위급 상황에서 스스로의 몸을 보호하는 기술을 호신술이라 한다. 온라인에서의 활동이 ‘또 하나의 현실’이 된 요즈음, 해커나 사이버범죄자들은 물론이고 기업, 국가권력까지도 당신을 노리고 있다. 온라인에서 스스로를 지키는 기술은 점점 필수가 되어가고 있는 것이다. 이번호에서는 전화 통화는 물론이고 실내 대화의 도청까지 막는 방법들을 소개한다. 본 기사는 총 5회로 기획되어 <디펜스21플러스>에 연재 중인 '사이버 호신술' 시리즈의 두번째이다.

[지난연재] 사이버 호신술 ① 패스워드 보안
 

당신이 갖고 있는 도청에 관한 지식은 얼마나 정확할까? 먼저 아래의 OX 퀴즈를 풀어보자:

□ 드라마에서처럼 싱크대의 물을 튼다고 해서 도청을 방해할 수는 없다

□ 통화 중에 하울링(울림)이나 음질 열화가 발생하면 도청일 수 있다

□ 휴대폰 통화는 누구나 엿들을 수 있을 만큼 도청이 쉽다

□ 교환기를 거치는 전화보다는 직통전화가 더 안전하다

□ 스마트폰으로는 안전한 통화가 불가능하다

답은 모두 X이다. 이번 회에서는 실제로 도청이 어떻게 이루어지는지, 그리고 이를 (주로 개인 차원에서) 어떻게 방어할 수 있는지에 대해 다룰 것이다. 여기서 말하는 도청은 실내에서의 대화를 감청하는 행위부터 일반 전화, 휴대폰/스마트폰을 사용하는 음성통신에 대한 감청 모두를 포괄한다.

실내 도청은 어떻게 이루어지나

도청이라고 하면 제일 먼저 떠오르는 것은 역시 실내 도청이다. 송신기를 실내에 몰래 설치하여 목표물이 어떠한 대화를 주고 받는지를 감시하는 장면은 영화나 드라마에서 자주 볼 수 있다. 기술의 발달로 소형화와 무선화가 일반화되면서 실내 도청은 상상할 수 있는 모든 방법으로 실행 가능하다. 사무실에서 자주 사용하는 마우스나 멀티탭, 전자계산기, 심지어 USB케이블 형태의 도청장치도 존재한다. 이러한 실내 도청장치는 크게 무선송신 방식과 자체저장 방식의 두 가지로 분류되는데 자체저장 방식은 설치를 한 다음에 다시 수거를 해야하는 불편함이 있어 무선송신 방식이 보다 자주 쓰이는 편이다. 또한 이러한 장치들의 크기는 동전 크기 수준이라 상상할 수 있는 모든 곳에 숨길 수 있다. 무선송신 방식의 경우 보통 전파송신 범위가 300미터에서 1킬로미터 수준이다. 여기에 더하여 고층에 설치할 경우 전파가 두 배 정도까지 더 멀리 송신이 가능하다. 이 송신 범위 내에 위장 사무실 등을 마련한 후 장비를 설치하여 도청 내용을 수신하여 저장한다. 또한 유리창에 레이저를 쏴서 실내의 울림을 측정하여 도청하는 영화 속의 장비 같은 도청장비도 존재한다.

그러나 이러한 위험을 회피하기만 한다면 직접 만나서 대화를 하는 것은 여전히 가장 안전한 음성통신 수단이다. 실외 또는 (미리 설치할 틈을 주지 않기 위해) 사전에 그 위치를 알리지 않고 직접 만나 대화를 하면, 이에 대한 어떠한 기록도 남지 않으며 대화 내용은 (어느 한쪽이 몰래 녹음을 하지 않는 이상) 대화 당사자들만의 기억 속에 남는다. 다만 물리적으로 매우 먼 거리에 떨어져 있는 사람들끼리의 경우 직접 만나는 것이 쉽지 않다는 단점이 있다.

스마트폰을 비롯한 일부 휴대폰들은 전원을 끈 상태에서도 마이크가 작동한다는 보고가 있다. 이를 확인하는 가장 간단한 방법은 자기장 보호가 안 되어 있는 저가형 스피커 근처에 휴대폰을 놓아 보는 것이다. 휴대폰은 전원이 켜져 있을 경우 주기적으로 전파를 발신하는데 이때 스피커에서 잡음이 나게 된다. 의심스럽다면 배터리까지 뽑아 놓고 대화를 할 필요도 있다.

