다크웹과 사이버 범죄 생태계 — 해커들은 어디서 어떻게 협력하는가

사이버 범죄는 혼자가 아닌 생태계 안에서 분업과 협업으로 이루어진다. 악성코드 개발자, 익스플로잇 판매자, 봇넷 운영자, 자금 세탁 전문가가 각각 역할을 나누어 움직이는 완성된 지하경제가 형성되어 있다.

다크웹 마켓의 구조

Tor 네트워크(.onion)를 통해 접근하는 다크웹 마켓은 사이버 범죄 도구·서비스의 주요 거래 장소다. Hydra Market 폐쇄(2022) 이후에도 RAMP, MGM Grand, Bohemia 등 신규 마켓이 지속적으로 등장했다.

해킹 포럼과 텔레그램 채널

XSS.is, Exploit.in, BreachForums(폐쇄·재개 반복) 같은 러시아어 해킹 포럼은 취약점 정보, 탈취 데이터, 악성코드 소스코드 공유의 장이다. 최근에는 다크웹보다 텔레그램 채널이 더 빠른 정보 유통 채널로 부상했다.

서비스형 사이버 범죄 (Crime-as-a-Service)

• RaaS (Ransomware-as-a-Service): 랜섬웨어 개발자가 플랫폼을 제공하고 어필리에이트가 공격 수행 후 수익 70~80% 분배
• MaaS (Malware-as-a-Service): 악성코드를 구독형으로 임대, 월정액 지불
• BEC 키트: 기업 이메일 사기에 필요한 템플릿·인프라 패키지 판매
• Initial Access Broker (IAB): 기업 내부망 접근 권한만 전문으로 탈취해 판매하는 브로커

위협 인텔리전스 활용 — 방어자가 다크웹을 모니터링하는 이유

기업들은 위협 인텔리전스 서비스를 통해 자사 정보가 다크웹에 유출되었는지 모니터링한다. 유출된 자격증명을 선제적으로 탐지하면 계정 탈취 공격을 사전 차단할 수 있다.

• 자사 도메인·이메일 주소 다크웹 유출 모니터링
• 자사 관련 공격 계획·타깃 토론 탐지
• 신규 악성코드·취약점 정보 조기 수집
• 침해지표(IoC) 수집으로 방어 규칙 선제 업데이트

보안에는 오래된 명제가 있다 — 방어자는 매번 성공해야 하지만 공격자는 한 번만 성공하면 된다. 위협 인텔리전스는 공격자의 준비 단계를 미리 관측함으로써 이 비대칭을 일부 상쇄하는 수단이다.