나이는 157세, 연봉은 1.41421356?

미래의 기업 데이터베이스. 한 고객의 나이는 '157세'로, 수입은 1.41421356'로 기록돼 있다. 엉터리 데이터다. 하지만 이 기업은 이런 엉터리 데이터를 이용해 마케팅에 필요한 고객 분류를 정확히 해내고 있다.

IBM이 현재 연구하고 있는 기술이 바람직한 것으로 판명된다면, 앞으로 고객의 개인정보는 이처럼 알 수 없는 난수로 기록, 보존될지도 모른다.

이 회사는 현재 '데이터 난수화(randomization)'로 불리는 고객 정보 데이터베이스 기법을 실험 중이다. 데이터 난수화를 사용하면 고객의 과거 구매기록이나 나이, 수입, 건강정보와 같은 데이터가 해독이 불가능한 난수화를 통해 변경된 채로 기업에 전송된다.

예를 들어 한 사용자가 온라인 쇼핑 사이트에 가입하면서 나이를 38세로 등록할 경우, 브라우저에 설치된 난수화 플러그인은 여기에 -25에서 112 사이의 임의의 숫자를 더한 후 이를 서버에 전송하는 것이다.

재미있는 점은 이렇게 원본에서 '변질된' 데이터에 난수화의 효과를 걸러낼 수 있는 엄청난 횟수의 연산을 가함으로써 '전체적인 패턴'을 읽어낸다는 것이다. (데이터가 난수화될 때 사용되는 숫자의 범위는 유한하기 때문에 이 데이터들을 모아 충분히 많은 횟수의 연산을 하면 그 범위를 파악해 분포도를 뽑을 수 있게 된다는 것.)

즉, 난수화를 거친 후에는 'A씨는 38세'라는, 한 개인에 대한 정확한 나이는 영원히 찾을 수 없게 되지만 대신 '38세 연령의 사용자들에게 우리 사이트가 얼마나 인기가 있나'와 같은 전체적인 패턴 정보는 매우 정확한 수준까지 파악할 수 있는 것이다.

이 연구를 이끌고 있는 IBM의 라케시 아그라왈은 "컴퓨터 과학에서는 '좋은 결과를 이끌어 내기 위해서는 정확한 데이터가 있어야 한다'는 것이 일반적인 관점이다. 따라서 데이터의 정확도를 고의로 변질시키는 이 기술의 기본적인 개념은 컴퓨터 과학 관점에서 일종의 이단이라고 할 수 있다"고 말했다.

데이터 난수화는 개인정보가 멋대로 유린되는 현재의 상황을 해결해줄 수 있는 하나의 방법을 제시하고 있다. 오늘날 기업과 각종 단체들이 고객의 개인정보를 수집하고 거래한다는 사실에 많은 사람들이 분노하고 있다.

사람들은 개인정보 기록과 이에 대한 추적 가능성을 불쾌하게 느끼고 있으며, 미국 연방거래위원회도 개인정보 보호에 우선순위를 둘 방침임을 밝힌 바 있다.

한편 기업들의 데이터 수집에 걸려들지 않기 위해 사람들은 자주 거짓말을 하지만, 제대로 먹히는 경우는 별로 없다고 한다. 기업들은 기본적인 데이터 패턴을 재구성할 수 있는 능력이 있다. 아그라왈은 "사람들은 거짓말에 능숙하지 못하다. 그들은 본질적으로 자신도 모르는 사이에 단서를 남긴다"고 말했다.

난수화 시스템은 베이지언(Bayesian) 확률을 이용해 서로 다른 값들 사이의 관계를 설정한다. 고객이 입력한 실제 데이터는 서버로 전송되기 전에 난수화된다.

기업에서는 전송된 데이터를 두고 원래 값에 어떤 난수 연산이 적용됐는지 알아낸다. 아그라왈은 "이러한 난수분포가 생성되기 위해 어떤 연산이 사용됐는지를 알아내는 것"이라고 말했다.

서버가 해당 데이터에 적용된 난수화 연산을 알아낸다면(예를 들어 이 데이터는 '원래 값에서 15에서 87 사이의 숫자를 더한 것'이라던가, '8에서 32 사이의 숫자를 뺀 것'이라던가 하는) 기업은 마침내 (각 개인에 대한 정보는 여전히 모른 채로) 필요한 고객 기반 정보를 정확히 보여주는 도표를 그릴 수 있게 된다.

IBM 내부에서 실행된 몇차례의 실험 결과, 재구성된 도표와 실제 데이터를 이용해 그린 도표의 차이는 2-3%에 불과했다고 한다.

