‘해킹’이란 말이 심심치 않게 들려옵니다. 대부분이 특정 사이트가 해킹당해 수만명에서 수백만명의 회원정보가 유출되었다는 뉴스입니다. 그래서 모르고 당하는 것만큼 억울한 것도 없다는 생각에 관심이 간 책이지만 ‘인간의 심리를 이용하여 어떻게 원하는 것을 얻는가’라는 부제가 말해 주듯이 해킹의 테크닉을 원해서 보게 되었다면 낭패를 볼 수도 있습니다. 컴퓨터 보안에 관련된 책이지만 많은 부분을 심리를 다루고 있기 때문입니다.

 ‘교육을 기반으로 한 보안’이 신조라는 저자는 사회공학자입니다. 그렇기 때문에 사회공학자들의 수법과 사례를 실감나게 밝히고 있습니다. 정부수립에서부터 도출, 심리트릭까지...

그렇다면 사회공학이란 무엇일까? 위키피디아에선 ‘특정행위를 하거나 기밀정보를 누설하도록 사람들을 조종하는 행위’라고 정의합니다. 즉 특정 사회적 행위가 일어날 가능성을 키우고자 사회적이고 환경적인 힘을 정렬하고 조작해서 채널링하는 방법과 행위를 통칭하는 용어라고 풀이합니다.

 시스템에 얼마나 안전하든, 언제나 침입할 길을 있다며 대게 시스템의 인간적인 요소는 조작하고 속이기 가장 쉬운 대상이고 공항상태의 창출 또는 영향이나 조작전략의 이용, 신뢰감 유발은 모두 피해자를 안심시키려는 방법이라고 하면서 얼마나 쉽게 보안이 뚫리는지 많은 사례를 보여줍니다. 아이를 동반하여 테마파크에 악성코드를 심었던 사례와 타인의 감정을 컨트롤하면서 보안을 침투하는 사례 등 다양한 방법들이 있었는데 정에 약하며 ‘우리가 남이가’라는 정서가 깔려있는 우리에게는 더욱더 수월하게 침투할 수 있을 것이란 생각이 들었습니다.

 특히 4장의 다른 사람으로 위장하는 프리텍스팅이라든지, 5장의 심리트릭의 미세표정으로 타인의 감정을 읽어 내는 방법이라든지 7장의 사회공학자의 도구에서 자물쇠를 따는 도구 등 전문적인 툴들은 영화속에서만 보았던 것이어서 실재 현실에서도 이용될 수 있다는 것이 놀라웠습니다.

 얼마 전 일어난 EBS 해킹사례를 접하면서 아무리 보안 설비의 장치가 복잡해진다고 해도 그것을 다루는 인간의 보안정신이 허술하면 언제든 공격을 당할 수 있겠구나라는 생각이 들었습니다. 공격을 당하지 않기 위해서 악당이 될 필요는 없지만 악당의 기술을 잘 알고 있어야겠습니다.

최근 보안업계에서 화두가 되고 있는 APT(Advanced Persistent Threat)라는 공격 방법이 있습니다.

APT는 다양한 IT 기술과 방식을 이용해 조직적으로 경제적/정치적인 목적을 위해 다양한 보안 위협들을 생산해 지속적으로 특정 대상에 가하는 일련의 공격 행위를 말합니다.

즉, APT란 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤 정보를 외부로 빼돌리는 형태의 공격들을 총칭하는 말입니다.

이러한 APT 공격을 위해 해커는 기존의 해킹 기술 뿐만 아니라, 사회공학적인 방법까지 동원하고 있습니다.

즉, 오프라인 상에서의 관계를 이용하여 해킹 대상을 보다 쉽게 요리하는 것이죠.

한동안 보안의 화두가 되었던 내부보안에 있어서도 가장 큰 문제점은 사람이었습니다. 아무리 좋은 보안 시스템을 가지고 있다고 하더라도 내부에 있는 사람들의 보안 의식이 없다면 아무 소용 없다는 뜻입니다.

사회공학적인 해킹 수법은 보안에 있어서 가장 약한 연결고리인 사람을 이용하는 수법입니다. 물론 해킹기술도 필요하지만, 사람을 이용하여 보다 쉽게 목적으로 달성하는 것입니다.

이 책은 거의 유일하게 사회공학적인 해킹 기법에 대해 다루고 있는 번역서입니다.

한번 읽어보시면, 해킹이 어디까지 발전하고 있는지 이해할 수 있을 것입니다.

해킹에 대한 기술을 다루고 있지는 않지만, 해킹을 새로운 각도에서 볼 수 있는 기회로는 충분하리라 생각합니다.

이 책은 정말 재미있고 흥미로운 책이다.

사회공학이라는 것에 대해서 매우 생소한 우리나라에서

몇 권 존재하지 않는 귀한 번역서 이기도 하다. ㅋ

사회공학이라는 것을 쉽게 말하면 남을 속이는 기술이다.

