Windows를 사용하신다면, 노트북이 귀하를 감시하고(새 창) 있다는 사실을 아마도(새 창) 최소한(새 창) 어렴풋이나마 알고(새 창) 계실 것입니다. 이번 주 우리는 도처에 존재하는 Microsoft의 운영 체제가 개인정보(새 창)를 실제로 얼마나 침해하는지(새 창)에 대한 구체적인 경고를 받았습니다.
악명 높은 범죄 해킹 그룹 Scattered Spider(새 창)의 조직원으로 의심받는 19세의 피터 스토크스(Peter Stokes)는 핀란드에서 미국으로 인도되어 “명품 보석 소매업체인 F사”를 해킹한 혐의로 기소되었습니다.
하지만 이 사건에서 흥미로운 점은 그가 어떻게 붙잡혔는가 하는 점입니다.
스파이웨어로서의 Windows
FBI의 형사 고발장(새 창)에 따르면, 스토크스는 자신의 온라인 활동을 숨기기 위해 VPN을 사용했습니다. VPN은 귀하가 방문하는 웹사이트로부터 실제 IP 주소를 숨기고 ISP로부터 온라인 활동을 숨겨주므로, 이는 일반적으로 현명한 선택으로 여겨집니다. 하지만 그는 Windows를 사용하는 치명적인 초보적 실수를 저질렀습니다.
사법 당국은 스토크스의 컴퓨터가 ngrok를 의심스러운 방식으로 사용했다는 Microsoft의 기록을 통해 그를 식별했습니다. ngrok는 “F사의 네트워크 방어망을 우회하고 F사 데이터 센터에 대한 지속적인 무단 접근을 활성화”하는 데 사용된 웹 개발 터널링 도구입니다.
Microsoft는 기기에서 Windows 운영 체제 설치를 고유하게 식별하도록 설계된 “기기 수준 식별자”인 글로벌 기기 식별자(GDID) 덕분에 스토크스의 컴퓨터를 식별할 수 있었습니다.
다시 말해, 모든 Windows 설치본에는 Microsoft가 기기(가상 기기 포함)를 식별하고 원격 측정 데이터를 수집(새 창)하는 데 사용할 수 있는 GDID가 있습니다. Windows를 재설치하면 해당 기기에 대한 새로운 GDID가 생성되지만, Microsoft 시스템에서 기존 GDID가 삭제되지는 않으므로 여전히 기기 식별에 사용될 수 있습니다.
그 후 Microsoft는 이 정보를 제3자에게 전달했습니다.
FBI가 Microsoft에서 제공한 정보를 활용한 방법
이 증거만으로는 범죄를 스토크스와 연결하기에 충분하지 않았지만, GDID를 파악한 덕분에 FBI는 그의 기기가 그동안 접근했던 IP 주소의 이력을 확보할 수 있었습니다. 해당 IP가 구체적으로 피터 스토크스의 소유임을 증명하기 위해 수사관들은 이 IP 이력을 Apple, Snapchat, Facebook, 그리고 그의 Growtopia 게임 로그인을 포함하여 그의 소유로 알려진 계정의 로그인 기록과 교차 대조했습니다.
고발장에 따르면, GDID를 스토크스의 소유로 알려진 계정과 연결한 덕분에 보석업체 해킹에 사용된 GDID가 스토크스 소유의 기기에 속해 있음이 증명되었습니다.
이런 방식으로 식별된 IP 주소 중 하나가 뉴욕의 한 호텔의 것이었고, 수사관들이 이 호텔 내부가 스토크스가 100달러 지폐 뭉치로 얼굴을 가린 채 찍은 Snapchat 셀카에 보이는 모습과 일치한다고 밝힌 점은 그의 재판에 전혀 도움이 되지 않을 것으로 보입니다.
이것이 나머지 우리에게는 어떤 의미가 있을까요?
먼저 강조해야 할 점은, 이번 사례의 경우 시스템이 의도한 대로 작동했다는 것입니다.
스토크스는 2022년 이후 100건 이상의 기업 침입을 통해 1억 달러가 넘는 몸값 지불과 연관된 공모, 사이버 침입, 사기 등의 혐의를 받고 있습니다. FBI의 Microsoft 데이터 사용은 법원 명령과 소환장을 요구하는 법적 테두리 안에서 이루어졌습니다.
그러나 GDID는 사용자 동의와 귀하가 비용을 지불한 하드웨어를 실제로 누가 소유하는지에 대한 중요한 의문을 제기합니다. 귀하가 기기에서 GDID 수집에 동의하라는 요청을 받은 적은 없으며, 이를 쉽게 삭제할 방법도 없습니다. Windows를 완전히 재설치하더라도 이는 부분적인 해결책일 뿐입니다.
Microsoft의 광범위한 온라인 문서 중 GlobalDeviceId는 일반 사용자가 읽을 가능성이 거의 없는 극히 모호한 기술 문서에 단 한 번 파묻혀(새 창) 언급되어 있을 뿐입니다.
하지만 macOS, Android, iOS 등 다른 모든 주요 상용 운영 체제 역시 기기를 해당 제조업체에 고유하게 식별할 수 있다는 점은 거의 확실하며, 이는 사실입니다. 안타까운 점은 우리 대부분이 이러한 상황을 단순히 받아들이고 있다는 것입니다.
이를 원치 않는 사람들에게 유일한 실질적인 해결책은 Linux와 같은 오픈 소스 운영 체제를 사용하는 것뿐입니다.
