로카르 교환법칙

“모든 접촉은 흔적을 남긴다”

로카르 교환법칙은 “접촉하는 두 개체는 반드시 서로의 흔적을 주고받는다”는 과학수사의 기본 원칙이다. 1900년대 초 법과학자 에드몽 로카르가 주장한 이론으로, 범인은 현장에 자신의 흔적을 남기고 떠난다는걸 의미한다.

조금 더 물리학으로 가본다면, 모든 물체의 상호작용은 열역학 제2법칙에 따라 반드시 흔적을 남긴다. 동시에 물리법칙에 따라 흔적은 지워지지 않는다. 접촉으로 생긴 흔적을 없던 상태로 되돌리려면 두 사이에 상호정보를 0으로 만들어야 하지만¹,

$I(A:B) = S(\rho_A) + S(\rho_B) - S(\rho_{AB}) \geq 0$

접촉 후에는 $I(A:B) > 0$이 된다. 란다우어 원리(Landauer’s principle)에 의해 정보 1비트를 지우려면 최소 $kT\ln 2$ 만큼의 열을 방출해야 한다². 따라서 흔적을 지우려는 시도 조차 새로운 흔적을 남긴다.

인터넷의 발명 이후 정보 분야에서의 포렌식 또한 기존 물리 포렌식과 같은 원리를 가진다. 모든 정보는 물질적으로 기록되며 소프트웨어 공간이라고 예외는 아니다. 오히려 복제와 기록이 쉬워, 한 번 저장된 정보는 쉽게 소멸하지 않는다. 카메라를 예로 들자면, 모든 사람들에게 스마트폰 카메라가 존재한다. 더불어 한국에서는 하루에 100회 CCTV에 찍히고³ 물리적 정보는 빠르게 디지털화 된다.

이제 포렌식 원리를 보안으로 확장해보자. 보안의 기초 원리는 군사학에서 영감을 얻었다. 몇 가지 정리해보자면,

1. 사람을 절대 믿지 말고, 나 자신조차 믿지 말라. 그리고 검증하라. (Zero Trust)
2. 적의 입장에서 생각하고, 접촉 경로를 최소화하라. (Attack Surface Reduction)
3. 침해는 반드시 일어난다고 가정한다. (Assume Breach)

공격자 입장에서는 역으로 이용해야 한다.

1. 사람을 믿는 시스템을 이용하고⁴
2. 많은 사람들이 접촉하는 경로를 이용하며
3. 침해가 없을 것 같은 부분을 노린다.

1. 검열은 신호를 남긴다

앞서 언급한 공격자 입장이 현대의 모든 보안 사고의 원인이다. 예를들어 만약 당신이 북한의 간첩이고 한국의 군사시설 위치 정보를 알아내야 한다는 목표를 가졌다고 생각해보자. 제한조건은 한국에서 물리적으로 이동할 수 없으며 외부에서 한국 인터넷망을 이용해 접근해야 한다는 것.

제일 먼저 할 일은 지도를 켜는 일이다. 카카오맵, 네이버지도 그리고 애플맵을 보자. 이들은 군부대 시설 정보가 블러 처리되어 있어 실제 위치를 찾기 어렵다.

그렇다면 블러처리가 되어있지 않은 구글 어스를 이용해야 한다. 구글 어스를 켜보자.

군부대의 조건인,

1. 보통 나무의 배치가 일관적이다.
2. 일부 부대에는 헬기 이착륙장이 존재한다.
3. 연병장이 존재한다.
4. 출입초소가 존재한다.
5. 산 중턱 쯤에 위치한다.

이와 비슷한 학교 건물, 다른 건물과 비교하려면 찾기 오래 걸린다. 특히 도심지역에 있는 군부대의 경우 위성사진으로 확실히 구분되지 않기 때문에 찾기 더더욱 어렵다. 이때 당신은 포렌식 원칙을 떠올린다. “모든 접촉은 흔적을 남긴다.”

그리고 블러 처리된 지도를 떠올린다. 애초에 블러 처리되려면 국가에서 실제 군부대 위치를 알려주어야 하고, 특정 지역이 블러처리 되어 있다면 그곳은 군부대일 확률이 높다는 뜻이다. 오히려 정보를 없애려는 시도가 정보의 존재를 키운다는 원리를 떠올린 당신은 지도를 차근차근 보았다.

그리고 애플 맵에서 그 증거를 찾았다. 블러처리가 주변 위성 사진과 선명하게 구분되어서 육안으로만 보아도 여긴 확실히 군부대라는 사실을 간파해낼 수 있다. 이제 당신은 블러 처리 되어 있지 않은 구글 어스에서 애플지도의 블러를 참고해 매핑하기 시작한다.