아그라왈은 "다시 원본 분포로 돌아온다. 이것이 수학의 아름다움"이라며 "여기서 중요한 것은 좋은 모델을 구축하기 위해 반드시 정확한 데이터가 필요한 것은 아니라는 점"이라고 말했다.

여전히 실험이 진행되고 있는 단계지만 아그라왈은 이미 유용하게 사용될 수 있는 분야를 생각해냈다. 예를 들어 기업들은 자신이 가진 고객명단의 유출 위험 없이 데이터 풀을 구성할 수 있을 것이다.

결과적으로 네트워크 침입을 당할 경우의 위험성도 감소하게 된다.

사용자 입장에서는 개인정보를 지키기 위해 회원 가입 정보창에 거짓말을 입력하지 않아도 된다.

Michael Kanellos (CNET News.com)

2004.11.26

대기업은 물론 개인 인터넷 사용자들은 향후 10년 동안 최악의 보안 위협에 직면하게 될 것이다. 가트너에 따르면 사회 공학적인 측면의 교묘한 수법이 늘어나면서 IT 보안 방어막이 점차 무력화될 것이라고 경고했다.

정보통신 조사기관인 가트너는 '사회공학(social engineering)'이란 의미를 "기계적인 조작보다 사람에 의한 조작이 기업이나 소비자들의 보안 시스템을 성공적으로 파괴시키는 행위"라고 지난 달 31일 밝혔다. 즉, 기술을 이용한 인위적인 사기 행각을 의미하며 이는 사용자가 인식하지 못한 상태에서 링크를 눌러보게 하거나 첨부를 열어보게 하는 방식으로 범죄에 말려들도록 현혹시키는 수법이다.

가트너의 정보보안 및 위협 부문 책임 연구원인 리치 모걸은 이번에 발표한 자료에서 사회공학은 해킹보다 더욱 심각한 문제라고 지적했다.

리치 모걸는 "원래 사람이란 예측 불가능한데다 조작이나 설득에 걸려들기 쉽다. 각종 연구에서 인간은 행동 패턴 경향이 있는데 이는 치밀한 수법에 이용당할 가능성이 있음을 보여주고 있다"고 말하고 "보안 침해 피해를 당했으며 지속적으로 당할 가능성이 있는 대다수 경우는 기술적인 해킹이나 크래킹 때문이 아니라 사회공학에 기인한 것"이라고 지적했다.

모걸은 이러한 범죄 더욱 다양한 범죄가 새로운 기술을 사용해 '오래된 수법을 재창조'하고 있기 때문에 심각한 우려 사안이라고 말했다.

그는 또한 "불특정 다수의 개인정보를 악용해 이익을 추구하거나 기업의 정보를 수집하는 등 사회공학을 이용한 범죄가 이어지고 있다. 이는 단순히 사업을 방해하는 것에서 그치지 않고 불특정 다수의 개인 프라이버시까지 침해하고 있다"고 말했다.

호주와 뉴질랜드에서 활동중인 소포스 운영 이사인 롭 포시스는 최근 '악의적이고 치밀한' 수법이 호주 구직자들을 사기 대상으로 삼고 있다고 설명했다. 얼마전 잠재적 희생자들은 크레딧 쉬쎄 은행으로부터 구인 광고를 위장한 이메일을 받았다. 이 이메일에는 그레딧 쉬쎄의 실제 사이트와 거의 완벽하게 똑같은 웹사이트에 '구인'을 위한 입사 지원서 양식대로 입력할 것을 요구하는 내용이 담겨져 있었다.

포시스는 이 위조된 웹사이트는 전문가들조차 깜빡 속아 넘어갈 정도로 치밀하게 만들어져 있다고 밝혔다.

그는 "이런 사이트는 완전히 사기 사이트로 봐야 한다. 이 사이트는 결국 사기라는 사실이 필연적으로 드러나게 되지만 어찌됐든 상당한 수준의 기술적인 조합으로 만들어진 것이다. 범죄자들은 사회 구성원이 원하는 것을 찾고 그것을 노리고 있다. 이런 범죄에 가장 큰 피해를 입는 사람들은 분명 무엇인가 간절히 원하는 이들인 것이다'라고 지적했다.

가트너의 모걸은 "우리는 사회공학이 향후 10년 동안 단일 위협중 가장 큰 보안 위협이 될 것으로 본다"고 밝혔다.

Robert Lemos (CNET News.com)

2004.11.25

Munir Kotadia (ZDNet Korea)

2004.11.02