고성능 전파탐지기 OSC-5000. 기무사와 국정원에서도 사용하는 장비라 한다. (장비제공: (주)한국스파이존)

상식과 엇갈리는 일반전화의 도청

휴대폰보다는 일반전화의 도청이 더 어려울 것이라고 생각하는 사람들이 많다. 개인보안 관련 매뉴얼에서도 일반전화끼리의 통화가 보다 안전하다고 설명한다. 그러나 기자가 만난 보안전문가는 의외의 사실을 알려주었다. 일반적으로 사무실 등에서 사용하는 아날로그 전화기는 마음만 먹으면 누구나 도청할 수 있으며 디지털 전화기가 좀 더 안전한 편이기는 하지만 역시 전문가 앞에서는 취약하다는 것이었다.

보안상 가장 취약한 것은 가정에서 흔히 사용하는 무선 전화기이다. 주파수 대역 자체가 공개 대역(900Mhz)이기 때문에 쉽게 구할 수 있는 광대역 수신기를 사용하여 스캔하면 누구든지 도청이 가능하다. 일부 기업 임원들은 교환기를 거쳐해 들어오는 전화보다는 직통 전화가 더 안전할 것이라 믿고 직통 전화를 애용하나 이는 전혀 사실과 다르다. 일반전화의 도청은 크게 전화기 자체 또는 연결 부위 근처에 설치하는 방식과 통신실(MDF실)에 침입하여 설치하는 방식으로 나뉘는데 직통전화를 사용하는 경우 (직통이기 때문에) 매번 동일한 번호를 사용하기 때문에 MDF실에서 그 위치를 찾기가 매우 쉽다. 최근의 장비들은 물리적으로 브릿지(bridge, '뿌락치'라는 변형된 일본식 발음으로 통용된다)를 할 필요가 없이 회선이 지나가는 곳 근처에 장치를 장착하기만 해도 회선에서 발산되는 신호를 가로챌 수 있다.

반면에 키폰을 사용하는 DID/DOD 방식의 경우, 같은 내선 번호의 전화기라도 매번 다른 번호가 부여되기 때문에 통신실에서 회선 하나만을 분리하여 도청하는 것이 의미가 없다. 보다 기술적인 내용에 대해 부연을 하자면, 방식은 사무실 내에 전화가 100대가 있다고 해서 회선을 100개를 신청하는 경우는 별로 없다. 동시에 100대가 통화를 하는 경우는 거의 없기 때문이다. 그래서 회선은 50개 정도로 신청을 하고 전화를 사용할 때마다 이 50개 회선 중에서 남는 것을 연결해 준다. 이는 인터넷 유동식 IP 배분 방식과 유사하다. 그렇기 때문에 항상 동일한 회선을 쓰지는 않게 되는 것이다.

유선전화기를 순식간에 도청장치로 만드는 기술도

일반전화를 사용하여 실내 도청을 하는 '인피니티'라는 독특한 장치도 있다. 전화를 건 다음에 도청대상이 전화를 받으면 통상적인 대화(혹은 잘못 걸었다는 사과)를 한 후 전화를 끊게 유도한다. 대상이 수화기를 내려놓고 나면 그 다음부터 그 전화기가 일종의 도청기가 되어 실내의 대화내용을 여전히 수화기를 들고 있는 도청자에게 전달한다. 그 원리는 이렇다. 수화기를 내려놓을 때 전화가 끊기는 이유는 전화기에 붙어있는 후크 스위치가 눌리기 때문이다. 이 후크 스위치를 눌러도 전화가 끊어지지 않게 할 수 있다면 도청대상은 수화기를 내려놓고 통화가 끝났다고 생각할지라도 여전히 통화는 계속되고 있는 상태가 된다. 자연스럽게 나의 전화기가 누구의 손도 닿지 않았는데 도청장치가 되는 셈이다. 인피니티 장비는 특수한 방법으로 후크 스위치가 작동되지 않게 신호를 교란한다고 한다.

각종 도청탐지장비들 (장비제공: (주)한국스파이존)

휴대폰 도청, 생각만큼 녹록치 않다

왠지 휴대폰 도청은 그리 어렵지 않을 것 같다. 무선으로 전파를 송수신하니 근처에 수신장비를 놓으면 충분히 전파를 잡을 수 있지 않을까? 그러나 보안전문가는 그렇지 않다고 말한다. 우리나라에서 일반적으로 사용하는 CDMA 방식은 하나의 주파수 대역에서 여러 회선의 통화가 가능한 코드분할 방식을 사용한다. 그리고 각각의 통화는 (0과 1의 숫자가 반복된) 디지털 암호화가 된다. 주파수 대역을 맞춘다고 하더라도 각각의 암호화된 통화 내용 중 도청목표의 통화만을 골라내는 것은 매우 어려운 일이다. 이를 도청할 수 있는 기계는 4~5억 정도로 일반인들은 거의 불가능하다고 보면 된다. 이 기계는 도청목표의 전화번호를 입력하면 목표에 어디에 있든지 간에 도청이 가능하다고 알려져 있다.

