원문 : http://minjang.egloos.com/2996237

오늘 화제가 된 엄청나게 어이없는 사건 하나를 얘기하고자 한다. 요약된 기사는 여기서 볼 수 있고 원 기사는 1월 14일에 나온 내용이다. 이 사건은 이러하다.

미국에 있는 한 회사의 IT 관리자가 VPN (회사 직원이 회사 밖에서도 회사 네트웍으로 접속할 수 있도록 하는 시스템) 접속 로그를 살펴보고 있는데, 이상하게 중국 선양에서 접속된 기록을 발견했다. 더욱 의아한 것은 그 접속이 매일같이 이뤄지고 있다는 점. 이 회사는 미국 내 인프라스트럭쳐 관련 중요한 일을 하기에 허가 받지 않은 중국 발 네트웍 접속은 심각한 보안의 문제일 수가 있었다. 그런데 그 VPN 접속에 사용된 아이디를 쓰는 직원은 여기 미국 회사에 앉아 있었다.

보통 미국 회사는 VPN에 접속하려면 단순 암호 외에 인터넷 뱅킹의 OTP 번호 발생기처럼 RSA 암호키 생성기를 같이 쓴다.

설마 이 암호키가 도난이 되어 중국에서 쓰일 리 없으니 회사는 제로데이 멀웨어나 해킹으로 의심했다. 조사에 착수한 뒤 이 직원의 컴퓨터를 조사하면서 혹시 이상한 경로로 다운 받은 파일이 없나 살펴보았다고 한다. 그런데 정작 발견된 것은 PDF 파일 더미였다고 한다. 그 PDF 파일은, 예상하듯이, 중국 선양의 제 3 개발자/회사와의 계약 관련 문서였다고 한다!

결국 드러난 전말은 이러하다.

40대 중반의 C/C++, 자바 등 여러 언어를 쓰는 이 오랜 경력의 개발자는 겉으로 봐서는 매우 평범한 가정적인 사람이다. 그런데 이 개발자는 자신의 일을 몰래 중국 선양의 한 개발 업체에게 용역을 준 것이다. 그런데 용역에 드는 비용은 자신의 연봉의 1/5에도 미치지 못했다고. 보통 40대 중반의 개발자가 되면 10만불이 넘는 연봉이 일반적이니 2만불 정도 돈을 써가며 자신은 근무 시간에 탱자탱자 놀았다는 것.

이 직원의 컴퓨터 웹 접속 기록도 살펴보니 대략 이러했다고 한다.

• 09:00 AM: 회사에 와서 Reddit에서 몇 시간 놈. 비디오 보면서 놈.
• 11:30 AM: 점심 먹음
• 1:00 PM: 이베이 함
• 오후 2시 경: 페이스북이나 링크드인 함.
• 4:30 PM: 업무 결과를 이메일로 보고
• 5:00 PM: 집에 감.

더욱 놀라운 것은 이 사람은 다른 회사에서도 일을 받아 똑같은 방식으로 아웃소싱을 해버렸다는 것. 그래서 1년에 몇 십만 불, 그러니까 몇 억원을 벌었다고 한다.

그러면 그 VPN 접속은 어떻게 했지? 암호키 생성기가 필요한데? 간단하다. 그냥 그 생성기를 페덱스로 직접 중국에 보낸 것;;

그나저나 FedEx에서 회살표가 보이나요?

가장 충격적인 건, 이 사람의 업무 평가 내역을 보니 거의 최고 수준이었다고 한다…. 코드는 항상 깔끔하고 목표된 시간에 완료가 되었다고 한다. 심지어 건물 내 최고의 개발자라는 평도 있었다고. 이런 평이 수년간 지속된 걸로 봐서 이 사람은 최소 3-4년을 이렇게 자기 일을 중국에 던져주고 놀았던 것이다.

이 사람 완전 천잰데?

만약, 중국에서 미국에 있는 프락시를 써서 VPN 접속했다면 완전 범죄?

그나저나 회사에서 웹서핑 많이 하는데 내일부터 당장 줄여야겠다.

하지만... 미국에서 십만불 받는 프로그래머의 코드가 중국의 1-2만불 개발자와 같은 수준이라니. 개발자에겐 별로 좋은 소식은 아님;;