다크웹, 그게 뭔데 — 내 개인정보는 거기서 얼마에 팔리나

 

이게 뭔데 — 내 이메일·비밀번호가 커피 한 잔 값에 팔린다

지금 이 순간에도 누군가의 이메일·비밀번호·카드번호가 인터넷 어딘가에서 헐값에 사고팔린다. 장소는 '다크웹(dark web)'. 이름부터 으스스한데, 정체를 알고 나면 생각보다 별거 아니면서 동시에 꽤 무섭다.

먼저 흔한 오해부터 깨자. 인터넷은 3층 건물이라고 보면 쉽다.

• 표층웹: 구글·네이버에 검색되는 곳. 우리가 '인터넷'이라 부르는 그거. 근데 이게 사실 빙산의 일각이다.
• 딥웹(deep web): 검색엔진에 안 잡히는, 로그인·결제 뒤에 숨은 콘텐츠. 놀라지 마시라. 당신의 온라인뱅킹 잔고 화면, 회사 인트라넷, 웹메일 받은편지함이 전부 딥웹이다. 인터넷의 대부분(추정 90% 이상 — 이 수치 자체가 2000년대 초 어림짐작이라 대략치다)이 여기다.
• 다크웹: 딥웹 중에서도 Tor 같은 특수 프로그램으로만 들어가는 암호화된 뒷골목.

여기서 핵심. 딥웹과 다크웹은 같은 말이 아니다 — 이 둘의 차이를 헷갈리는 사람이 정말 많다. 딥웹이 훨씬 넓고 그 대부분은 지극히 평범하며(당신 이메일함처럼), 다크웹은 그 밑바닥 어두운 균열 하나일 뿐이다. Tor(토르, 양파라우터)는 접속 트래픽을 여러 대의 컴퓨터를 거쳐 암호화해 돌려서 누가 어디서 들어왔는지 추적을 어렵게 만드는 도구다. 그래서 익명의 뒷거래가 여기 모인다.

으스스한 이미지와 달리 다크웹은 의외로 좁다. 보안기업 레코디드퓨처가 2019년 실제로 크롤링해봤더니 살아 있는 다크웹 사이트는 8,400여 개뿐이었다. 표층웹 도메인(약 2억 개)의 0.005% 수준. 영화에선 거대한 지하제국처럼 나오지만, 실측하면 동네 뒷골목 규모다.

근데 내 정보가 어떻게 거기까지 가 — 소매치기는 대개 '악성코드'다

내 정보가 다크웹에 오르는 경로는 여러 갠데, 요즘 제일 흔한 건 인포스틸러(정보탈취 악성코드)다. 크랙 게임, 정체불명 무료 프로그램, 피싱 메일 첨부파일 같은 걸 무심코 열면 조용히 깔려서 — 브라우저에 저장해둔 비밀번호, 자동로그인 정보, 쿠키, 카드번호를 통째로 긁어 공격자에게 보낸다. 남의 주머니를 터는 소매치기인데, 당신은 털린 줄도 모른다.

규모가 만만찮다. 보안기업 카스퍼스키 추정으로 2024년 한 해 약 2,100만 대의 기기가 인포스틸러에 감염됐을 수 있고, 감염 14건 중 1건꼴로 은행카드 정보가 샜다. 이렇게 턴 계정들은 로그 파일 하나에 평균 50개꼴로 담겨, 다크웹에서 도매로 넘어간다. (전부 카스퍼스키 텔레메트리 기반 추정치다.)

그다음이 판매다. 다크웹 장터는 겉모습이 의외로 쿠팡을 닮았다. 상품 목록이 있고, 판매자 평점이 있고, 장바구니가 있다. 다른 점은 상품이 남의 계정·카드·신분증이고 결제가 암호화폐라는 것뿐. 구체적으로 어디에 어떻게 접속해 사는지는 여기 안 적는다. 그 자체가 범죄니까.

