악성코드 연계성 추론 - 역조건 확률을 혼동한 귀속 판단
어떤 기관의 사이버 위협 분석팀이 보고서 초안을 작성했다. 초안의 핵심 문장은 다음과 같다. “지난 18개월간 자국을 겨냥한 사이버 침해 11건 가운데 9건에서 악성코드 M이 사용되었다. 따라서今后 M이 탐지되는 침해는 X조직의 소행으로 보아야 한다.”
이에 대해 분석관 갑은 두 가지 사실을 추가로 제시한다. 첫째, M의 소스코드는 3년 전 유출되어 6개국 해커 포럼에서 공유되었고, 변종이 여러 차례 재배포되었다. 둘째, 올해 자국과 우방국에서 M이 탐지된 침해는 총 40건이었으며, 그중 X조직 소행으로 확인된 것은 9건이었다. 한편 자국을 겨냥한 전체 사이버 침해 가운데 X조직 소행으로 귀속된 비율은 약 30%로 추정된다.
초안 작성자는 “11건 중 9건, 즉 82%라는 높은 비율이 근거이므로 결론은 충분히 뒷받침된다”고 반박한다. 팀장은 최종 보고 전에 이 논증의 구조를 점검하라고 지시했다.
1. 초안의 추론이 어떤 확률을 어떤 확률로 바꾸어 놓았는지 설명하고, 결론이 성립하기 위해 필요한 가정을 밝혀라.
Read the worked answer
초안이 제시한 82%(9/11)는 P(M | X), 즉 ‘X조직 소행일 때 M이 사용되었을 확률’이다. 그런데 결론이 요구하는 것은 P(X | M), 즉 ‘M이 탐지되었을 때 X조직 소행일 확률’이다. 두 조건확률은 서로 다른 값이며, 이를 뒤바꾸는 것이 전형적인 역조건 오류다.
결론이 성립하려면 M이 사실상 X조직의 배타적 표지여야 한다. 즉 ㉠ M을 사용하는 거의 모든 행위자가 X조직이어야 하고, ㉡ M을 사용하지 않는 침해에서 X조직 비율이 M 사용 침해에서보다 유의하게 낮아야 한다. 갑이 제시한 ‘소스코드 유출·6개국 포럼 공유·변종 재배포’는 ㉠을 정면으로 훼손한다. M은 더 이상 특정 조직의 서명(signature)이 아니라 다수 행위자가 접근 가능한 범용 도구에 가깝다.
또한 11건은 ‘자국을 겨냥해 이미 확인된 사건’이라는 선택된 표본에서 나온 수치이므로, 모집단의 기저율을 대표하지 않는다.
2. ‘M 사용 침해 40건 중 X조직 귀속 9건’, ‘전체 침해의 X조직 귀속률 30%’라는 자료를 이용해 초안의 결론을 정량적으로 평가하라.
Read the worked answer
먼저 M 사용 침해의 X조직 귀속률은 9/40 = **22.5%**다.
이를 전체 침해의 X조직 귀속률 30%와 비교하면, M이 탐지된 사건에서 X조직일 확률(22.5%)이 오히려 전체 평균(30%)보다 낮다. 즉 M의 존재는 이 자료 범위에서는 X조직 소행 가능성을 높이는 지표가 아니라 오히려 낮추는 쪽으로 작동한다.
초안의 “M이 탐지되면 X소행으로 보아야 한다”는 주장은, 실제 데이터로는 4건 중 1건 정도만 맞는 수준이다. 82%라는 수치는 ‘X소행 사건에서 M이 쓰인 비율’이지 ‘M 사건이 X소행인 비율’이 아니므로, 결론의 근거로 사용할 수 없다.
물론 이 계산은 40건이라는 표본과 30%라는 추정치에 의존하므로 신뢰구간을 함께 제시해야 한다. 그러나 적어도 초안의 정량적 확신을 뒷받침하지는 못한다는 점은 분명하다.
3. 초안의 결론을 방어 가능한 형태로 다시 쓴다면 어떻게 표현해야 하는가?
Read the worked answer
다음 세 가지를 반영해야 한다. ㉠ 조건확률의 방향을 바로잡고, ㉡ 정량적 근거를 실제로 관측된 P(X | M)로 제시하며, ㉢ 단독 지표가 아닌 결합 지표로 격하한다.
수정 예시: “악성코드 M의 탐지는 X조직 소행 가능성을 배제하지 않으나, 단독 귀속 근거로는 충분하지 않다. 올해 M이 탐지된 침해 40건 중 X조직으로 확인된 사건은 9건(22.5%)으로, 전체 침해의 X조직 귀속률(약 30%)보다 낮다. 따라서 M 탐지 사실만으로 귀속을 단정하지 않고, 인프라 재사용 흔적, 침해 시간대, 코드 서명 외 언어·도구 습관 등 서로 독립적인 지표 2개 이상이 일치할 때만 X조직 귀속 판단을 내린다.”
이 형태는 ㉠ 결론의 강도를 데이터에 맞추고, ㉡ 반증 가능한 조건(독립 지표 2개 이상)을 명시하며, ㉢ 향후 M이 다른 행위자에게 사용될 가능성을 전제로 남겨 둔다. 보고서 작성자의 82% 주장은 ‘X소행 사건의 도구 사용 패턴’을 기술하는 데에는 쓸 수 있지만, 귀속 판단의 근거로는 쓸 수 없다.