불법 수집 IP주소 개당 1만원에 거래…앗! 내 무선공유기가 해커의 통로라니…

일러스트=추덕영 기자 choo@hankyung.com

IP 주소 불법거래 성행
당신의 무선공유기는 '비밀번호' 설정했나요?
비번 없는 무선공유기 접속…VPN 설정 통해 IP 도용
온라인서 공공연히 거래…해킹·금융범죄 등에 악용
경찰, 처벌 근거 없어 '난감'…전문가 "현행법상 처벌 가능"


# 특별한 직업 없이 게임 아이템 거래로 돈을 벌던 박모씨(37)는 취미도 게임이었다. 고스톱이나 포커를 즐기는 박씨는 인터넷 게시판을 보고 게임 ID나 비밀번호를 팔면 돈이 된다는 사실을 알게 됐다. 박씨는 지난해부터 재중 동포 이모씨(25·여)로부터 개인정보를 건당 6000원에 사들여 1만원에 되팔았다. 개인정보 도매업자가 된 박씨는 구매자들로부터 ‘왜 IP(internet protocol)는 팔지 않느냐’는 말을 들었다. IP는 인터넷에서 전화번호나 주소 역할을 한다. IP를 사려는 사람들은 혼자서 여러 개의 IP로 중복 접속한 뒤 판돈을 올려 사이버머니를 따는 수법을 이용하고 있었다. 박씨는 주택가나 아파트 단지를 돌며 비밀번호가 설정되지 않은 인터넷 무선공유기를 찾아 IP를 수집하기 시작했다. 게임 ID에 IP까지 묶어 팔아 수천만원을 벌던 박씨는 결국 수사에 나선 서울 서대문경찰서에 덜미가 잡혀 지난달 24일 구속됐다. 경찰은 박씨가 이름이나 주민등록번호, 인터넷 ID 등을 팔아넘긴 점에 대해선 정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반(개인정보 누설)으로 처벌할 수 있지만 IP 수집과 판매 문제는 규정이 마땅치 않다며 난감해 했다.

개인이나 상점 등에서 비밀번호 없이 무심코 사용하는 인터넷 무선공유기가 해커나 부정 사용자들의 장난감으로 활용되고 있다. 공유기에 무단 접속해 가상사설망(VPN)을 설정하면 어디서나 해당 공유기의 IP를 마음대로 이용할 수 있다. 해커들이 자신의 침입 경로를 숨기거나 온라임 게임에서 중복 접속하려는 이들이 보편적으로 쓰는 수법이다. 

하지만 인터넷 정보보안 의식 부족으로 많은 사람이 자신의 공유기가 불법 행위에 이용되는 것을 모르고 있다. 전문가들은 공유기에 비밀번호만 설정해도 대부분의 범죄를 막을 수 있다며 타인의 통신망에 침입해 무단 사용하는 것이 불법인 만큼 IP를 수집해 판매하는 행위도 엄격히 처벌해야 한다고 지적한다.

◆주택가 돌며 무선공유기에서 IP 수집

인터넷 무선공유기는 한정된 공간 안에서 노트북이나 스마트폰 같은 인터넷 기기를 가진 사람들이 인터넷에 접속하도록 돕는 기기다. 누구나 접속할 수 있는 만큼 보안성이 취약하기 때문에 처음 설치할 때 비밀번호를 거는 것을 권장하고 있다. 그러나 번거롭다는 이유로 비밀번호 없이 쓰는 경우도 많아 부정 접속의 위험에 노출돼 있다.


지난 5일 오후 서울 길음동의 한 아파트 단지에서 스마트폰 와이파이를 켜고 움직이자 인터넷 접속이 가능한 네트워크 목록이 10개 이상 떴다. 이 중 비밀번호가 걸려 있지 않은 4개의 공유기 중 하나를 골라 인터넷에 접속했다. 인터넷 브라우저를 열어 공유기 관리자 페이지에 접속하자 외부에서도 해당 공유기의 IP를 이용할 수 있는 VPN 설정 모드가 떴다. VPN 서버 설정을 누르고 계정(ABCD)과 비밀번호(1234)를 설정하자 아무런 제지 없이 설정이 가능했다. 같은 시간 서울 공덕동에서 노트북을 켜고 길음동에서 확보한 IP( 218.235.***.**)를 통해 ABCD 계정에 접속할 수 있었다. 이런 과정을 거치면 노트북이 어느 사이트를 접속해도 해당 사이트에는 공덕동이 아닌 길음동에서 접속한 것으로 기록된다. 이런 작업을 하는 데 걸린 시간은 단 2분에 불과했다. 