사람을 공학적인 방법을 이용하여서 자기가 원하는 행동이라든지

정보를 제공하게 끔 유도 하게 만드는 것이라고 할 수 있다.

이 책에서는 그러한 사회공학을 하는데 필요한 사람의 심리 및 행동에

대한 이론과 그것을 이용하는 시나리오를 제공함으로서 ,

단지 이론만 열거되는 이론서보다 훨씬 재미있게 읽을 수가 잇게끔

도와 준다.

시나리오 부분은 실제로 있었던 사건을 토대로 만든 것들도 있어서

처음 책을 읽었을 때 드는 " 도대체 누가 이런거에 속나?" 라는 생각을

접게 만들었다.

 실제로 사용되고 있고 지금 주변에서도 누가 여러분에게 사용할 지도 모르겠다라는 생각이다.

단순히 이론뿐만 아니라, 사람의 정보를 캐내는데 필요한 유용한 소프트웨어 및 도구들에

대한 설명도 되어 있어서.. 솔직히 말하면 사기꾼에게도 추천할만한 채깅라고 할수 있다 ㅋ

사람을 조정하는데 관심이 있거나, 사기꾼에게 속기가 싫으신 분들은 읽어보시길 바란다.

아무리 기술이 발전하고 보안솔루션 및 여러가지 보안 장치가 발전하여도 사람 하나가

구멍이 나면 다 뚫린다는 것도 정보보호에 있어서 시사하는 점이 크다고 생각한다.

결론은 재미있다. 읽어보시라!!

제목부터 심상치 않다. 사회공학이란 흔히 말하는 과학의 한 분야인가? 아니면 인문분야인가? 꽤 헷갈리는 주제다. 그런데 소제목으로 제시된 인간의 심리를 이용해 어떻게 원하는 것을 얻는가가 더 자극적이다. 해킹과 원하는 것을 얻는 것은 어떤 관계가 있는 것인가? 일단 제목만 보면 아직 이 책이 무엇을 말하려는지 분명치가 않다. 꽤 상당한 무게의 두꺼운 책이 배달됬다. 매우 정교하게 정리된 목차를 보며 논리적인 접근을 펼칠거란 기대감이 들었다.

사회공학이란 무엇일까? 난 이 단어가 무척 생소하지만 많은 사람들은 사기꾼이나 사람을 꾀어내어 정보를 얻는 것쯤으로 이해하고 있다. 저자는 이를 목표가 되는 사람을 이용해 특정 행동을 취하게 하는 기술로 정의하고 있다. 그렇다면 이익의 정도에 따라 사기가 될 수도 있고, 매우 훌륭한 수단이 될 수도 있다.

저자가 제시한 몇가지의 예를 보더라도 사람들은 당황하는 순간에 판단력을 잃고 많은 정보를 너무나 쉽게 건넨다. 요즘 우리나라에서도 한참 시끄러운 전화피싱, 메신저피싱, 이메일피싱 등에서 아무생각없이 정보를 입력했다느니, 급하다고 해서 돈을 송금했다느니, 시키는대로 숫자를 입력했다는 등의 많은 피해가 속출하고 있다. 사기꾼들은 사회공학이라는 이론을 적용하여 상대방을 교란시키고 그 틈을 타 쉽게 그들의 정보나 돈을 빼내고 있다.

저자는 이런 사회공학의 원리를 잘 이해하면 할수록 피해를 덜보고 정신똑바로 차리고 대처할 수 있다고 한다. 개인적으로 지식을 갖고 있는 것과 그것을 활용하는 것은 다르다고 생각하기 때문에 안다고 해도 눈뜨고 당할 수 밖에 없을 것이다. 그렇지만 혹시라도 도움이 될 수 있기를 기대하며 사회공학의 속성들을 하나하나 읽어보았다.

목차에도 잘 소개되어 있지만 가장 먼저 필요한 것은 정보이다. 상대방에 대해서 많은 정보를 가질 수록 이길 확률이 높다. 그리고 수준높은 연기력이 필수다. 여기서는 프리텍스팅이라는 용어를 사용하는데 다른 사람으로 위장해서 거기에 맞는 행동과 지식을 펼치는 것이다. 그러기 위해서는 치밀한 계획과 자연스런 연기력이 단연 필요하다고 할 수 있다. 사기당하는 많은 사람들은 그 사람이 정말 사기꾼일 거라 생각도 못했다고 말하는 것을 봐도 얼마나 훌륭한 연기력과 그 위치에 맞는 역할을 잘 준비했는지를 알 수 있다. 그 외에 표정이나 라포 형성등의 세부적인 팁과 설득같은 화법도 중요하다.

마지막장에 사회공학 공격에 대비해서 몇가지 팁을 알려주고 있다. 몇몇은 아~하는 감탄사가 나오기도 하고 몇가지는 글쎄~라는 의문이 드는 것도 있다. 우선 사회공학에 당하지 않기 위해 노력해야겠다기보단 나도 사회공학을 이용한 작업이 가능한지 궁금하다.