크래커의 공격 방식과 방어 체계 이해
크래커의 동기와 기술 수준, 침투·침투 후 공격 기법, 방어 체계와 주요 보안 사건을 실무 관점에서 정리한다.
2026-08-14 · 최초 발행 2025-05-26
크래커는 왜 보안 위협의 주체로 분류되는가
크래커(Cracker)는 컴퓨터 보안 시스템에 불법으로 침입하거나 이를 파괴하는 행위를 하는 사람을 가리킨다. 해커라는 말과 혼용되기도 하지만, 해커는 본래 컴퓨터 시스템을 깊이 이해하고 탐구하는 기술자를 뜻한다. 반면 크래커는 시스템 침입, 데이터 절취, 서비스 방해처럼 악의적인 목적의 불법 행위를 수행하는 주체다.
방어 체계를 설계할 때는 공격 기술만 볼 일이 아니다. 공격자가 무엇을 노리고 어떤 방식으로 접근하는지 파악해야 기술적 통제와 운영 절차를 맞출 수 있다.
동기와 역량에 따라 달라지는 공격자
금전적 이득을 추구하는 크래커는 개인정보 탈취, 계좌 해킹, 랜섬웨어 배포를 통해 수익을 노린다. 2017년 워너크라이(WannaCry) 랜섬웨어 공격은 전 세계 15만 대 이상의 컴퓨터를 감염시키고 비트코인 형태의 몸값을 요구한 사례다.
정치적 메시지나 이념 실현을 목적으로 기관과 정부 시스템을 공격하는 핵티비스트도 있다. 어나니머스(Anonymous) 그룹의 정부 기관 웹사이트 공격이 여기에 해당한다. 도전 의식이나 호기심, 스릴을 이유로 침투를 시도하는 유형도 있으며, 1983년 영화 《워 게임(War Games)》에 영감을 받은 청소년들의 해킹 시도가 예로 언급된다. 기업 비밀과 지적재산을 노리는 기업 스파이는 경쟁사의 신제품 설계도나 마케팅 전략 유출을 목표로 한다.
기술 수준도 위험도에 영향을 준다. 스크립트 키디(Script Kiddie)는 기존 도구와 스크립트에 의존하는 초보 공격자다. 엘리트 크래커(Elite Cracker)는 제로데이 취약점을 발견하고 활용할 수 있는 고급 기술을 갖춘 전문가를 뜻한다. 사이버 용병(Cyber Mercenary)은 고용주를 위해 특정 대상을 공격하는 고숙련 공격자다.
최초 침투에서 권한 장악까지
초기 침투는 사람, 계정, 시스템의 취약점 가운데 하나를 노리는 방식으로 시작된다. 사회공학(Social Engineering)은 인간 심리를 이용해 정보를 얻는 기법이며, 피싱(Phishing), 스피어 피싱(Spear Phishing), 스미싱(Smishing)이 대표적이다. 기업 CEO를 사칭한 이메일로 직원에게 계정 정보를 요구하는 방식이 한 예다.
패스워드 크래킹은 사용자 계정의 비밀번호를 알아내는 공격이다. 무차별 대입 공격(Brute Force), 사전 공격(Dictionary Attack), 레인보우 테이블 활용 등이 포함된다. 2012년 LinkedIn 해킹 사건에서는 해시된 비밀번호 6백만 개가 유출됐다.
취약점 스캐닝은 자동화 도구로 시스템의 취약점을 탐색하는 방식이다. Nmap, Nessus, OpenVAS 등이 활용될 수 있다.
침투에 성공한 뒤에는 일반 사용자 권한을 관리자 권한으로 높이는 권한 상승(Privilege Escalation), 재접속을 위한 백도어 설치, 정상 프로그램으로 위장한 트로이 목마 설치가 뒤따를 수 있다. 중요 정보를 외부로 보내는 데이터 추출과 침입 흔적을 없애는 로그 삭제도 침투 후 활동에 포함된다.