그렇게 한국의 모든 군사시설 정보를 알아냈다. 물론 구체적인 부대 정보와 그 공간이 어떤 공간인지는 사람(간첩)을 보내 알아내야겠지만 간첩 입장에서는 확인해야 할 지역의 수가 줄었으니 훨씬 편하게 찾아낼 수 있다. 부대 근처에는 항상 부대 번호 표지판이 있어서 쉽게 알아낸다.

정보를 은폐하려는 행위는 오히려 신호가 된다⁵. 이제 정보를 잘 숨기는 방법을 알아보자.

2. 정보 은폐

핵심 원리는 다음과 같다.

1. 정보의 중요도를 낮춘다
2. 정상 정보 속에 파묻는다
3. 정보의 존재는 인정하되 접근을 차단 혹은 암호화 한다
4. 맥락에서 분리한다
5. 자연스러운 소멸로 위장한다

이러한 정보 은폐는 애초에 정보가 중요 정보로 인식되는걸 막기 위함이다. 시간이 지남에 따라 특정인이 침해를 인지할 확률은 줄어들고 서서히 잊혀지게 된다. 여담이지만 어떤 사람이 비밀을 가지고 있는데 외부에 발설하지 않아야 할때도 이 원리가 사용된다.

예를들어 보자, 당신이 방금 국가 기관의 내부망에 접근하여 내부 기밀을 탈취했다고 가정해보자. 아마 접근 로그가 찍혀있을 거고 침해 탐지 시스템이 존재한다면 발각될 것이다. 따라서 당신은 공무원에게 스팸메일을 보내 자격증명을 탈취하고⁶ 이를 바탕으로 공무원이 해당 문서에 접근할만한 기간과 타이밍에 빼내오면 된다. 이 과정에서 한 번 탈취한 이후에는 자동으로 트로이가 제거되도록 하고 아예 없었던 것처럼 위장한다.

여기서 핵심은

• 2번 원칙인 정상 정보로 위장하고(기간과 타이밍)
• 3번 원칙인 이메일 주소는 노출하되 추적할 수 없도록 하며
• 5번 원칙인 자연스러운 소멸로 위장하는 일 까지다.

이를 통해 시간이 지남에 따라 내가 발설하지 않는 한 발각될 위험은 줄고 서서히 시간에 따라 잊혀지는 과정을 거치게 된다.

2-1. 정보 보안

그렇다면 막는 입장에서는 어떨까? 무조건 모든걸 의심해야 한다.

천문학자인 로렌스 버클리 국립연구소의 클리퍼드 스톨의 사례가 유명한데, 1986년에 컴퓨터 사용 요금 계정의 75센트 회계 오차가 있다는게 시작이었다. 참고로 이 75센트는 9초 분량의 컴퓨터 사용 요금이다. 아주 작은 오차라 그냥 넘어갈법도 하지만 스톨은 이 문제를 집요하게 파고들었다. 그냥 일부 직원의 실수였거나 내가 뭔가 더 사용했겠지 라고 생각하는게 쉬웠지만 스톨은 매번 정확한 시간에 접속하고 정확한 시간만큼 사용했으며 매월 그 일은 같았다. 그렇기에 스톨은 이게 내 실수가 아니라 분명 누가 잠깐동안 접근한거다 라는 확신을 가졌고 더 깊이 파보다가 해커가 진짜 접속했다는 사실을 알아냈다.

그 즉시 스톨은 10개월간 흔적을 추적했고 함정을 설치했다. 회사의 중요 부서로 위장한 가짜 계정을 만들고 그럴듯한 가짜 데이터를 집어넣은건데, 이를 통해 해커가 이 데이터에 관심을 가지도록 유도했다. 그리고 해커가 회선에 들어오고 가짜 데이터를 다운로드할 때 회선을 추적했다. Tymnet 라우팅 서비스의 도움을 얻어서 버지니아주에 있는 방위산업체 MITRE 까지 침입경로를 추적했다. 해커 입장에서는 자신의 접속 위치를 속이기 위해 로렌스 버클리 국립연구소의 회선으로 접속을 시도한 일이며 이는 해커 입장에서 2번 원칙과 3번 원칙을 사용한 일이다. 그러나 정보를 은폐하려던 일이 오히려 중요한 흔적이 되어 자신의 위치를 노출하고 말았다.

그렇게해서 스톨은 해커의 접속 위치를 알아냈고 독일 우체국이 하노버의 자택에 있던 해커를 찾아냈다. 조사 결과 해커는 수 년간 해킹 결과를 KGB에 팔아넘겼고 이 사건이 최초의 문서화된 컴퓨터 침입 사례이자, 스톨은 최초로 침입을 매일 기록한 사람으로 남았다.

핵심은 의심과 끈질김이다. 사회공학기법이 아직도 정보보안에서 위협적인 이유중 하나는 인간의 귀찮음과 해이함에 근거하며 인간 심리의 약점을 정확히 노리기 때문이다. 매일 의심하고 끊임없이 조사하는 태도가 무엇보다 중요하며 만약 당신이 중요한 데이터를 다루는 사람이라면 내가 가진 정보를 누가 어떻게 빼내려 할지를 미리 생각해두는 연습이 필요하다.

