아이피추적 — 팔로알토 네트웍스 출신 보안 전문가가 IP 한 줄을 증거로 만드는 방법

01IP 주소 한 줄이 말해 주는 것과 말해 주지 않는 것

“아이피추적”을 검색하는 분들은 대개 같은 지점에서 멈춰 있습니다. 누군가 익명 게시판과 댓글, 메일, 메신저로 나를 공격하는데 그 사람이 누구인지 모릅니다. 아는 사람인지, 전 직장 동료인지, 경쟁 업체인지, 전혀 모르는 사람인지조차 알 수 없어 불안이 커집니다. 그래서 “IP만 알면 누군지 나온다”는 말에 기대를 걸게 됩니다.

먼저 정확하게 짚겠습니다. IP 주소는 사람의 이름이 아니라 특정 시각에 인터넷에 연결된 회선의 번호입니다. IP 한 줄로 바로 알 수 있는 것은 그 주소를 관리하는 통신사나 호스팅 업체, 대략적인 지역, 그리고 그 주소가 가정용 회선인지, 모바일망인지, 데이터센터나 VPN 대역인지 정도입니다. 그 회선을 그 시각에 누가 쓰고 있었는지는 통신사만 알고, 통신사는 법이 정한 절차가 아니면 그 정보를 내주지 않습니다.

그런데도 아이피추적이 의미 있는 이유는, 그 마지막 단계에 이르기 전까지의 분석이 결과를 좌우하기 때문입니다. 시각을 1시간 잘못 적은 자료, 포트 번호가 빠진 자료, VPN 주소를 상대의 집 주소로 착각한 자료는 수사기관과 법원에 가도 엉뚱한 사람을 가리키거나 아무도 가리키지 못합니다. 정확한 아이피추적이란 IP를 “찾는” 기술이 아니라, 찾은 IP가 법 절차 끝에서 정확히 한 사람을 가리키도록 만드는 기술입니다.

02팔로알토 네트웍스 출신이 IP를 보는 방법이 다른 이유

사라짐컴퍼니 대표 최태운은 글로벌 네트워크 보안 기업 팔로알토 네트웍스(Palo Alto Networks) 출신입니다. 팔로알토 네트웍스는 차세대 방화벽으로 잘 알려진 회사이고, 방화벽은 본질적으로 “어떤 주소가, 언제, 어떤 포트로, 어디에 접속했는가”를 끊임없이 기록하고 판정하는 장비입니다. 이 세계에서 일한다는 것은 하루에도 수없이 쌓이는 세션 기록 속에서 진짜 공격자와 우연히 비슷해 보이는 정상 접속을 가려내는 일을 반복한다는 뜻입니다.

보안 침해 사고를 조사할 때 IP 하나만 보고 결론을 내리는 엔지니어는 없습니다. 공격자는 거의 언제나 남의 서버나 VPN, 프록시를 거쳐 들어오기 때문에 첫 번째로 보이는 주소는 대부분 가짜 출발지입니다. 그래서 출발지 주소, 출발지 포트, 목적지, 프로토콜, 시각을 한 묶음으로 보고, 주소 변환(NAT)이 어디서 일어났는지, 같은 행위가 다른 시각에도 반복되는지를 따집니다. 사라짐컴퍼니의 아이피추적은 이 사고 조사 방식을 개인과 기업의 온라인 피해에 그대로 옮긴 것입니다.

대표는 정보보안 분야의 국제 자격인 CISSP, CISM, CEH, OSCP를 보유하고 있습니다. CISSP와 CISM은 보안 체계와 관리, CEH와 OSCP는 공격자의 기술을 실제로 이해하고 재현하는 역량을 다루는 자격입니다. 공격하는 쪽이 어떻게 흔적을 숨기는지 알아야 숨긴 흔적에서 무엇을 건질 수 있는지도 압니다.

03정확도를 가르는 세 가지 — 시각, 포트, 시간대

아이피추적이 실패하는 가장 흔한 이유는 기술이 아니라 기록의 빈틈입니다. 그 빈틈은 대부분 시각, 포트, 시간대 세 가지에서 생깁니다.

첫째, 시각입니다. 가정용 회선과 모바일 회선의 IP는 고정되어 있지 않고 시간이 지나면 다른 가입자에게 넘어갑니다. 같은 IP라도 오전 9시의 사용자와 오후 9시의 사용자가 다를 수 있다는 뜻입니다. 그래서 IP는 반드시 접속 시각과 한 쌍으로만 의미가 있고, 시각은 분이 아니라 초 단위까지 정확해야 합니다.

