 또는 사용 가능한 금액에 대한 정보에 접근하려고 시도할 수 있습니다.
 

네트워크

지금까지 보았듯이 해커가 대학 시스템을 해킹하여 이메일 주소를 찾거나 연구를 포기하려고 시도하는 경우도 있지만 게이트웨이 활용을 위한 해킹 공격도 빈번합니다. 규모가 크거나 권위있는 대학교의 경우 방대한 컴퓨팅 시스템 네트워크를 보유하고 있기 때문에 이러한 인프라는 피싱을 통해 더 큰 공격을 위해 또는 교수 또는 학생이 자주 이용하는 웹 사이트에 악성 코드를 주입하는 데 사용될 수 있습니다.
 
비록 사이버 공격의 경우에는 아무래도 금융 분야가 최우선 타겟이겠지만, 교육 분야 또한 해커들에게 인기 있는 대상입니다. 그렇기 때문에 대학들과 학교들은 보안 전략에 대해 다시 생각해보는 것이 좋습니다. 물론 학교의 모든 보안 아키텍처가 부족한 것은 아닙니다. 많은 수의 유출사고는 대학의 시스템 상에서 벌어지기 보다 교직원들과 학생들이 정기적으로 방문하는 다른 웹사이트나 플랫폼에서 발생하기 때문입니다. 때문에 이에 맞게 교직원과 학생들에게 보안 교육을 제공하거나 외부로부터 악성코드가 주입되는 것을 예방하기 위한 보안 전략에 대해서 고려해보는 것이 좋습니다.
 

왜 이런 문제가 발생할까?

이게 돈이 되는 데이터겠어? 해커가 우릴 공격할리 없지!

사실 생각해보면 우리는 흔히 해킹을 과소평가하는 경향이 있습니다. 그러나 데이터는 우리 생각보다 여러 방면에서 활용 가능하며, 이러한 데이터의 활용 가능성은 결국 더 많은 편의, 가치 및 혁신을 추구하기 위해 계속 범위가 넓어질 것입니다. 일례로 최근 사이버 범죄자들은 셀카 사진을 암시장에서 판매하고 있습니다. 사진을 활용하여 가짜 신분을 통해 사기나 ID 탈취 공격을 하는 것이죠.

다시 돌아와서 교육 기관 해킹에 대해서 다시 생각해볼까요? 학생들은 대학이나 학교의 이메일 주소가 도난 당하거나 오용된 것에 대해 직접적인 피해를 경험하지 않을 수도 있습니다. 그렇기에 대학 네트워크 보안의 중요성에 대해 생각하지 못할 수도 있지만, 해킹은 기관에 대한 신뢰도를 떨어뜨리고 결국 이는 가치있는 파트너와의 공동 연구 기회를 상실하게 만들 수도 있습니다.

미국의 경우 사이버 보안 교육이 교과 과정의 핵심 부분에 점차 자리 잡고 있지만, 아직 한국은 사이버 보안 교육에 대한 중요성이 크지 않습니다. 사이버 보안을 공공재로 간주하며 학교와 학생 모두 사이버 보안에 대한 중요성을 깨달을 때, 산업 내 사이버 공격에 대한 전반적인 회복력을 높일 수 있을 것입니다.