인터넷을 돌아 다니다 우연히 예전 기사를 접하게 되었다.

http://www.zdnet.co.kr/news/news_view.asp?artice_id=20130314084524

2003년에 난 사건을 2013년도에 반면교사라는 차원에서 상기시키고 있지만 예전 경찰청이 낸 보도 자료의 클론 그 이상도 그 이하도 아니다.

보안 방면에 있는 사람들 중에 경찰에 한번쯤 갔다 왔던 사람들이 다수 있다. 그런데 이런 사실이 보안 방면에 입문하는 학생들에게는 일종의 "훈장"(해커라면 한번쯤 갔다 와야 하는 거 아냐?)으로 오해되는 경우가 있기 때문에 공개적으로 이런 경험을 얘기하는 것은 상당히 조심스러울 수 밖에 없다. 하지만 언젠가는 이 이야기를 할 필요는 있다고 생각해 왔고, 지금에 와서야 정리를 한번 해 보도록 하겠다.

나는 원래 정보보안 분야로 시작하지는 않았다. 컴퓨터 공학과를 나왔고, 관련 경력도 대부분 SW 개발과 관련된 업종이었다. 회사 일로 인해  패킷을 분석하는 프로그램을 개발하는 업무를 맡았고, 그 인연(?)으로 인해 2003년 초에 SnoopSpy 초기 버전 프로그램을 공개하였다. 금단의 열매 아니냐, 왜 이따위 프로그램을 공개했느냐, 실력 과시하느냐 등등... 그 당시 태어 나서 제일 많은 악플을 받았었고, 덕택(?)에 정보보안이라는 분야에 관심을 가지기 시작했다. 

그 당시에는 지금처럼 정보보안 분야가 체계화되어 있지 않았었다. 보안 전문 업체도 몇 안되었고, 대학교에 관련 학과도 거의 없었고 고작 교육 기관 몇개 정도? 외부에 드러 나는 정보보안 커뮤니티는 해커스랩, 해커스쿨, 와우해커, 널루트 정도가 다였다. 온라인, 오프라인상으로 자연스럽게 관련된 사람들과 한두번 만나게 되면서 친분을 가져 갔었다. 2003년 여름으로 기억한다. 조치원이었던가? 기억은 잘 나지 않는데 여름 때에는 와우해커 멤버들이랑 워크샵 비슷하게 갔다 온 적도 있었다. 거기에서 누군가 나보고 와우코드 되었다고 하더라. 큰 의미을 두지는 않았다. 와우코드이면 어떻고 아니면 어떤가? 그냥 사람 만나는 게 좋았던 거지.

와우해커 사건은 그해 11월에 터졌다. 내가 정보보안에 관심을 가지고 나서 1년도 안되어 사건이 터졌고 누구 누구가 와우해커 소속인지 아닌지도 잘 몰랐다(지금도 다 아는 건 아니고). 사회 생활하다 얘기하는 와중에 "어 와우해커 출신이세요? 해커스랩 출신이세요?" 정도로 반기면서 인사할 뿐. 그렇기 때문에 나는 와우해커 전체를 대변하는 입장에서 이 글을 작성하는 것은 아니라는 것을 우선 밝히는 바이다.

당시 와우해커 사건에 대해 URL 몇개를 정리해 본다.

사상최대 해커그룹 핵심 멤버 13명 검거(수사)

http://www.police.go.kr/portal/bbs/view.do?nttId=6310&bbsId=B0000011&menuNo=200067

우선 혐의가 확인된 13명을 검거하여, 경찰의 수사가 시작되자 서버의 하드디스크를 은닉, 자료를 삭제한 운영자 김 (34세, 학원강사) 등 2명에 대해서는 구속영장을 신청하고, 정 (18세, 무직) 등 11명을 정보통신망이용촉진등정보보호등에관한법률위반 혐의로 불구속 입건하였다.

불구속 입건 별거 아니다. 경찰이 부르면 가야 하는데. 거기에서 "너 잘못했지?" "잘못 안했는데요." "알았어, 가봐" 하기만 해도 불구속 입건이다.

이들은 경찰의 수사가 시작되자 온 오프라인상의 모임을 가지고 대책을 논의해 왔으며 경찰 수사시의 대응요령을 익히는 등 대비를 하였으며 급기야는 경찰의 압수수색에 대비, 홈페이지 서버의 하드디스크를 반출하여 관련자료를 완전히 삭제하는 등 철저히 대처했으나 경찰청 사이버테러대응센터는 이들의 시스템을 거의 완벽하게 복구하여 운영당시의 시스템과 동일하게 재현시킴으로써 전체회원 현황, 해커그룹 운영현황, 개개인의 범죄사실 등을 확인할 수 있었다.