스마트폰의 경우는 한 가지 문제가 있다. 바로 앱이나 메일 등을 통하여 사용자의 스마트폰에 몰래 침입하는 말웨어(malware)다. 소유자가 가는 곳 어디에나 따라다니는 스마트폰은 최적의 감시장치가 될 수 있다.

실내 도청, 어떻게 막나

실내 도청의 경우, 개인 차원에서 할 수 있는 일은 그리 많지 않다. 도청방지기나 휴대용 감지기를 시중에서 어렵지 않게 구할 수 있기 때문에 이를 사용하는 것도 좋다. 도청방지기는 가청주파수 대역 바깥에 있는 주파수를 발산하여 도청기가 제대로 소리를 포착할 수 없도록 방해한다. 욕조의 물을 틀어놓는 행위도 비슷한 효과를 준다. 최근에 방영된 한 드라마에서는 도청기가 작동되고 있다는 사실을 알게 되자 주인공이 싱크대의 물을 트는 장면을 보여주기도 했다. 감지기는 도청기가 발산하는 주파수를 포착하여 이를 신호 등으로 알려준다. 그러나 실내에서 전파는 형광등을 비롯한 모든 가전제품에서 발산되며 경험이 많지 않은 일반인으로서는 도청기에서 발산하는 전파를 이러한 잡다한 전파들 속에서 분간해 내기가 쉽지 않다.

실내의 도청장치 설치 여부를 탐색해 주는 서비스를 제공하는 전문업체들도 있다. 실내의 모든 주파수 대역을 스캔하여 합법적인 장비의 주파수인지 불법 장비의 주파수인지를 판단하여 준다. 유선 전화기 등의 유선 장비의 경우에는 측정기를 사용하여 단선이나 단락이 있는지를 점검하며, 레이저를 유리창에 쏴서 도청을 하는 경우 특수필름이나 무작위의 진동을 유리에 전달하여 도청을 방해하는 장비를 설치해 주기도 한다. 기자가 만난 보안전문가는 유리창 도청의 경우 창에 블라인드나 커튼을 설치하는 것만으로도 상당한 방지 효과를 거둘 수 있다고 조언했다.

자체 전원을 사용하는 도청의 경우, 내부 전원의 한계로 두 달 이상을 넘기기가 어렵다. 그러나 멀티탭이나 USB케이블로 위장한 도청장치나 전원 스위치에 설치한 도청장치의 경우에는 무제한적으로 전원이 공급되기 때문에 특히 전원 근처에 대해서는 각별히 조심할 필요가 있다.

유선전화 도청, 이렇게 막는다

군 복무를 해본 독자들에게는 비화기가 매우 익숙할 것이다. 비화기는 유선전화의 신호를 암호화하여 전송하는 방식을 사용하기 때문에 도청을 하더라도 디지털 노이즈만 들리게 된다. 다만 비화기는 그 가격이 150~200만원 정도 하며 전화를 받는 상대방도 동일한 비화기를 사용하여야 하기 때문에 일반인들에게는 그리 쉬운 선택이 아니다. 그외에도 도청방지기가 있다. 이 장비는 전화기 자체에 도청기가 설치되어 있는지를 탐지하는데 그 원리는 이렇다. 전화기 내부에 도청장치가 설치되면 전화기 내의 전압이 낮아지거나 편차가 커지는 등 이상 현상을 보인다. 이러한 현상이 감지되면 알람을 울리는 방식이다. 그러나 최근에는 도청장치의 성능이 매우 좋아져서 감지기로 포착이 어려운 것들도 있어 주의를 요한다. 전문장비들은 전화기 자체 뿐만 아니라 회선 내에 (도청을 위해) 단선 단락이 된 부분이 있는지 여부를 파악할 수 있고, 만일 있다면 그 위치까지도 파악할 수 있다고 한다.

몰래카메라의 신호를 탐지하는 장비. (장비제공: (주)한국스파이존)

휴대폰 음성통화 보안을 강화하자

휴대폰에도 비화기가 존재한다. 2G용 비화기는 휴대폰의 후면에 부착하는 형태인데 휴대폰의 두께가 두꺼워져 휴대가 불편하다는 것 때문에 많이 선호되지는 않는다고 한다. 3G용은 앱을 사용한다. 일반 휴대폰 회선을 사용하는 게 아니라 인터넷망을 사용하는 일종의 VoIP 방식이며 디지털로 암호화가 되기 때문에 보다 안전하다는 것이 보안전문가의 설명이다. 전문적인 회사에서 판매하는 앱은 가격이 100~150만원 정도이며 1년마다 보안 업그레이드를 받는다. 다만 3G망이나 와이파이 연결의 상태에 따라 통화에 제약이 있을 수 있다고 한다.

