존재하지 않는 챔피언십에서 우승한 사나이: OSINT가 바꾸는 보안의 풍경

우승 트로피를 받았는데, 대회 자체가 가짜였다

이 이야기는 좀 황당하면서도 흥미로워요. Ron Stoner라는 보안 연구자가 어느 날 "OSINT 챔피언십에서 우승했습니다"라는 메일을 받았다고 해요. OSINT(Open Source Intelligence)가 뭐냐면, 인터넷에 공개된 정보들 — 트위터 게시물, 회사 홈페이지, 위성사진, 등기부등본 같은 — 을 모아서 의미 있는 정보를 만들어내는 기술이거든요. 보안 분야에서는 침투 테스트 전에 타겟 회사를 조사하거나, 사라진 사람을 찾거나, 사기 계정을 추적할 때 쓰입니다.

그런데 Ron이 받은 그 "챔피언십"은 사실 존재하지 않는 대회였어요. 누군가가 가짜 인증서를 만들어서 보내거나, 또는 비공식적인 커뮤니티 활동이 어쩌다가 "챔피언십"이라는 거창한 이름으로 부풀려진 케이스였죠. 그는 이 황당한 경험을 통해 OSINT라는 분야가 얼마나 검증되지 않은 자격증과 인플루언서들로 가득 차 있는지를 적나라하게 보여줍니다.

그가 한 것은 사실 진짜 조사였다

재미있는 건, Ron이 그 "가짜 챔피언십"을 받기까지 실제로 한 작업들은 진짜였다는 거예요. 그는 공개된 정보들만 가지고 어떤 사람의 신원, 위치, 활동 패턴을 추적해냈습니다. 인스타그램에 올린 사진의 EXIF 메타데이터(사진 파일 안에 숨어있는 촬영 시간, GPS 좌표, 카메라 모델 같은 정보예요)에서 위치를 뽑아내고, 배경에 보이는 간판이나 건물을 구글 스트리트뷰와 대조해서 정확한 주소를 찾아내는 식이었죠.

이런 기법을 흔히 "지오로케이션(geolocation)"이라고 부르는데, 우크라이나 전쟁 이후로 더 유명해졌어요. Bellingcat 같은 시민 조사 단체가 위성사진과 SNS 영상만으로 미사일 발사 지점이나 전쟁 범죄 현장을 특정해내면서 OSINT의 위력이 전 세계에 알려졌거든요.

자격증 인플레이션과 LinkedIn 보안 업계

Ron이 진짜로 지적하고 싶었던 건 보안 업계의 "자격증 인플레이션" 문제예요. LinkedIn에 들어가 보면 "Certified OSINT Professional", "Master Investigator" 같은 화려한 타이틀을 단 사람들이 넘쳐납니다. 그런데 그 자격증을 발급한 기관이 어디인지 추적해보면, 결국 한두 명이 운영하는 작은 회사이거나 본인이 직접 만든 인증 프로그램인 경우가 많아요.

이건 OSINT만의 문제가 아닙니다. AI 업계도 마찬가지예요. "Prompt Engineering Certified Expert" 같은 자격증이 우후죽순 생기고 있는데, 정작 그 자격증이 실무에서 어떤 의미를 갖는지는 아무도 검증하지 않거든요. 시장이 빠르게 성장할 때마다 이런 "자격증 장사"가 따라붙는 패턴이 반복됩니다.

OSINT 도구들은 어떻게 발전하고 있나

기술적으로 OSINT 도구들은 꽤 정교해지고 있어요. Maltego는 여러 데이터 소스를 그래프로 연결해서 사람-회사-도메인 관계를 시각화해주고, SpiderFoot는 자동으로 도메인이나 IP에 대한 정보를 수십 개 소스에서 긁어옵니다. 최근에는 LLM을 결합한 도구들도 나오고 있어요. 예를 들어 사진 한 장을 던지면 GPT-4 비전 모델이 "이건 부산 광안리 같은데, 배경의 다리 모양과 건물 배치로 봤을 때 광안대교 북쪽 해변에서 찍은 것 같다"고 추론하는 식이죠.

이게 무서운 게, 예전에는 전문 조사관 한 명이 며칠 걸려야 할 작업을 이제는 누구나 몇 분 만에 할 수 있게 됐다는 거예요. 이런 기술의 민주화는 좋은 일이기도 하지만, 동시에 스토킹이나 표적 사기 같은 악용 가능성도 폭발적으로 늘리고 있습니다.

한국 개발자에게 주는 시사점

국내에서도 OSINT는 점점 중요해지고 있어요. 보이스피싱 조직 추적, 가짜 쇼핑몰 적발, 채용 사기 검증 같은 영역에서 실무적으로 쓰이고 있거든요. 만약 보안이나 사기 탐지 쪽으로 커리어를 잡고 싶은 주니어라면, 화려한 자격증부터 따려고 하지 말고 실제로 공개 데이터로 작은 조사를 해보는 게 훨씬 가치 있습니다. 예를 들어 "내가 만든 회사 홈페이지로부터 어떤 정보가 외부에 노출될 수 있는지"를 직접 OSINT 관점에서 점검해보는 것만으로도 좋은 학습이 돼요.

그리고 개인 정보 관리 측면에서도 시사점이 큽니다. SNS에 무심코 올리는 사진 한 장이 누군가에게는 정밀한 추적 단서가 될 수 있어요. 출장 사진은 돌아온 뒤에 올린다거나, EXIF를 자동으로 제거하는 앱을 쓰는 습관 같은 게 점점 더 중요해지고 있죠.