Google가 해킹 집단에 코드명을 붙이는 이유

Google은 최근 해킹 집단의 추적 및 명명 방식을 변경했다. 이를 계기로 TechCrunch는 해킹 추적 분야의 세계적 전문가들과 인터뷰하여 왜 보안 기업이 해킹 집단에 코드명을 부여하는지에 대해 깊이 있게 탐구했다.

사이버보안의 세계에서는 공격자를 '누가' '어떤 목적으로' 활동하고 있는지에 따라 분류하고 고유의 코드명으로 관리하는 것이 일반적인 관례가 되었다. 이러한 체계는 여러 공격이 동일한 조직이나 국가와 연결될 가능성이 있을 때 수사 담당자들이 정보를 정리하고 공유하기 쉽도록 기능한다. 코드명이 없다면 서로 다른 기업이나 연구기관이 같은 집단을 각각 따로 추적하게 되어 위협 정보 공유가 어려워진다는 배경이 있다.

Google이 이번에 해킹 집단의 명명 방식을 혁신함으로써 업계 내 정보 정리의 체계가 변화하고 있다. 동사는 해킹 집단을 추적·분석하는 전문 부서를 보유하고 있으며 이번 변경은 그 활동의 일환으로 이루어졌다. 구체적으로 어떤 기준에 따라 명명 방식이 변경되었는지에 대해서는 세계 최고 수준의 해킹 추적 전문가가 TechCrunch의 취재에 응하여 설명했다.

코드명에는 실질적인 역할이 있다. 어떤 공격 집단이 여러 국가의 목표를 겨누고 서로 다른 수법을 사용하더라도 같은 코드명 아래 정보를 집약함으로써 연구자와 기업은 전체상을 더 쉽게 파악할 수 있다. 또한 국가와 직접 결부된 집단명을 공개적으로 사용함에 따른 외교적·법적 위험을 피한다는 의미에서도 코드명은 중립적인 '라벨'로서의 기능을 한다고 위치 지어진다.

한편 명명 방식이 기업마다 다르다는 점은 오랫동안 과제로 지적되어 왔다. 같은 집단이 A사에서는 '그룹X', B사에서는 '클러스터Y'로 불리는 경우가 발생하면 정보 공유 현장에서 혼선이 생기기 쉽다. Google이 방식을 변경한 배경에는 이러한 업계 횡단적 일관성을 높이고자 하는 의도가 있다는 견해가 있다.

해킹 집단의 명명·분류 방법은 사이버보안 기업뿐만 아니라 정부 기관이나 연구기관이 위협 정보를 어떻게 공유하고 어떻게 대처할 것인지에 직접 영향을 미친다. Google과 같은 대규모 플랫폼이 명명 방식을 검토한 것은 업계 전체 정보 관리의 표준화라는 관점에서도 주목할 만한 움직임이라고 할 수 있다. 앞으로 다른 보안 기업이나 기관이 Google의 새로운 방식에 어떻게 대응할 것인지가 업계의 정보 공유 체제의 성숙도를 재는 하나의 지표가 될 것이다.