손모씨(39)는 지난해 10월 6개월 동안 만나온 여자친구 김모씨(35)와 결혼하기로 했다. 신혼집을 구하고 결혼 반지 등을 맞추며 차근차근 결혼을 준비하고 있었다. 그러나 한 가지 마음에 걸리는 게 있었다. 김씨의 가족관계와 나이, 사는 곳 등을 제외하면 그의 신상에 대해 아는 것이 많지 않았기 때문이다. 그러던 중 우연히 인터넷에 ‘당신의 아내와 여자친구의 비밀을 캐드립니다’는 문구의 홈페이지를 발견했다. 흥신소 운영업자 이모씨(46)는 손씨에게 김씨가 가입한 통신사, 주민번호 앞자리, 휴대폰 번호만 갖고 있으면 통신사 위성위치추적시스템(GPS)을 통해 그의 행적을 파악할 수 있다고 은밀히 제안했다.

경찰은 지난 21일 위치정보를 이용, 불륜 관계를 파헤치거나 잠적한 채무자를 찾은 혐의(정보통신망법 위반 등)로 이씨 등 3명을 구속했다. 이씨는 국내 이동통신사 가입자의 정보를 제한 없이 조회할 수 있는 프로그램을 해커 신모씨(38)로부터 200만원에 넘겨 받아 사용한 것으로 드러났다.

국내외 가입자만 5000만명을 넘어선 대표적 모바일 메신저 서비스인 카카오톡이나 마이피플, 틱톡 등의 메시지 내용 확인은 물론, 인터넷 쇼핑몰 등 경쟁 업체의 홈페이지를 초토화시키는 디도스(DDoS·분산서비스거부) 공격을 대행해주는 사이버상 청부업체인 ‘IT(정보기술) 흥신소’가 독버섯처럼 생겨나고 있다. 오프라인에서 사생활 뒷조사를 하거나 행방이 불분명한 사람을 찾아주는 등 온갖 궂은 일을 대행해주던 ‘심부름센터(흥신소)’가 사이버상으로 진화하는 것. 전문가들은 단속의 손길이 느슨한 틈을 타 최근 1~2년 새 이런 청부업체 100여곳이 성업하고 있는 것으로 추정했다. 이들 업체에 3~5명의 ‘블랙해커(고의적으로, 불법적으로 인터넷 시스템을 파괴하는 해커)’가 소속돼 있어 최대 500명가량의 이들이 IT 흥신소에서 일하는 것으로 알려졌다.

IT 흥신소는 자체 홈페이지에다 상담원까지 운영하면서 사이버 범죄 의뢰를 받는 대담함을 보이고 있다. 선거관리위원회 홈페이지 디도스 공격과 같은 일이 민간 개인들 사이에서 거래되는 것이다. 하지만 이들 업체는 국내 수사기관의 손길이 미치지 않는 중국이나 필리핀 등지의 서버를 이용하고 있어 단속이 쉽지 않다. 경찰은 실태 파악도 하지 못하고 있다.

○800만원 내면 경쟁업체 홈페이지 초토화

취재팀은 21일 오후 IT 흥신소를 운영하는 B씨와 접촉, 이 같은 청부 디도스 공격이 가능한지 알아봤다. 실시간 상담게시판에 “온라인 쇼핑몰을 운영하고 있는데 경쟁 쇼핑몰에 디도스 공격을 하고 싶다”는 글과 연락처를 남겼다. 1분도 안 돼 발신자 미상의 전화 한 통이 걸려왔다. B씨는 “우선 해당 사이트의 주소를 알려달라”며 “확인 뒤에 가격이나 소요 시간을 알려주겠다”고 말했다.

인터넷 보안업체 큐브피아의 권석철 대표는 “사이트의 보안 수준을 확인해보고 가격을 결정하는 것”이라며 “불법이다 보니 위험 프리미엄이 붙어 보수가 높아지고 해커들도 지속적으로 유입되는 상황”이라고 귀띔했다.

한 시간이 지나자 B씨에게서 다시 연락이 왔다. 해당 홈페이지에 디도스 공격이 가능하다며 흥정에 나섰다. B씨는 “디도스 공격에 이용하는 바이러스에 감염된 PC가 ××××마리(1000대 이상의 컴퓨터가 디도스 공격에 동원된다는 의미)”라며 “이 정도면 업계 최고 수준”이라고 설명했다. 해당 사이트를 하루에 12시간 공격해주는 대가로 200만원을 제시했다. 그는 “1주일에 3~4일 정도, 이틀에 한 번꼴로 공격하면 해당 쇼핑몰을 찾는 고객은 완전히 사라질 것”이라며 “나흘을 요구하면 하루 정도는 공짜로 해줄 수 있다”고 제안했다.