◆해커·범죄자 등이 주고객 

이렇게 수집한 IP는 온라인에서 공공연하게 거래되고 있다. 한 유명 검색 사이트에서 ‘VPN 구입’ ‘VPN 게임’이란 단어를 넣으면 쉽게 VPN 거래 사이트를 발견할 수 있다. 한 사이트는 IP 30일 사용에 5달러, 3개월에 10달러, 1년에 35달러라며 전 세계 IP를 빠른 속도로 이용할 수 있다고 홍보했다. 

다른 IP 판매자는 “미국 등 외국 IP를 이용하면 국내에서 접속 차단된 어느 사이트라도 접속할 수 있다”며 “1만원에 1년간 쓸 수 있는 IP를 주겠다”고 말했다. 

이처럼 공유기가 IP 부정 사용의 도구로 이용되는 이유는 단순하다. 비밀번호를 설정하지 않았기 때문이다. 전문가들은 공유기가 외부 접속에 무방비로 노출되면 인터넷 부정 사용뿐만 아니라 공유기를 이용하고 있는 사람들의 정보도 쉽게 해킹당할 수 있다고 지적한다. 

이경호 고려대 정보보호대학원 교수는 “공유기에 비밀번호가 없으면 그 공유기를 통해 지나가는 네트워크 정보를 훔쳐볼 수 있다”며 “사용자가 암호화되지 않은 사이트를 방문하면 로그인 정보 등이 유출돼 금융사고 등 정보 유출 사고가 생길 위험이 있다”고 말했다. 이 교수는 “IP는 주로 중국에서 활발히 거래되고 있는데 국내 거래 적발은 처음 듣는다”며 “VPN 서버를 이용한 해킹은 해커들의 전형적인 공격 방식”이라고 설명했다. 

같은 대학원 김승주 교수는 “1분이면 만드는 비밀번호를 쓰지 않아 발생하는 피해는 공유기 주인에게도 책임이 있다”고 지적했다.

경찰도 범죄자들의 IP 부정 사용을 우려하고 있다. 서대문경찰서 관계자는 “지금까지 살인 같은 중죄를 저지르고 도피 중인 피의자가 PC방에서 인터넷을 사용하면 접속 기록이나 IP를 추적해 현장을 급습해왔다”며 “이런 IP 우회접속 방식을 이용하면 범인이 실제로 있는 곳을 찾아내기 어려워진다”고 했다. 

◆비밀번호 설정 등 보안성 높여야

경찰은 이름이나 주민번호 같은 개인정보가 아닌 IP를 거래하다 적발된 경우가 드물어 이를 처벌할 수 있을지 고심하고 있다. 처벌 사례가 있다면 해당 법률을 적용하겠지만 현행법상 IP는 개인정보가 아니기 때문에 단순 거래는 처벌하기 힘들다는 설명이다. 

경찰 관계자는 “타인의 IP로 부정 접속하면 정보통신망 이용촉진 및 정보보호 등에 관한 법률 48조에 의거해 정보통신망 침해로 처벌할 수 있지만 IP 거래를 처벌하기에는 애매한 점이 있다”며 “이 때문에 박씨는 이름과 주민번호, ID 등을 거래한 혐의로만 구속했다”고 설명했다. 반면 정보기술(IT) 전문 법률사무소 테크앤로의 구태언 대표변호사는 “형법상 전기처럼 관리가 가능한 동력(動力)도 재물로 간주하기 때문에 남의 인터넷망을 훔쳐 쓸 수 있도록 한 것도 절도죄의 교사범이나 방조범으로 처벌이 가능하다”고 말했다. 

이경호 교수는 “누구나 쉽게 생각해낼 수 있는 비밀번호라면 무작위 대입 공격 방식에 쉽게 뚫리기 때문에 공유기 비밀번호에 영문 대문자와 소문자, 숫자, 기호 등을 섞어 보안성을 높여야 한다”고 권고했다.
<기사 출처 : 한경>