데이터의 검은 거래소
가공의 사이버보안 회사 내부자가 폭로한 데이터 수탈 음모를 추적하는 긴장 넘치는 이야기.
새벽 두 시, 한재원은 서버실 바로 옆 사무 공간에 혼자 남아 있었다.
사무실은 꺼진 모니터들과 식은 커피잔들로 가득했다. 형광등 하나가 주기적으로 깜빡였다. 그는 그 빛의 리듬이 불규칙하다는 사실을 이미 석 달 전부터 알고 있었지만, 아무도 교체 요청을 넣지 않았다. 이 회사에서 아무도 관심 없는 것들의 목록은 언제나 길었다.
그가 근무하는 곳은 가디언넷이었다. 사이버 보안 전문 기업. 금융사와 대형 유통사, 정부 기관의 네트워크를 지키는 일을 한다고 세상에 알려진 회사. 적어도 공식 소개란에는 그렇게 쓰여 있었다.
한재원은 보안 분석 2팀 시니어 애널리스트였다. 외부 침투 시도를 탐지하고 패턴을 분류하는 일이 그의 업무였다. 그는 일 잘하는 사람으로 통했다. 조용하고 꼼꼼하고, 야근을 자처했다. 상사들은 그를 좋아했다. 그가 불편한 질문을 하는 사람이라는 사실을 아직 모르는 상태에서.
처음 이상한 트래픽 패턴을 발견한 것은 3주 전이었다.
로그 파일을 정리하던 중 아주 미세한 이상 징후가 눈에 걸렸다. 야간 시간대에 특정 내부 서버에서 외부 IP로 향하는 소량의 데이터 흐름. 양이 너무 작아서 자동 탐지 시스템은 이를 노이즈로 처리했다. 하지만 그는 날짜별로 수집하기 시작했다. 사흘, 닷새, 열흘. 작은 물줄기가 하나의 강을 이루고 있었다.
목적지 IP를 역추적했다. 네덜란드. 루마니아. 홍콩. 서버는 매번 달랐다. 하지만 전송 방식, 암호화 레이어의 구조, 패킷의 분할 방식은 동일했다. 누군가 한 사람이, 혹은 하나의 프로그램이, 오랫동안 같은 방식으로 데이터를 빼내고 있었다.
그는 전송된 데이터의 내용을 추적하기 시작했다. 접근 권한을 서서히 올려가며, 기록을 남기지 않으려 조심하면서. 엿새가 걸렸다.
파일은 암호화돼 있었지만 메타데이터는 살아 있었다. 파일명의 규칙, 생성 시각, 크기의 패턴. 그것만으로도 충분히 윤곽이 보였다. 흘러나가고 있는 것은 고객사의 임직원 명단, 조직 내부 연락처, 계정 접근 이력, 그리고 일부 재무 데이터였다. 가디언넷이 계약사에 설치한 에이전트 소프트웨어를 통해 수집한 것들이었다. 그 소프트웨어의 목적은 원래 위협을 탐지하는 것이었다. 하지만 실제로는 다른 일도 하고 있었다.
한재원은 의자를 뒤로 밀고 천장을 바라봤다. 위에서 에어컨 팬이 돌아가는 소리가 들렸다. 그의 심장 박동이 그보다 빨랐다.
그는 이미 알고 있었다. 2023년과 2024년, 전 세계 보안 연구자들이 반복해서 경고한 내용이 있었다. 기업 보안 솔루션 공급사가 고객의 내부 데이터를 제3자에게 판매하는 행위가 실제로 이루어지고 있으며, 일부 사례에서는 수백만 건에 달하는 기업 임직원 정보와 거래 이력이 다크웹 브로커를 통해 유통됐다는 내용이었다. 그것은 먼 나라 이야기처럼 읽혔다. 지금 그것이 바로 옆에 있었다.
그는 증거를 정리하기 시작했다.
USB 드라이브는 집에서 가져왔다. 회사 네트워크가 아닌 개인 휴대폰의 테더링을 이용해 접속했다. 모든 파일은 날짜순으로 정리되었고, 해시값이 기록되었다. 그는 보안 전문가였다. 증거를 다루는 방법을 알고 있었다.
이틀 후, 팀장 박성민이 그를 불렀다.
“어제 퇴근 이후에도 내부 시스템 접속 기록이 있더라고. 무슨 작업이었어?”