○타인 문자·카카오톡 메시지 보는 데 120만원

“일단 아내 분 휴대폰에 저장돼 있는 통화내역, 문자·카카오톡 메시지 내용, 위치정보 등을 전송받을 수 있는 ‘클라이언트 프로그램’을 선생님 PC나 휴대폰에 설치해야 합니다. 그 다음엔 저희가 알아서 해드릴 게요. 착수금(50%)을 입금하고 2시간만 기다리면 바로 보실 수 있어요.”

또 다른 IT 흥신소인 P업체 관계자의 설명은 충격적이었다. 인터넷 쇼핑몰 등 경쟁 업체에 심각한 피해를 주기 위한 디도스 공격 외에 휴대폰 통화내역은 물론 문자나 카카오톡 메시지 내용 등 개인의 사생활도 적나라하게 확인해주는 서비스도 가능하다는 것.

이곳에선 대가로 120만원을 제시했다. 상대방이 쓰는 휴대폰 통신사와 전화번호, 주민번호 앞자리만 알려주면 언제 어디서 누구와 무슨 대화를 나눴는지 속속들이 알 수 있다는 것. 권 대표는 “일반인이 봤을 때 기술적으로 불가능해 보이지만 통신사 서버에 접근할 수 있다면 어렵지 않다”며 “서버에 접근하는 것 자체가 어렵기 때문에 착수금만 받고 잠적하는 가짜 흥신소도 있다”고 말했다.

IT 흥신소는 이 밖에도 특정 인터넷 홈페이지를 해킹해 고객 정보를 빼온다. 홈페이지 보안 정도에 따라 가격은 다르게 매겨지지만 보통 해킹은 500만원, 디도스 공격은 하루에 200만원 내외로 책정돼 있다. 인터넷 포털에서 해킹한 주민번호 등 개인정보도 건당 1500원가량에 거래한다. 의뢰인이 이름과 주민번호, 아이디만 알고 있으면 특정인이 사용하는 주요 인터넷 포털의 비밀번호를 알려주는 일도 한다.

경찰 관계자는 “지난 2월 경쟁 유명 인터넷 쇼핑몰 운영업체 홈페이지를 디도스 공격했던 사람을 붙잡은 사례가 있었다”며 “일반인들이 죄의식 없이 전문 해커에게 사주해 사이버 공격을 저지르는 일이 늘고 있다”고 설명했다. 권 대표는 “블랙해커들이 돈을 목적으로 사이버 생태계를 교란하고 있다”며 “이를 막을 근본 대책이 없으면 해킹이나 디도스 공격 같은 범죄가 늘어날 것”이라고 지적했다. 경찰청 사이버테러대응센터에 따르면 지난해 해킹·바이러스 유포 등으로 적발된 사례는 1만299건. 디도스 공격을 받았다고 한국인터넷진흥원에 신고한 사람은 194명이었다. 지난해 디도스 공격을 피해 ‘사이버대피소’를 이용한 업체도 100여곳에 달한다.

○경찰, “생소한데요”…실체조차 파악 못해

경찰은 독버섯처럼 번져나가는 IT 흥신소의 실태조차 파악하지 못하고 있었다. 취재팀이 경찰청(본청)과 한국인터넷진흥원 해킹·디도스 담당자에게 문의했으나 대체로 “생소하다”는 반응이었다.

지난해 1월 비슷한 사건을 수사했던 경기지방경찰청 사이버수사대 관계자는 “IT 흥신소가 있다 해도 (범죄 사실이 드러나지 않은 상황에서) 이를 관리감독할 법적 근거가 없다보니 마구잡이식으로 생기고 있다”고 지적했다. 18대 국회에서 탐정 활동을 양성화하고 정식으로 신고해서 영업할 수 있도록 하는 내용의 ‘민간조사업법’이 상정됐지만 통과되지 못했다. 인터넷 보안 전문가들은 IT 흥신소를 막기 위해서는 보다 강력한 단속과 제재가 필요하다고 강조했다. 손남흔 고려대 포렌식 연구센터 연구원은 “해외에 서버를 두고 디도스 공격 등을 한다면 경찰이 추적하기가 쉽지 않다”며 “경찰에 의존하기 전에 각자의 홈페이지와 휴대폰 등의 보안을 철저히 해야 한다”고 말했다.

- 한국경제