둘째, 포트입니다. 국내외 이동통신망과 일부 유선망은 공인 IPv4 주소가 부족해 하나의 공인 주소를 수많은 가입자가 동시에 나눠 쓰는 주소 변환 방식을 씁니다. 이 경우 같은 시각, 같은 공인 IP 뒤에 여러 사람이 있습니다. 이들을 구별하는 것이 출발지 포트 번호입니다. 국제 인터넷 표준화 기구 IETF는 RFC 6302에서 인터넷에 공개된 서버가 접속 기록을 남길 때 출발지 포트와 정확한 시각(협정세계시 UTC 권장, 초 단위 이상)을 함께 기록하라고 권고하면서, 주소 공유 환경에서는 공인 주소만으로 가입자를 명확히 식별할 수 없다고 설명합니다.

셋째, 시간대입니다. 해외 플랫폼의 기록은 협정세계시(UTC)로, 국내 서비스의 기록은 한국 표준시(KST, UTC+9)로 남는 경우가 많습니다. 9시간 차이를 그대로 옮겨 적으면 전혀 다른 가입자를 조회하게 됩니다. 화면에 보이는 “3시간 전” 같은 상대 시각을 그대로 캡처해 두는 것도 위험합니다. 사라짐컴퍼니가 자료를 받으면 가장 먼저 하는 일이 모든 기록의 시간대를 확인해 하나의 기준으로 맞추는 정규화 작업인 이유가 여기에 있습니다.

04IP는 어디서 나오나 — 적법하게 확보할 수 있는 자료

아이피추적은 해킹으로 상대의 기기에 들어가는 일이 아닙니다. 피해자에게 이미 있거나, 피해자가 정당하게 받을 수 있는 자료에서 출발합니다. 자료의 출처가 깨끗해야 그 결과를 수사기관과 법원에 낼 수 있습니다.

가장 강력한 자료는 피해자나 의뢰 기업이 직접 운영하는 서버의 기록입니다. 회사 홈페이지, 쇼핑몰, 예약 시스템, 자체 게시판에 악성 글이나 허위 문의가 올라왔다면, 그 서버의 웹 접속 기록과 게시판 데이터베이스에 작성 시각과 접속 IP가 남아 있습니다. 운영자 본인의 자료이므로 출처 문제가 없고, 포트와 초 단위 시각까지 남아 있는 경우가 많아 정확도도 높습니다.

두 번째는 이메일입니다. 협박 메일이나 사칭 메일을 받았다면 메일 본문이 아니라 “원본 보기”로 열리는 헤더를 보존해야 합니다. 헤더의 Received 줄에는 메일이 거쳐 온 서버와 시각이 차례로 기록됩니다. 다만 대형 웹메일 서비스는 발신자의 실제 IP를 헤더에 남기지 않는 경우가 많고, 헤더 일부는 발신자가 조작할 수도 있습니다. 어떤 줄이 신뢰할 수 있는 서버가 기록한 것인지 가려내는 것이 분석의 핵심입니다.

세 번째는 플랫폼이 스스로 공개하는 정보입니다. 디시인사이드처럼 비회원 글에 IP 앞부분을 표시하는 커뮤니티가 있고, 이 일부 정보만으로도 같은 사람이 여러 글을 썼는지, 어느 통신사 대역인지 같은 단서를 얻을 수 있습니다. 마지막으로 법 절차를 통해 플랫폼이 회신한 접속 기록은 가장 확실한 자료이며, 이 자료를 해석하는 단계에서 앞서 말한 시각·포트·시간대 정규화가 결정적입니다.

05걸러내야 할 함정 — VPN, 프록시, Tor, 클라우드, 모바일망

아이피추적의 정확도는 무엇을 찾아내느냐보다 무엇을 걸러내느냐에서 갈립니다. 찾아낸 IP가 실제로는 상대의 집이 아니라 중간 경유지라면, 그 주소를 근거로 움직이는 모든 절차가 헛수고가 됩니다.

상용 VPN과 프록시는 사용자의 실제 회선을 가리고 업체 서버의 주소를 대신 보여 줍니다. Tor는 여러 중계 지점을 거쳐 마지막 출구 노드의 주소만 남깁니다. 클라우드 서버나 해외 호스팅 대역의 IP도 개인이 집에서 쓰는 회선일 가능성이 낮습니다. 이런 주소들은 IP가 속한 AS(자율 시스템) 번호와 소유 기관, 공개된 Tor 출구 노드 목록, 데이터센터 대역 여부를 대조하면 상당 부분 가려낼 수 있습니다.

그렇다고 VPN이 확인되면 끝나는 것은 아닙니다. 실무에서는 상대가 늘 같은 방식으로 숨지 않는다는 점이 중요합니다. 열 번 중 아홉 번은 VPN을 켰어도, 한 번은 휴대폰으로 급하게 댓글을 달거나 VPN 연결이 끊긴 상태로 접속하는 일이 생깁니다. 여러 시점의 기록을 모아 시간 순서로 늘어놓으면 경유지 주소들 사이에서 실제 회선이 드러나는 순간을 찾을 수 있습니다. 그래서 단 한 건의 기록보다, 기간을 두고 쌓인 여러 건의 기록이 훨씬 강력합니다.

