ARP 스푸핑 기법으로 해킹 시도해보니…

입력: 2020-11-09 14:41 윤선영 기자

폰트

기자 구독

명령어 입력하자 아이디·비번이 고스란히
동일 네트워크 랜카드 주소 위장
상대방 정보 가로채는 공격비법
HTTPS 웹사이트로 암호화해야

몇가지 명령어를 입력하고 몇 번의 클릭 과정을 거치자 아이디 및 비밀번호가 고스란히 나타났다.

불과 수십 초 밖에 걸리지 않았다. 몇 가지 명령어를 입력하고 몇 번의 클릭 과정을 거치자 타인의 아이디와 비밀번호가 고스란히 나타났다.

지난 4일 경기도 성남시 판교 SK인포섹 본사에서 김건엽 SK인포섹 이큐스트(EQST) 담당 수석의 도움을 받아 실습 홈페이지에서 '해킹'을 시도해봤다. 이날 사용한 해킹 기법은 'ARP 스푸핑'이다. ARP 스푸핑은 랜 카드의 고유한 주소(MAC 주소)를 동일 네트워크에 존재하는 다른 PC에 꽂혀있는 랜 카드의 주소로 위장한 뒤 다른 PC에 전달돼야 하는 정보를 가로채는 공격 기법이다. 이를 통해 공격자는 상대방의 로그인 정보까지 쉽게 획득할 수 있다.

'와이어샤크'를 실행해 간단한 작업을 진행하니 로그인 정보를 포함한 상대방의 데이터 패킷이 기자의 노트북 화면에 펼쳐졌다. 실제로 사용하는 아이디와 비밀번호일 경우 단순한 정보 노출에서 끝나는 것이 아닌 더 큰 피해를 입을 수도 있겠다는 생각이 들어 정신이 아찔했다.

김건엽 수석은 통신 내용을 보호하려면 HTTPS 웹사이트가 필수라고 강조했다. HTTP는 웹 서버와 사용자의 인터넷 브라우저 사이에 문서를 전송하기 위해 사용되는 통신 규약이다. 그는 "HTTPS 웹사이트를 사용하면 데이터 패킷이 암호화해서 보인다"며 "그렇게 되면 실제 입력한 아이디 및 비밀번호는 알 수 없게 되는 것"이라고 설명했다.

HTTP 웹사이트의 문제점은 지난달 국회 행정안전위원회에서 열린 국정감사에서도 제기됐다. 행안위 소속 김영배 더불어민주당 의원은 와이어샤크를 이용해 대법원 홈페이지를 직접 해킹하고 정부부처의 허술한 보안조치 적용 실태를 지적했다. 김 의원은 "공공기관 홈페이지 1280곳 중 585곳이 최소한의 아무런 보안조치를 하지 않은 것으로 드러났다"며 "국방부 홈페이지까지 자유롭게 해킹해 공문서를 열어볼 수 있다"고 질타했다.

업무용·개인용 아이디 및 비밀번호 분리, 2단계 인증 기능 사용 등 이용자의 경각심도 중요하다. 김건엽 수석은 "보안 솔루션 설치와 프로그램 최신 버전 유지 등 보안 수칙을 제대로 준수해야 한다"고 말했다.윤선영기자 sunnyday72@dt.co.kr