한재원은 눈을 마주쳤다. 박성민은 그와 5년을 함께 일한 상사였다. 유능했고, 회사에 충성스러웠다.
“클라이언트 쪽 로그 정리 중에 이상 패턴이 있어서 좀 더 들여다봤습니다.”
“어떤 패턴?”
“아직 확실하지 않아서요. 좀 더 보고 보고드리겠습니다.”
박성민은 잠시 그를 바라봤다. 그 눈빛 안에 무언가가 있었다. 경계인지 경고인지 한재원은 정확히 읽지 못했다.
“무리하지 말고. 업무 시간에 해.”
방에서 나오며 한재원은 손이 약간 떨리고 있다는 걸 느꼈다.
그날 오후, 그는 자신의 접속 이력이 누군가에 의해 조회되었다는 것을 감지했다. 내부 보안 시스템의 관리자 기록이었다. 자기 자신이 감시당하고 있었다.
그가 본사 이사 한 명의 이름을 발견한 것은 그다음 주였다.
전송된 데이터 패킷에서 발신 주체를 역추적하다 발견한 내부 계정. 일반 직원의 권한으로는 접근할 수 없는 서버 영역에 대한 주기적 접속 이력. 이름은 최우진. 기술 전략 담당 이사.
그는 최우진의 이름을 모른 척했다. 화면을 닫고 화장실로 갔다. 거울 앞에 한참 서 있었다. 얼굴이 창백했다.
회사 내부에 증거를 제출할 수 없다는 것은 이제 명확했다. 누구를 믿어야 하는지 알 수 없었다. 박성민이 관련됐는지, 아니면 단지 의심을 받고 있는 자신을 보호하려 한 건지. 최우진 위에 또 누군가가 있는지. 그는 알지 못했다.
그날 밤 그는 집에서 금융감독원과 개인정보보호위원회의 공익신고 창구를 오랫동안 바라봤다. 신고자 보호 규정이 어떻게 적용되는지 읽었다. 변호사 비용이 얼마나 드는지 대략 계산했다. 예금 잔액이 얼마인지 확인했다.
USB 드라이브는 서랍 안에 있었다. 그는 잠들지 못했다.
사흘 후 아침, 그는 출근하며 건물 로비에서 최우진과 마주쳤다.
최우진은 그를 보고 자연스럽게 고개를 끄덕였다. 매일 하는 것처럼. 평범한 아침의 평범한 인사. 한재원도 고개를 끄덕였다.
엘리베이터 문이 닫혔다.
그 순간 한재원은 결정했다. 결정이라고 부를 수 있다면. 정확히는, 결정을 더 이상 미루지 않기로 했다는 것에 가까웠다.
점심시간, 그는 회사 밖 카페에서 개인 노트북을 열었다. 파일을 첨부하고 수신처를 입력했다. 금융감독원 공익신고 이메일, 개인정보보호위원회 신고 창구, 그리고 사이버 보안 전문 기자 한 명. 제목을 적었다. 본문을 적었다. 전송 버튼 위에 손가락이 놓였다.
카페 밖으로 사람들이 점심을 먹으러 지나갔다. 누군가 웃으며 전화를 받고 있었다. 비둘기 한 마리가 차도 쪽으로 걸어가다 멈췄다.
그는 버튼을 눌렀다.
이메일이 전송됐다는 알림이 떴다. 그는 노트북을 닫고 커피를 한 모금 마셨다. 맛이 잘 느껴지지 않았다.
무슨 일이 일어날지 그는 알지 못했다.
신고가 받아들여질지. 조사가 시작될지. 자신의 이름이 언제 어떤 방식으로 드러날지. 가디언넷이 어떻게 반응할지. 박성민이 그것을 알게 됐을 때 어떤 얼굴을 할지.
그는 회사로 돌아갔다. 자리에 앉아 모니터를 켰다. 오후 업무가 기다리고 있었다. 로그 파일, 패턴 분석, 보고서. 모든 것이 어제와 같았고, 아무것도 같지 않았다.
창밖으로 서울의 오후가 진행되고 있었다. 한재원은 키보드에 손을 얹었다.
깜빡이는 형광등은 여전히 교체되지 않은 채 빛을 내고 있었다.
본 글은 정보 제공 목적이며 투자 권유가 아닙니다.