모바일망은 별도의 주의가 필요합니다. 앞에서 설명한 주소 공유 때문에 같은 IP가 같은 시각에 여러 가입자에게 쓰이므로, 포트와 정확한 시각이 없으면 통신사도 가입자를 하나로 좁히지 못할 수 있습니다. IP 위치 조회 사이트에 나오는 지도 역시 통신사 장비가 있는 곳이나 대표 지역을 가리키는 경우가 흔해, 그것을 상대의 거주지로 받아들이면 안 됩니다.

06교차검증 — IP 하나가 아니라 패턴으로 좁힙니다

한 번의 접속 기록은 우연일 수 있습니다. 같은 카페 와이파이, 같은 회사 공유기, 같은 통신사 대역을 쓰는 사람은 수없이 많습니다. 그래서 사라짐컴퍼니는 IP를 하나의 증거가 아니라 여러 단서 가운데 하나로 다룹니다.

교차검증은 서로 다른 출처의 기록을 시간 축 위에 겹쳐 보는 일입니다. 악성 글이 올라온 시각, 협박 메일이 발송된 시각, 쇼핑몰 관리자 페이지에 이상한 접속이 있던 시각을 한 줄로 늘어놓으면, 같은 회선이 반복해서 등장하는지, 늘 같은 요일과 시간대에 활동하는지, 같은 기기 정보(브라우저·운영체제 표기)가 따라붙는지가 보입니다. 이렇게 서로 독립된 기록이 같은 방향을 가리킬 때 비로소 추적 결과에 무게가 실립니다.

반대로 단서들이 엇갈리면 그것을 그대로 기록합니다. 의뢰인이 의심하는 사람이 있더라도 자료가 그 사람을 가리키지 않으면 그렇게 말합니다. 잘못된 특정은 피해 회복을 늦추는 데서 끝나지 않고, 엉뚱한 사람을 지목해 오히려 명예훼손 시비에 휘말리는 결과를 낳을 수 있기 때문입니다. 정확도를 강조한다는 것은 “반드시 찾아 드린다”가 아니라 “자료가 말하는 만큼만, 틀리지 않게 말한다”는 뜻입니다.

07IP 다음 단계 — 사람을 특정하는 것은 법 절차입니다

여기서 분명히 해 둘 것이 있습니다. 민간 업체는 통신사에 직접 “이 IP를 그 시각에 쓴 사람이 누구냐”고 물어 답을 받을 수 없습니다. 그 정보를 얻을 수 있는 길은 법이 정해 두었습니다.

통신비밀보호법은 인터넷 로그기록자료와 정보통신기기의 위치를 확인할 수 있는 접속지 추적자료를 “통신사실확인자료”로 정의하고(제2조 제11호), 수사기관이 수사를 위해 필요할 때 법원의 허가를 받아 전기통신사업자에게 그 제공을 요청할 수 있도록 하고 있습니다(제13조). 전기통신사업법 제83조는 수사기관 등이 통신사업자에게 이용자의 성명, 주소, 전화번호, 아이디, 가입·해지 일자 같은 통신이용자정보를 요청할 수 있는 근거를 두고 있습니다.

형사 고소 외에 민사 소송을 위한 길도 있습니다. 정보통신망법 제44조의6은 특정 이용자가 올린 정보로 사생활 침해나 명예훼손 등 권리를 침해당했다고 주장하는 사람이, 민사 또는 형사상 소를 제기하기 위해 명예훼손 분쟁조정부에 해당 이용자의 성명·주소 등 최소한의 정보를 제공하도록 청구할 수 있게 합니다. 분쟁조정부는 특별한 사정이 없으면 해당 이용자의 의견을 들은 뒤 제공 여부를 결정하고, 제공받은 정보는 소 제기 목적 외로 쓸 수 없습니다.

어느 길이든 출발점은 같습니다. 어떤 게시물이, 언제, 어느 플랫폼에서, 어떤 IP와 시각으로 남았는지를 정확히 적은 자료입니다. 수사기관과 법원이 플랫폼과 통신사에 요청하는 내용은 결국 이 자료에서 나옵니다. 사라짐컴퍼니가 하는 일은 이 요청이 정확한 시각과 정확한 회선을 향하도록 기술 자료를 분석하고 정리하는 것이며, 고소·소송 대리 같은 변호사 업무는 하지 않습니다.

