2016년 이전에는 컴퓨터에 있는 스피커를 통해 사람의 귀에 들리지 않는 고주파 신호를 내보내어 정보를 유출하기도 하고, 사용자 인증을 하기도 했다. 또한, 컴퓨터 내부에서 발생하는 주파수를 이용하여 데이터를 송신하기도 하였고, 전혀 생각지도 못했던 인쇄를 하는 레이저 프린터를 데이터 송신기로 변환하여 주파수를 내보내기도 했다.[1] 이렇게 소리를 이용한 해킹은 해킹과 보안을 넘나들며 이전부터 발전해오고 있었다. 이 때문에 중요한 자료가 담긴 컴퓨터는 네트워크와 망을 분리하는 것은 기본으로 하고, 물리적으로 지역을 제한하는가 하면 스피커가 없는 컴퓨터를 사용하기도 했다. 그렇다면 2016년 이후에는 소리를 이용한 해킹이 어떤 식으로 발전하고 사용되었을까.

2016년, 이스라엘 벤구리온 대학(Ben-Gurion University)의 사이버 보안 연구센터 연구원들은 ‘DiskFiltration: Data Exfiltration from Speakerless Air-Gapped Computers via Covert Hard Drive Noise’라는 제목의 논문을 발표했다. 이는 네트워크에 연결되어 있지 않고 스피커도 없는 컴퓨터에서 정보를 전송하는 방법이였다. 이들의 연구는 악성코드가 어떤 식으로 설치되었든지 간에 DiskFiltration라는 악성코드가 시스템에 저장된 데이터를 어떻게 전송하는지 그 방법에 대해 초점을 맞췄다.[2] 그들은 DiskFiltration 바이러스를 통해 컴퓨터에 있는 하드 디스크 드라이브(HDD)에서 방출되는 작은 소음을 이용하여 컴퓨터에 있는 데이터를 은밀하게 유출했다. 이렇게 컴퓨터에서 보내는 정보는 일상에서 흔히 볼 수 있는 스마트 폰이나 스마트 워치, 컴퓨터를 통해 수신하여 받은 데이터를 확인하기만 하면 되었다. 이 방법은 분당 180비트의 전송률로 데이터를 보낼 수 있으며, 약 2미터까지 데이터를 주고받을 수 있는 방법이었다. 이는 약 25분 안에 4096 비트의 키를 추출할 수 있는 정도의 속도였다.[3]

‘DiskFiltration’라고 하는 이 바이러스는 다른 해킹 방법과 달리 컴퓨터에 스피커나 오디오와 같은 하드웨어가 필요 없다는 점에서 독특한 방식의 접근이었다. 바이러스는 시스템에 설치되어 있는 HDD의 액추에이터(actuator) 즉, 전기나 유압, 압축 공기 등을 이용하여 시스템을 움직이거나 제어하는 데 쓰이는 기계 장치를 제어했다.[4] 이 액추에이터는 디스크의 특정 부분에 접근하여 데이터를 읽거나 쓸 수 있는 기능을 한다.[5] 액추에이터의 움직임을 탐색작업이라고 하는데, 이러한 과정에서 하드 드라이브에 있는 암호 및 암호화 키를 포함한 은밀한 데이터에 접근하여 이를 제어함으로 특정 오디오 주파수의 음향을 만들어낼 수 있다고 한다.[6] 즉, 손상된 컴퓨터의 악성 코드가 HDD 액추에이터를 제어하여 특정 주파수 범위에서 그러한 노이즈 패턴을 생성하도록 유도하는 등 '탐색'작업을 수행하는 것이다.

아래의 영상을 보면 약간의 소리와 함께 액추에이터의 움직임을 조작하여 모스 코드와 같은 데이터를 만들어내는 것을 볼 수 있다. 이렇게 만들어진 신호는 멀리 떨어져 있는 스마트 폰 앱을 사용하여 이진 데이터로 해석하고 데이터가 무엇인지 분석할 수 있다. 디스크의 회전으로 만들어지는 소음은 보통 제어할 수 없지만 액츄에이터의 움직임은 시작과 정지, 0과 1을 음향으로 나타내어 신호를 제어하고 이를 통해 잡음을 발생시킨다는 것이다.

