[디지털데일리 이종현기자] “화이트해커의 일 자체는 악의적인 행위를 하는 공격자들, 크래커와 크게 다르지 않습니다. 해킹이라는 행위는 같지만 목적이 다를 뿐입니다. 크래커가 개인적인, 혹은 그들만의 이익을 얻기 위해 해킹을 한다면, 화이트해커는 악의적인 행위가 이뤄질 수 있는 취약점을 발견하고 공격 루트를 차단하기 위해 해킹을 합니다.” (라온화이트햇 최정수 핵심연구팀 팀장)

사이버공격 피해가 우후죽순 늘고 있다. 최근에는 국내 최대 기업인 삼성전자도 해킹으로 인한 데이터 유출 피해를 겪었다. 글로벌 그래픽처리장치(GPU) 제조사 엔비디아를 비롯해 유비소프트 등 거대 기업부터 중소 사업자나 개인을 겨냥한 공격의 피해도 적지 않다.

이처럼 악의적인 행위는 ‘크래킹(Cracking)’이라 불린다. 통상 취약점을 이용해 정보 시스템에 침입하는 행위를 일컫는 ‘해킹(Hacking)’과 구분하는 것이 옳으나 일상적으로 혼용하는 추세다. 크래커를 블랙해커, 해커를 화이트해커로 명칭하기도 한다.

보안기업 라온화이트햇에서 화이트해커로 활동하고 있는 최정수 핵심연구팀 팀장은 “크래커와 해커가 하는 일 자체는 유사하다. 불법적인 용도로 해킹을 하는 이들과, 그런 활동을 막기 위해 해킹하는 이들을 구분하면 된다”며 “화이트해커의 주 업무는 모의침투다. 웹사이트나 애플리케이션(앱)을 침투해보고, 어떤 부분에 문제가 있는지를 알려줘 피해를 미연에 방지하는 일을 주로 한다”고 말했다.

◆주기적인 대회 참가로 실력 입증··· 2021년 데프콘 CTF 본선 4위

1995년생인 최 팀장은 20대의 청년이다. 고등학교부터 보안에 관심을 가졌다. 정부에서 운영 중인 차세대 보안리더 양성 프로그램(BoB, Best of the Best)의 4기 수료생이다. 글로벌 해킹방어대회 데프콘(Defcon) CTF를 비롯해 여러 보안대회서 참여, 실력을 증명한 실력자다.

최 팀장은 2021년 ‘해커 올림픽’이라 불리는 데프콘 CTF서 본선 4위를 차지했다. 국가정보원(이하 국정원)이 주최하는 사이버공격방어대회(CCE)에서는 2018년 대회 본선 1위를 시작으로 2019년 우승, 2020년 준우승 등의 성과를 달성했다.

그는 “정보기술(IT) 분야 트렌드는 굉장히 빠르게 변화한다. 새로운 기술 스택이 나오면 이걸 학습하고, 언어에 대한 취약점도 찾아야 한다. 끝없이 공부해야 하는 영역”이라며 “해킹대회에서 나오는 문제는 최신 트렌드를 반영하는 경우가 대다수기에 주기적으로 참여하려고 한다”고 말했다.

기업 차원에서도 대회 참여를 적극적으로 지원하는 편이다. 글로벌 대회의 경우 본선을 해외에서 치르는 경우도 있는데, 라온화이트햇의 경우 출장 업무 처리를 해주는 경우가 대다수다. 피치못할 경우 개인 연차를 사용해 대회에 참여하기도 한다는 설명이다.

대회는 CTF(Capture The Flag) 방식으로 진행되는 것이 다수다. 정해진 문제를 풀고, 정답(깃발, Flag)을 알아낸다는 의미에서 사용된다. 출제진이 공격하고, 대회 참가자가 취약점을 패치하는 형태로 실시간 공방을 펼치기도 한다.