우리의 가치관과 개인적인 동기

모두가 묻는 질문

"왜 무료로 이런 일을 하세요?"

이 질문은 우리가 끊임없이 듣는 질문입니다. 언론인들로부터, 보안 연구원들로부터, 적을 파악하려는 사기꾼들로부터, 그리고 왜 누군가가 수익화도 하지 않은 채 수년 동안 위협 인텔리전스 인프라를 구축하는지 도저히 이해할 수 없는 사람들로부터도 말이죠.

자, 여기 진실이 있습니다. 거침없이, 다소 불편할 수도 있지만, 여러분이 예상하지 못했을 법한 바로 그 내용입니다.

돈 없이 이루어지는 협업

대부분의 사람들이 우리에 대해 오해하고 있는 점이 하나 있습니다. 자유로워진다는 것이 고립된 상태를 유지한다는 뜻은 아닙니다.

우리는 협력합니다. 도구를 공유합니다. 다른 프로젝트가 성장할 수 있도록 돕습니다. 유료 프로젝트라도 — 진정으로 사회에 기여하고 사기 생태계를 약화시킨다면 말입니다.

하지만 바로 이 부분이 우리를 정의하는 것입니다:

우리는 이에 대해 단 한 푼도 받지 않습니다.

우리는 도구를 개발하는 소규모 연구자들을 지원해 왔습니다. 틈새 분야의 OSINT 프로젝트를 널리 알렸습니다. 상용 제품을 개발하는 분석가들과 정보를 공유해 왔습니다. 운영자, 개발자, 언론인, 독립 조사관 등 — 우리와 같은 사명을 공유하는 모든 이들을 도왔습니다.

경쟁은 없다 — 오직 조화만이 있을 뿐이다

우리는 누구와도 경쟁하지 않습니다. 애초에 경제에 진입하기를 거부하는 대상과는 경쟁할 수 없습니다.

PhishDestroy는 사기꾼들에 대한 전반적인 압박을 강화하기 위해 존재하는 것이지, 주목을 받기 위해 존재하는 것이 아닙니다.

다른 프로젝트에서 유용한 것을 만들어낸다면 — 정말 좋죠. 우리는 그 프로젝트를 홍보할 것입니다. 지원할 것입니다. 사람들을 그 프로젝트로 유도할 것입니다. 왜냐하면 목표는 성장하는 것이 아니기 때문입니다. 우리의 힘.

목표는 피싱에 대항하는 생태계의 역량을 강화하는 것입니다.

이것이 바로 우리가 영원히 자유로울 수 있는 이유입니다. 덕행을 과시하기 위해서가 아니라, 돈이 없다는 사실이 이 전쟁에서 가장 강력한 무기이기 때문입니다. 돈의 부재는 우리를 깨끗하고, 누구에게도 휩쓸리지 않으며, 어느 편에도 서지 않게 하고, 누구도 조종할 수 없게 만듭니다.

그리고 우리가 선택하는 모든 협업은 한 가지 간단한 원칙을 따릅니다:

피싱을 근절하는 데 도움이 된다면 — 우리는 기꺼이 참여하겠습니다. 이윤을 추구해야 한다면 — 우리는 참여하지 않겠습니다.

이익의 문제점

보안 업계의 가장 큰 문제가 뭔지 아세요?

그로 인해 이익을 보는 사람은 소수에 불과합니다. 그것이 현실입니다. 위험도 따릅니다.

무서운가요? 네.

그게 사실인가요? 물론이죠.

그리고 PhishDestroy, 이윤을 추구하지 않는 사람만이 세상에 불편을 주는 진실을 속삭이지 않고 당당히 말할 수 있다.

‘제로 이익’이 가능하게 하는 것

돈을 받지 않으면, 마법 같은 일이 벌어집니다:

당신은 돈으로 매수될 수 없습니다. 위협당할 수도 없습니다. 입을 막힐 수도 없습니다.