08시간이 정확도를 깎아 먹는 이유 — 로그는 오래 남지 않습니다

아이피추적에서 가장 큰 적은 기술적인 난이도가 아니라 시간입니다. 통신비밀보호법 시행령 제41조는 전기통신사업자가 통신사실확인자료를 보관하는 기간을 정하고 있는데, 인터넷 로그기록자료와 접속지 추적자료는 3개월입니다. 이 기간이 지나면 수사기관이 법원 허가를 받아 요청해도 통신사에 남은 자료가 없을 수 있습니다.

플랫폼의 기록도 마찬가지입니다. 각 서비스는 자체 정책에 따라 접속 기록을 일정 기간만 보관하고, 작성자가 글을 지우거나 계정을 탈퇴하면 확인할 수 있는 범위가 줄어들 수 있습니다. 피해자가 “조금 더 지켜보자”며 한두 달을 보내는 사이, 가장 결정적인 기록이 사라지는 경우가 실무에서 드물지 않습니다.

그래서 피해를 알게 된 직후에 해야 할 일은 명확합니다. 게시물 주소와 화면 전체 캡처, 메일 원본, 자체 서버 로그를 즉시 보존하고, 기록이 언제 만들어졌는지를 확인해 남은 시간을 계산하는 것입니다. 자체 서버를 운영한다면 로그 보관 기간 설정부터 늘려 두는 것이 좋습니다.

09하지 말아야 할 것 — 무단 접속, 신상털기, 섣부른 접촉

추적을 서두르다 보면 인터넷에 떠도는 방법에 손이 가기 쉽습니다. 그러나 그중 상당수는 결과를 망치거나 피해자를 법적 위험에 빠뜨립니다.

상대가 쓰는 계정이나 기기에 몰래 접속해 기록을 빼 오는 것은 정보통신망법 제48조가 금지하는 정보통신망 침해에 해당할 수 있습니다. 확인되지 않은 추측으로 특정인의 이름을 커뮤니티에 올리는 신상털기는 그 자체로 새로운 명예훼손이 될 수 있습니다. 의심 가는 사람에게 직접 따지거나 “IP 다 나왔다”고 경고하는 것도 금물입니다.

정확한 아이피추적은 조용하게 진행됩니다. 상대에게 추적 사실을 알리는 행동은 기록 삭제와 계정 탈퇴, 추가 위장을 부를 뿐입니다. 자료를 보존하고, 분석하고, 정해진 절차로 넘기는 것이 가장 빠른 길입니다.

10사라짐컴퍼니의 아이피추적은 어떻게 진행되나

사라짐컴퍼니의 아이피추적은 상담에서 시작합니다. 어떤 피해가, 어느 플랫폼에서, 언제부터 있었는지 듣고, 지금 확보할 수 있는 자료와 이미 사라졌을 가능성이 있는 자료를 구분합니다. 남은 시간이 짧은 자료부터 보존 순서를 정합니다.

자료가 모이면 보안 사고 조사와 같은 방식으로 분석합니다. 모든 기록의 시각을 하나의 기준으로 맞추고, 각 IP의 소속 기관과 회선 유형을 확인해 VPN·프록시·Tor·클라우드 경유지를 걸러내고, 서로 다른 출처의 기록을 시간 축 위에 겹쳐 반복되는 회선과 패턴을 찾습니다. 그 과정에서 확인된 사실과 확인되지 않은 부분을 나눠 정리합니다.

결과물은 의뢰인이 수사기관에 고소하거나 변호사와 소송을 준비할 때 그대로 활용할 수 있도록, 어떤 자료에서 무엇을 근거로 어떤 결론에 이르렀는지가 보이는 형태로 드립니다. 자료가 가리키는 것이 없으면 없다고 말씀드립니다. 이것이 팔로알토 네트웍스에서 일하며 몸에 익힌 원칙입니다. 확인한 만큼만 말하고, 말한 것은 틀리지 않게.

11직접 할 것인가, 맡길 것인가

자체 서버를 운영하는 기업이나, 증거가 이메일 한 통으로 분명한 경우라면 이 기록에 적은 순서대로 자료를 보존하고 수사기관에 바로 고소하는 것만으로도 충분할 수 있습니다. 시각과 시간대만 정확히 적어도 결과가 달라집니다.

반대로 상대가 여러 플랫폼에서 계정을 바꿔 가며 활동하거나, VPN과 모바일망을 섞어 쓰거나, 피해가 몇 달째 이어지고 있다면 이야기가 다릅니다. 흩어진 기록을 하나의 시간 축에 모으고, 경유지를 걸러내고, 법 절차에 넘길 수 있는 형태로 정리하는 일은 보안 사고 조사 경험이 있는 사람이 할 때 정확도가 가장 높습니다.

사라짐컴퍼니는 상담 내용을 담당자 외에 공유하지 않으며, 상대에게 알려지지 않게 진행합니다. 지금 가진 자료가 무엇이든, 그것으로 어디까지 갈 수 있는지부터 함께 확인하겠습니다.