사람은 원래 누군가 자기를 때리려고 하면 움찔하게 되어 있다. 자기네 회사에 불법 소프트웨어 단속 뜬다고 생각해 봐라. 모든 SW를 정당한 각격을 지불하여 사용하는 것이 당연하지만 단속 뜬다고 하면 혹시라도 모를 경우를 대비해서 HDD 포맷하려고 하는게 자연스러운 거다. 당시 정보보호 관련 법규는 귀에 걸면 귀걸이고 코에 걸면 코걸이인 시대였다. 웃자고 게시판에 올린 글을 가지고 해킹 정보 유포했다는 식으로 몰아 가는 경우가 허다했다. 어떻게 해서든지 죄 뒤집어 씌우려고 혈안이 되어 있는 경찰들에 대응해야 하는데 HDD 자료 삭제하지 않는 사람 어디 있나? 불법 소프트웨어 단속과 해킹 증거 수집과는 차원이 다르다. 말도 안되는 꼬투리 있어도 그냥 잡혀 간다. 팁 하나 알려 줄까? 경찰이 수색영장 가져 와서 컴퓨터 계정 물어 보는 경우 "모른다, 까먹었다" 얘기하면 된다. 굳이 친절하게 가르쳐 줄 필요가 없다(물롤 forensic tool 돌리면 다 나오게 되어 있지만). 당시에는 이러한 정보도 알아야 했던 시절이었다. 왜냐고? 그 때는 해킹 공부하는 사람들을 전부 잠재적 범죄자 취급하던 시절이었거든. 이렇게 해서라도 스스로 방어를 해지 않으면 안되는 거였거든.

"경찰청 사이버테러대응센터는 이들의 시스템을 거의 완벽하게 복구하여" < 이런 문구는 그냥 자화자찬 보도 자료의 전형적인 예로 보면 된다.

'떼지어 해킹' 동호회 만들어 실력 경쟁

http://news.joins.com/article/259505

'와우해커'라는 해커 동호회 사이트를 운영하면서 회원들이 서로의 능력을 과시하기 위해 경쟁적으로 유명 업체의 인터넷사이트를 해킹한 것으로 조사됐다고 밝혔다

국세청 홈페이지 해커에 뚫렸다

http://www.nocutnews.co.kr/news/2007

와우해커의 핵심멤버인 17살 박모군은 지난해 8월 아무런 목적없이 국세청 보안서버를 해킹했습니다. 또다른 멤버인 17살 이모군 역시 국내 최대 쇼핑몰은 물론 외국계 음료회사 사이트를 불법 침입해 시스템을 장악했습니다. 

국세청 해킹은 나중에 가서야 들은 얘기임. 그리고 음료회사 사이트 침입은 오해의 소지가 크다. 멤부 중 하나가 해당 취약점을 그 음료회사에 제보해 줬고 회사로부터 고맙다라는 답변까지 받았었는데 경찰은 앞뒤 자르고 "서버 침입한 건 사실이잖아"라고만 주장한 것임.

아무튼 시간이 지나고 대부분이 무혐의로 풀려 났지만, 검거 당시의 일로 인해서 보안 회사에서 잘리는 경우도 있었고(모의 해킹 나가야 하는데 범죄 단체와 연루되어 있다면 어떤 회사에서 모의 해킹 의뢰하겠나), 인간 관계가 깨진 경우도 있었고, ... 답답한 얘기들을 너무 많이 들었다(off the record가 많았음). 혹시라도 당사자가 이 글을 본다면 뼈 아픈 기억을 상기시킬 수도 있는 거라서 이 정도로만 얘기하겠다. 안타까운 것은 검거 당시 언론들이 스포트라이트를 비췄지만(이후 몇몇 경찰들 승진되었다는 얘기도 들었고), 나중에 가서 재판에서 대부분 무혐의로 판결났어도 어떤 언론도 관심을 가지지 않았다는 것.

십년도 더 된 얘기를 지금 다시 꺼내는 것이 뭐가 도움이 될런지 모르겠지만, 간혹 인터넷을 돌아 다니다 보면 언론에서 얘기하는 것을 고스란히 믿는 배움의 시기에 있는 친구들에게 오해의 소지로 다가갈 수 있을 것 같아 안타까운 마음에 정리를 해 본다. 보안 방면에서 많은 사람들을 만나다 보면 정말 나쁜 짓 하는(거기에서 헤어 나오지 못하는) 사람들도 직간접적으로 보게 되는데, 최소한 내가 알고 있던 와우해커 멤버들은 그런 사람들로 구성된 조직은 절대 아니었다.

마지막으로 이 얘기만은 하고 싶다. 와우해커 사건은 "불법 해킹을 일삼는 놈들을 경찰이 고도의 수법을 통하여 검거한 사건"이 아니고 "일부 경찰의 과욕으로 무리한 수사를 진행한 사건"으로 기억되어야 한다는 것.