그래서 얼마냐. 솔직히 딱 떨어지는 '정가표'는 없다. 다크웹 가격을 추적하는 프라이버시어페어스가 2023년 '다크웹 가격 지수'를 냈는데, 해킹된 계정이나 카드 정보가 대체로 몇 달러에서 수십 달러 수준이다. 인터넷에 흔히 도는 "신용카드 한 장 15달러" 같은 숫자는 원 출처가 흐릿해 곧이곧대로 믿긴 어렵고. 확실한 건 하나다. 당신 인생을 통째로 흔들 정보가, 충격적으로 싸다는 것.

그럼 아무도 못 잡나 — 세계 최대 장터도 결국 문 닫았다

익명이라 무법지대일 것 같지만, 큰 건은 잡힌다. 2017년 7월, 미국 FBI를 비롯한 각국 수사기관이 당시 세계 최대 다크웹 장터 '알파베이(AlphaBay)'를 압수했다. 2년 넘게 굴러가며 암호화폐로 거래액 10억 달러를 넘겼고, 이용자 20만 명·판매자 4만 명에, 도난·위조 신분증과 해킹툴만 10만 건 넘게 올라와 있던 곳이다. 운영자 알렉상드르 카제스는 체포 일주일 뒤 태국 구치소에서 숨진 채 발견됐다.

교훈은 이렇다. 완벽한 익명은 없다. 양파 껍질도 실수 한 번이면 벗겨진다. 물론 하나 문 닫으면 다른 장터가 생기는 두더지잡기이긴 하다. 그래도 '영원히 안 걸린다'는 건 환상이다.

그래서 난 뭘 조심해 — 오늘 저녁 10분이면 '싸구려 매물'에서 벗어난다

다크웹에 한번 풀린 정보는 보이스피싱·명의도용 같은 2차 피해가 되어 돌아온다. (그 보이스피싱이 요즘 어떻게 사람을 속이는지는 보이스피싱, 그게 뭔데 편에서 따로 다뤘다.) 다크웹 자체를 없앨 순 없어도, 내 정보를 '털어봐야 안 열리는 금고'로 만드는 건 할 수 있다.

① 먼저 내 개인정보가 유출됐는지 확인한다. 국내는 개인정보보호위원회와 KISA가 함께 운영하는 털린 내 정보 찾기 서비스(kidc.eprivacy.go.kr) — 내 아이디·이메일·비밀번호가 다크웹 등에 떠도는지 확인해준다. 구글·인스타 같은 해외 계정은 Have I Been Pwned(haveibeenpwned.com)에 이메일을 넣으면 어떤 유출 사고에 걸렸는지 무료로 알려준다.

② 인포스틸러에 안 걸리는 게 8할이다. 크랙·정체불명 프로그램, 수상한 첨부·링크는 열지 않는다. 감염이 안 되면 애초에 팔릴 정보가 안 생긴다.

③ 비밀번호 재사용을 끊는다. 하나 털리면 같은 비번 쓰는 곳이 도미노로 넘어간다. 마스터키 하나로 집·회사·차 문을 다 열어두는 셈이다. 비밀번호 관리자를 쓰면 편하다.

④ 2단계 인증(2FA)을 켠다. 비번이 팔려나가도 문자·앱 인증이 한 겹 더 막아준다. 가성비로 이만한 방어가 없다.

이미 털린 것 같으면, 그 비번을 쓰는 곳을 전부 바꾸고 2단계 인증을 걸고, 카드가 걸렸으면 카드사에 재발급을 요청한다. 개인정보 침해 신고·상담은 국번 없이 118(KISA, 평일 9~18시)로 하면 된다.

다크웹은 없앨 수 없는 뒷골목이다. 하지만 거기 걸린 내 정보가 '커피 한 잔 값 매물'이 되느냐 '열어봐야 소용없는 빈 금고'가 되느냐는, 오늘 저녁 10분에 갈린다.

🔎 대신 파봄, 이런 것도 파봤어요

▸ 이 시리즈 더 보기 — 그게 뭔데

▸ 비하인드 스토리 — 그 기업·그 사람의 뒷얘기

▸ 데이터로 까본다 — 숫자로 궁금증 해소

▸ 직업탐방 — 그 직업, 실제로 어떻게 벌어먹나

🔔 새 글이 올라오면 받아보고 싶다면 — 이 블로그 상단의 '구독' 버튼을 눌러 팔로우해 주세요.