 

 

[인터뷰] (주)한국스파이존 이원업 부장

 

기자는 지난 5일 보안전문회사인 (주)한국스파이존(http://www.spy-zone.co.kr)을 찾아 이원업 부장을 만나 국내의 도청 및 도청방지 기술의 현황에 대해 자세한 설명을 들었다. (주)한국스파이존은 국내 언론은 물론 일본 언론에서도 소개된 바 있으며 영화나 드라마 제작에 기술자문 및 장비협찬을 하고 있다. 최근에는 SBS의 드라마 <유령>에서 도청 관련 기술자문을 하였다 한다. 다음은 이원업 부장과의 일문일답.

 

▶ 도청장치를 탐지하는 업체가 있다는 게 일반에게는 다소 낯설 것 같다.

기업이 보유한 기술이나 노하우가 중요한 자산으로 평가받는 시대이지 않은가. 또한 이러한 자산을 훔치려는 시도도 늘고 있다. 그래서 산업보안에 대한 관심이 높아지면서, 기업의 보안수준이 기업의 가치평가에 반영될 만큼 중요하게 다루어지고 있다. 현재 인허가를 받은 업소가 31개까지 늘어난 상태이다.

 

▶ 인허가를 받는 데에 특별한 요건이 있나?

방송통신위원회 산하기관인 중앙전파관리소에 등록허가를 받아야 하고, 불법감청설비탐지업법에 의거한 법인으로 등록이 되어 있어야 한다. 그리고 전기, 전자, 정보통신 등과 관련된 기능사 자격증을 소지한 1인 이상이 회사에 상주하고 있어야 한다. 또한 프로그램, 선로 분석기를 2식 이상 보유하고 있어야 한다.

 

▶ 기업체들이 보안에 열을 올리는 것은 이해할 수 있을 것 같다. 일반 가정이나 개인 차원에서의 수요는 어떤가?

사생활 보호에 대한 인식이 높아지고, 스토킹 등으로 인한 개인피해를 호소하는 사례들이 늘어나면서 꾸준히 증가하고 있다. 몇가지 사례를 들자면, 아파트 단지 등에서 주부들의 통화를 도청하여 얻은 정보로 협박을 가하는 경우로 수사 의뢰가 들어온 적이 있었다. 외도의 의심 등으로 갈등하고 있는 부부로부터 각기 따로 의뢰를 받은 적도 있었다. 의뢰를 받아 탐색을 위해 방문했더니 얼마 전에 방문했던 집이었다.

 

▶ 기업체들의 보안 의식은 어떠한가?

보안에 대한 경각심은 높은 편이지만 여전히 직원들 개인의 보안의식은 희박한 편이다. 주요 임원실의 출입장치가 허술하게 관리되거나 임원이나 부장들이 자신의 컴퓨터를 끄지 않고 (패스워드 설정도 없이) 퇴근하는 일도 다반사이고 카드키나 ID카드 등의 관리도 부실하다. 보안점검의 일환으로 이른 새벽에 사무실 내로 잠입을 하기도 하는데 청소를 하고 있는 인원들이 모두 외부 용역 업체 소속이라 우리가 들어와도 무관심한 경우가 많다. 한번은 모 기업에 보안점검을 나갔는데, 보안담당자가 값비싼 ID카드 시스템에 상당한 자부심을 갖고 있었다. 그런데 해당 기업을 드나드는 구두닦이가 그 시스템의 마스터키를 복제하여 임원 전용 엘리베이터를 타고 다니는 모습을 보여주었더니 적잖이 당황하더라.

 

▶ 보안 문제로 고민하는 기업체들에게 해주고 싶은 조언은?

보안은 아무리 강조해도 지나치지 않는다. 그러나 아직까지도 보안이 왜 중요한지에 대한 인식의 부재가 심각한 수준이다. 한 예로 퇴근길 엘리베이터, 동료와 커피 한 잔하면서, 심지어 회식자리에서도 우리는 회사 업무와 관련된 중요한 내용들을 스스럼 없이 이야기하곤 한다. 내 옆자리에 경쟁사 직원이 있을지도 모르는 일 아닌가.

 

또한 연락을 받아 기업을 방문해 보면 이미 보안사고가 발생한 이후일 때가 많아 안타깝다. 보안점검은 사후약방문식이 아닌 사전 점검이 되어야 한다고 생각한다. 그리고 피해 사례의 60%가 내부자의 결탁으로 이루어진다는 사실을 알아두었으면 한다. 즉, 보안이란 다른 사람을 위해 존재하는 것이 아닌 나를 위해 내가 반드시 지켜야 할 사항이란 것을 인식하고 습관화해야 한다. 기업에서는 물리적인 보안에만 치우치지 말고 인원보안의 중요성을 인식하여 그에 대한 투자를 게을리 하지 않기를 바란다.