등록관 문제

이를 완벽하게 보여주는 한 가지 예를 구체적으로 들어보겠습니다:

NameSilo는 악용 신고를 무시합니다. 그렇습니다. 대규모로, 체계적으로 이루어지고 있습니다. 관련 데이터도 있고, 이메일도 있습니다. 사기 도메인이 여전히 운영되고 있는 동안, 무시된 신고 건들이 산더미처럼 쌓여가고 있습니다.

Webnic? 똑같은 이야기네요. NiceNIC? 물론이죠.

그들은 우리 이메일을 싫어하는 걸까요? 아마도.

그들이 눈을 감고, 적절한 악용 대응 조치를 취하지 않으며, 신고를 무시하거나, 아무런 의미도 없는 자동 응답만 보내는 방식으로 사실상 조장하고 있는 사기 행각을 우리는 혐오해야 하는가? 물론이죠.

시작된 계기 (진짜 이야기)

처음에는 그냥 농담이었어요. 정말로요.

2019년, 스팀 피싱 조직을 교란하며 재미를 즐기던 소규모 디스코드 크루로 시작했습니다. 당시에는 대규모 트롤링 — 자동화된 악성 봇이 수천 개의 사기 도메인을 파괴하는 동안, 사기꾼들은 누가 자신들을 공격하는지 알아내려고 안간힘을 썼다.

그들이 서로의 도메인을 신고하기 시작하자 우리는 웃음을 터뜨렸다. 우리는 아무것도 하지 않은 채 혼란이 점점 커져만 가는 것을 지켜보았다.

그건 오락이었다. 효과적이었다. 그것은 무료.

그러다 무언가가 바뀌었다

우리는 우리의 일이 단순히 파괴에 그치는 것이 아니라, 사람들을 돕는 일이라는 것을 깨달았습니다.

우리가 수집한 스캔 자료는 실제 수사에서 증거로 활용되었습니다. 사기꾼들이 모든 데이터를 지워버렸음에도 불구하고, 우리의 아카이브는 그대로 남아 있었습니다. 우리가 수년 전에 공개한 URLScan 캡처 자료가 법정 소송에서 증거로 사용되기도 했습니다. 피해자들은 우리의 데이터를 통해 자신에게 무슨 일이 일어났는지 파악할 수 있었습니다.

처음에는 그저 장난으로 시작된 일이, 결국 정말 중요한 일이 되어버렸다.

이 모델이 효과적인 이유

사기꾼들을 무력화시키는 비대칭 전쟁의 공식은 다음과 같습니다:

그들은 이 점을 이해하지 못합니다. 그들은 오로지 이익과 손실의 관점에서만 생각합니다. 투자 수익률(ROI)을 계산하죠. 그리고 모든 사람에게는 대가가 있다고 가정합니다.

우리는 그렇지 않습니다. 그리고 바로 그 점이 우리가 그들의 인프라에 손을 대기 전부터 그들을 심리적으로 무너뜨리는 것입니다.

다른 사람들이 할 수 없는, 우리가 할 수 있는 일

우리는 이윤 체제 밖에 있기 때문에 다음과 같은 일을 할 수 있습니다:

우리는 글을 씁니다 있는 그대로. 우리는 사물을 이름별로. 우리는 타인의 감정을 배려하거나 비즈니스 관계를 유지하기 위해 표현을 완곡하게 하지 않습니다.

NameSilo가 악용 사례를 방치하고 있는 건가요? 우리는 그렇게 말해요.

등록 기관들은 피의 돈으로 이익을 얻고 있는 것일까? 우리는 이를 기록합니다.

학대 신고 시스템은 근본적으로 문제가 있는 것일까? 우리는 이를 증명합니다.

개인적 동기

사람들은 항상 “진짜” 이유를 알고 싶어 합니다. 수년 동안 이 일에 매진하게 된 개인적인 동기가 무엇인지 말이죠.

자, 여기 있습니다:

저는 부유한 환경에서 자랐습니다. 특권층의 공간에서, 원하는 건 무엇이든 다 얻을 수 있었죠. 하지만 저를 역겹게 만드는 무언가를 목격했습니다. 바로 돈이 있으면서도 굶주린 사람처럼 생각하는 사람들이었습니다. 탐욕스럽고, 치졸하며, 해로운 사람들이었죠.