3. 살인자의 생각들

매년 8월 공표되는 경찰청범죄통계 자료에서 살인기수 발생건수 대비 검거건수는 95.7에 달한다⁷.

살인미수의 경우 98에 달하며 강간 98.3, 유사강간 96.7등 강력범죄에서는 높은 검거율을 보인다. 즉, 대부분 잡힌다는 뜻이다. 만약 인터넷에 떠도는 말 처럼 실종으로 위장한다면? 실종은 대부분이 다 돌아온 수치이고 실제 실종 비율은 낮다. 아이를 조금만 잃어버려도 실종 사건으로 분류되며 집계된다는 점에서 실종 또한 살인의 다른 통계가 아니다. 앞전에 언급했듯이 한국은 하루에 100번 CCTV에 찍히는 나라다. 범죄자가 위장을 위해 한 지점에서 옷을 바꿔 입어 나온다고 해서 걸음걸이까지 달라지지는 않는다⁸.

애초에 앞서 나온 원리를 조금만 생각해봐도 살인으로 인한 은폐는 거의 불가능하다는 걸 깨닫게 된다. 피해자가 살인을 당한 시점에서 피해자가 오는동안 찍힌 동선이 존재하고 그 동선과 일치하는 용의자를 찾는 일은 어렵지 않다.

그렇다면 피해자가 평소와 같은 동선을 유지하면서 용의자도 같은 동선을 매번 공유하는 지점이라면 어떨까? 은폐의 1번 원칙인 중요도를 낮추는 일을 적용한다면, 그리고 그 동선을 공유하는 사람들이 많다면 (지하철, 도로) 용의자 입장에서는 발각되지 않을거라 생각할 수 있다.

이 일은 미국에서 1978년부터 1995년까지 일어난 시어도어 카진스키의 범행⁹과 비슷하다. 폭탄을 작은 소포로 위장했고, 우체국 택배를 이용했다. 16번의 폭탄테러로 3명을 살해하고 23명에게 부상을 입힌 사례다. 카진스키는 자신이라고 특정되지 않을 정도로 치밀한 수법을 보였지만 결국 카진스키가 언론에 발표한 선언문으로 인해 그 선언문의 특징적인 문체를 알아본 가족으로부터 발각되었다. 이때 언어적 특징을 근거로 범행을 특정하는게 법리적으로 가능하냐는 문제가 있었는데, ‘법언어학’이라는 근거를 제시하면서 범행을 특정지을 수 있었다¹⁰.

잡기 위해서라면 반드시 잡힌다. 때로는 카진스키의 사례처럼 새로운 학문 분야를 법 영역에 포함 시키면서 까지 수사 기법은 발전한다. 그리고 그 이론적 근거는 로카르 교환법칙과 란다우어 원리에 의해 보장된다.

결론은 항상 동일하다. 모든 접촉은 흔적을 남긴다.

Footnote

1. 이 부등식은 폰 노이만 엔트로피의 준가법성 $S(\rho_{AB}) \le S(\rho_A)+S(\rho_B)$에서 따라나온다. Araki, H., & Lieb, E. H. (1970). Entropy inequalities. Communications in Mathematical Physics, 18(2), 160–170. https://doi.org/10.1007/BF01646092 ↩

2. Landauer, R. (1961). Irreversibility and heat generation in the computing process. IBM Journal of Research and Development, 5(3), 183–191. https://doi.org/10.1147/rd.53.0183 ↩

3. 행정안전부, 한국인터넷진흥원 (2021). 《민간부문 CCTV 설치, 운영 실태조사》. 30, 40대 직장인 기준 하루 평균 약 98회 노출. 2021년 국정감사(유동수 의원실) 인용. ↩

4. 사회공학 기법에서는 사람의 귀찮음이 가장 큰 함정이다 ↩

5. 지금의 이 원리가 확장되면 스트라이샌드 효과로 불린다. 이와 마찬가지로 정보를 인위적으로 삭제하려는 시도가 오히려 더 멀리 퍼지는 현상인데, 이 스트라이샌드의 원리는 기본적으로 로카르 교환법칙의 원리와 유사하다. ↩

6. AhnLab Security Emergency response Center (2026. 5. 13.). 《2026년 4월 피싱 이메일 동향 보고서》. AhnLab. ↩

7. 경찰청 (2024). 《경찰범죄통계》. ↩

8. 사람마다 걸음걸이가 다르다. 보폭, 속도, 미세한 동작이 사람을 특정하는 요인이 된다. ↩

9. 정시행 (2023. 6. 11.). 희대의 테러리스트인가, 천재 선지자인가… 미 ‘유나바머’ 81세로 사망. 《조선일보》. ↩

10. Coulthard, M. (2004). Author identification, idiolect, and linguistic uniqueness. Applied Linguistics, 25(4), 431–447. ↩