[해킹의 경제학①] '어둠의 산업' 해킹…돈되는 병원·금융사 노린다

[이데일리 안유리 기자] 사이버 범죄 시장에서도 정보의 희소성과 활용 가치가 가격을 결정하는 경제 원리가 작동한다. 해킹 및 사이버 보안 범죄가 분업·산업화되면서 유출된 개인정보가 다크웹 등 불법 시장에서 하나의 상품처럼 거래되고 있다.

캐나다 사이버보안 기업 플레어(Flare)에 따르면 다크웹에서 거래되는 이메일 주소의 건당 추정 가격은 약 0.83달러(약 1000원)인 반면 개인 의료정보는 약 300달러(약 45만원)으로 추산됐다. 같은 개인정보라도 종류와 활용 가치에 따라 수백 배의 가격 차이가 발생하는 셈이다. 금융거래에 사용되는 개인식별번호(PIN) 역시 건당 약 196달러로 높은 가격에 거래되는 것으로 추산됐다.

과거에는 확보하기 어려웠던 이메일 주소와 전화번호 등 개인정보가 대규모 유출 사고로 흔해지면서 가격도 낮아졌다. 반면 의료정보나 금융정보, 기업 내부 시스템 접근 권한 등 민감하고 활용 가치가 높은 정보는 여전히 고가에 거래되고 있다.

해커들은 공격 대상을 선택할 때 예상 수익과 침투 난이도, 비용 등을 고려한다. 그간 정보보호 수준이 낮은 제조 및 중소기업이 주된 공격 대상이 되어왔던 이유이다. 하지만 인공지능(AI)을 이용한 공격 자동화와 해킹 인프라의 확산으로 과거 공략이 어려웠지만, 높은 가격에 거래되는 민감정보를 보유한 병원·금융사 등의 사이버 위협을 부추길 수 있다는 우려가 나온다.

황석진 동국대학교 국제정보보호대학원 교수는 “금융이나 의료 정보는 기존 다크웹에 있는 이메일 등 범용 정보보다 최신성이 있기 때문에 높은 가격에 거래가 되고 있다”면서 “범죄자 입장에서는 더 많은 이익을 남길 수 있기 때문에 향후 더 많은 공격이 이뤄질 수 있다”고 우려했다.

김혁준 나루씨큐리티 대표는 “사이버 위협은 공격 의도와 실행 능력이 만날 때 실제로 일어난다”면서 “예전부터 이익을 노리는 의도는 있었지만, 목표를 조사하고 시스템의 약점을 찾으며 반복 작업을 하려면 사람·시간·기술이 필요했으나 AI는 이런 진입 장벽을 많이 낮춘다”고 말했다.