그 호기심 덕분에 나는 사기꾼들의 암흑 세계로 빠져들게 되었다. 그들의 심리를 들여다보게 되었고, 그들의 망가지고 텅 빈 삶을 들여다보게 되었다.

그리고 나는 근본적인 사실을 깨달았습니다:

그래서 나는 그들이 예상했던 것보다 더 오래 머물렀다. 그들이 도저히 이해할 수 없는 시스템을 구축했고, 그들의 부주의가 결국 파멸로 이어지게 만드는 자동화 시스템을 만들어냈다.

돈 때문도 아니고, 인정받기 위해서도 아니다. 하지만 바로 그 때문에 기생충이 적은 세상은 그야말로 더 나은 세상입니다.

우리가 왜 영원히 자유로울 수 있는가

제안은 끊임없이 들어옵니다.

우리에게 자금을 지원하고자 하는 후원사들. 우리 데이터를 확보하고자 하는 기업들. 파트너십을 맺고자 하는 보안 업체들. “협력 기회”(즉, 우리의 침묵을 사려는 시도)를 제안하는 등록 기관들.

우리는 그 모든 것을 거부합니다.

단순히 원칙 때문만은 아닙니다 — 물론 원칙도 중요하지만요. 하지만 그보다는 우리가 돈을 받는 순간, 우리를 효과적으로 만드는 유일한 무기, 즉 불편한 진실을 말할 수 있는 능력을 잃게 된다.

눈에 보이지 않는 영향

자유롭고 검열받지 않은 상태를 유지함으로써 우리가 실제로 이룬 성과는 다음과 같습니다:

당사의 연구 결과는 다음 자료에서 인용되었습니다: 정부 관련 사건. 법원 소송 절차. 학술 연구. 보안 업계 보고서. 주류 언론 보도.

당사의 데이터는 다음과 같은 데 기여했습니다: 피해자들은 무슨 일이 일어났는지 이해하고 있다. 수사관들은 사건을 수사한다. 연구원들은 새로운 위협을 추적한다. 업계는 차라리 외면하고 싶은 문제들을 인정하고 있다.

우리의 압박으로 인해 다음과 같은 결과가 초래되었습니다: 도메인 등록 기관들은 악용 사례 대응을 개선해야 한다(비록 느리고 마지못해이긴 하지만). 호스팅 업체들은 해당 계정을 해지해야 한다. 결제 대행사는 사기꾼들의 결제를 차단해야 한다. 이 생태계는 과실에 대해 조금 더 엄격해져야 한다.

우리가 실제로 하고 있는 게임

사기꾼들은 자신들이 보안 프로젝트와 싸우고 있다고 생각하지만, 사실 그들은 훨씬 더 위험한 것과 싸우고 있는 것입니다:

돈으로 사거나, 위협하거나, 막을 수 없는 이념.

우리는 모든 전투에서 이길 필요는 없다. 그저 그들의 작전을 지속 불가능하게 만들면 된다. 그들의 인프라를 취약하게 만들고, 이익률을 마이너스로 떨어뜨려야 한다. 반격할 생각조차 없는 적과 싸우다 보니 그들의 심리 상태가 무너져 내리게 해야 한다. 우리는 그저 버튼을 누르고 그들의 세상이 불타는 것을 지켜보기만 하면 된다.

장기적인 전략

우리가 차단하는 도메인 하나하나가 그들에게 금전적 손실을 안겨줍니다. 우리가 제출하는 신고 건 하나하나가 그들에게 시간을 뺏어갑니다. 우리가 공개하는 조사 결과 하나하나가 그들의 신뢰도를 떨어뜨립니다. 우리가 개발하는 도구 하나하나가 다음 작전을 더 수월하게 만듭니다.

게다가 우리에게는 비용이 듭니다 아무것도 없음.

그게 바로 비대칭 전쟁입니다. 그래서 우리가 승리하는 겁니다.