2017년에는 초음파를 통해 사용자의 위치나 행동, 개인적인 정보 등을 추적할 수 있는 앱이 많아지고 있다는 기사가 나왔다.[7] 주변에는 들리지 않는 고주파 초음파를 스마트 폰의 앱을 통해 만들어내며, 사용자의 취향을 고스란히 드러냈다. 초음파를 통한 추적 장치는 마케팅 담당자가 여러 기기의 사용자를 추적하고 광고의 타겟팅으로 더 많은 정보에 접근하기 위해 만들어진 새로운 기술이다.[8] 예를 들어, 일반 상점이나 TV 광고 또는 웹 페이지 광고를 보면 수신기가 포함된 스마트 폰의 애플리케이션을 통해 초음파 오디오 신호를 내보내어 사용자의 취향 정보를 수집한다는 것이다. 이러한 기술을 통해 광고주는 사용자층의 관심을 기반으로 광고하고, 사용자를 타겟팅하여 맞춤 설계할 수 있도록 사용자의 관심분야를 수집하는 데 도움이 된다고 보고 있다. 이러한 기술은 이미 여러 곳에 적용되어 현재 사용되고 있다. 스마트폰의 마이크에 접근하여 특정 유형의 초음파 신호를 만들어 사용자를 추적할 수 있는 권한을 요청하는 앱만 해도 안드로이드에서 약 234개 정도가 발견되었다고 한다. 또한, 독일에서는 연구자가 방문한 35개의 매장 중 4개가 입구에 초음파 탐지 장치가 설치된 것으로 나타났다.[9] 이제는 초음파를 이용하여 사용자의 동의 없이 정보까지 수집하며 사생활을 위협하기에 이른 것이다.

초음파 신호를 사용하여 추적하는 기술은 크게 네 가지로 나뉜다. 먼저 Midea Tracking은 사용자의 시청 습관을 추적하기 위한 것으로 보통 TV 오디오에 내장되어 있다. 둘째로, Cross-Device Tracking은 여러 장치를 추적하는데 사용되고, Location Tracking은 사용자의 위치가 초음파 신호를 사용하여 매장 내에서 정확하게 추적하는데 사용된다. 마지막으로 Deanonymization 같은 경우, 웹 사이트 방문자가 보내는 데이터를 웹 사이트에 초음파 신호를 이용하여 익명으로 전송된다. 초음파 신호를 이용한 추적은 보통 Midea Tracking를 제외한 세 가지의 형태로 나타나고, 대부분은 위치를 추적하기보다 사용자의 여러 장치의 사용자를 추적할 수 있는 Cross-Device Tracking을 적용한다고 한다.[10]

초음파를 이용하여 사용자의 정보를 수집하는 행위는 사생활에 위협이 된다고 하여 논란이 되었다.[11][12] 요즘에는 대부분의 이가 모바일 기기를 가지고 있으며, 추적 동작이나 장치가 눈에 띄지 않고 추적할 수 있으므로 개인 정보 보호에 큰 위협으로 다가올 수 있다는 것이 가장 큰 핵심이었다. 앞서 얘기한 각기 다른 네 가지의 활용방안은 각각에 따른 특징에 따라 사생활 침해로 연결될 수 있으며, 심지어는 사용 용도에 따라 사용자의 취향 정보가 아닌 비밀번호와 같은 민감한 정보도 포함될 수 있을 수 있다. 이와 같은 소리를 이용한 기술 발전은 이제  단순히 데이터를 빼내는 용도가 아니라 이제는 사생활 침해로 이어질 수 있는 문제로 발전한 것이다. 더욱이, 이와 같은 기술은 앞으로도 더욱 많이 쓰이게 될 것이도 하나의 기술로 자리잡아 갈 것이다. 특히나, 우리가 걸어가고 있는데 우리도 알게 모르게 우리의 정보가 세상을 지나가며 다른 사람에게 전달된다면 단순히 넘어갈만한 수준의 일은 아니라고 본다.

소리는 눈으로 보는 세계만이 전부가 아니라는 것을 보여준다. 돌고래는 2,000~200,000Hz의 주파수를 사용하여 서로 대화를 나눈다. 사람은 거의 엿들을 수도 없다. 주파수에 따라 판이해지는 형태의 소리는 같이 공명하는 성질을 이용하여 건강에도 영향을 끼칠 수도 있다고 한다.[13] 예를 들어, 조용한 음악을 들려준 식물과 시끄러운 음악을 들려준 식물의 성장 속도는 다르다. 또한, 오늘 얘기한 것처럼 소리에 데이터를 넣으면 소리는 이동 수단으로도 사용될 수 있다. 소리를 이용하면 무궁무진해진다. 이 때문에 여러 보안 연구가는 소리를 이용한 해킹과 관련하여 끊임없이 연구하고 기술을 더욱 높이려는 모습이 보인다. 그리고 이러한 보안 연구는 2017년 근래에 들어 더욱 활발한 양상을 보이는 것 같다. 아직 소리를 이용한 해킹은 악성코드를 어느 방법으로든 컴퓨터에 설치하거나, 사용자의 상호작용이 필요하고, 주파수를 통해 간단한 데이터를 보내는 정도지만 이 정도의 속도라면 어느 순간 눈뜨고 코베이는 해킹이 곧 나오지 않을까.