방어는 통제를 겹치고 운영으로 유지한다
다중 방어 체계(Defense in Depth)는 방화벽, IDS/IPS, 엔드포인트 보안 솔루션처럼 여러 통제를 겹쳐 배치하는 접근이다. 하나의 통제가 우회되더라도 다음 계층이 공격을 막거나 탐지할 수 있도록 구성한다.
취약점 관리는 정기적인 보안 패치 적용과 취약점 스캐닝, 모의해킹(Penetration Testing)을 포함한다. 접근 통제에서는 최소 권한 원칙(Principle of Least Privilege)을 적용하고 다중 인증(MFA)을 도입한다.
기술 통제만으로는 충분하지 않다. 정보보안 정책·절차·지침을 마련하고 정기 보안 감사를 수행해야 한다. 직원 대상 보안 인식 교육과 사회공학 공격 대응 훈련도 필요하다. 사고 대응팀(CERT)을 운영하고 사고 대응 프로세스를 정립해 훈련하는 일 역시 방어 체계의 일부다.
보안 사건이 남긴 운영상 교훈
2017년 이퀴팩스(Equifax) 데이터 유출 사건에서는 Apache Struts 웹 프레임워크의 취약점이 이용돼 1.45억 명의 개인정보가 유출됐다. 패치되지 않은 취약점 공격으로 내부 네트워크에 침투하고 데이터베이스에 접근한 사례로, 적시 패치 관리, 네트워크 세그먼테이션, 민감 데이터 암호화의 필요성을 보여준다.
2014년 소니 픽처스 해킹 사건은 북한 연계 해커 그룹 '가디언즈 오브 피스'에 의한 대규모 공격이었다. 스피어 피싱과 악성코드 배포를 통해 내부 시스템을 장악한 뒤 데이터를 유출하고 파괴했다. 이메일 보안, 내부자 위협 대응, 데이터 백업이 핵심 교훈으로 남았다.
2015년 우크라이나 전력망 공격에서는 러시아 연계 해커 그룹의 공격으로 23만 명이 정전을 겪었다. 스피어 피싱으로 초기 침투한 뒤 산업제어시스템(ICS)을 장악하고 원격 제어를 수행했다. 주요 기반시설에서는 IT/OT 네트워크 분리와 백업 제어 시스템이 필요하다.
허가와 목적이 구분선을 만든다
화이트햇(White Hat)은 윤리적 해커로서 취약점을 발견한 뒤 제조사에 보고한다. 버그 바운티 프로그램 참여자와 보안 연구자가 예다. 블랙햇(Black Hat)은 악의적 목적으로 시스템에 침입하는 크래커를 의미하며, 개인정보 유출과 랜섬웨어 배포 같은 범죄 활동을 수행한다.
그레이햇(Grey Hat)은 윤리적 경계에 놓인 활동을 한다. 허가 없이 시스템에 침투한 뒤 취약점을 보고하는 행위가 이에 해당한다.
방어 환경에서 함께 보는 변화
AI 기반 보안은 이상 행동 탐지와 위협 인텔리전스 자동화에 활용된다. 제로 트러스트 모델은 “신뢰하지 말고 항상 검증”한다는 원칙을 적용한다. 분산 환경이 확대되면서 클라우드 보안 관리의 중요성도 커지고 있다.
DevSecOps는 개발 초기 단계부터 보안을 통합하는 접근이다. 양자 컴퓨팅 시대를 대비한 새로운 암호화 기법 연구도 이어지고 있다.
크래커 활동은 국경을 넘기 때문에 사이버범죄 조약인 부다페스트 협약을 통한 국제 공조가 요구된다. 국내에서는 정보통신망법, 개인정보보호법 등이 해킹 행위를 처벌한다. 다만 국경을 넘는 공격의 수사와 기소에서는 사법 관할권 문제가 남고, 공격자의 익명성은 추적과 신원 확인을 어렵게 만든다.