[보안칼럼] 개인정보 위협하는 공격 트렌드와 대응 방안

최근의 개인정보 유출 및 침해 사례가 연일 신문지상에 보도되고 있다. IT 기술의 발달로 개인정보를 다루는 서비스가 증가하고 개인정보의 범위도 증가함에 따라 새로운 개인정보 침해 유형이 계속 증가하는 실정이다. 본 고에서는 최근의 개인정보를 위협하는 공격 트렌드를 알아보고 이에 대한 대응 방안을 살펴본다.

개인정보 공격 트렌드

개인정보는 이용자 단말에서 입력 또는 생성되어 네트워크를 통해 서버로 전송되어 저장되며 경우에 따라 SNS 등을 통해 처음부터 인터넷에 공개되기도 한다. 이에 따라 각 단계별로 다양한 침해 유형이 발생하는데 먼저 이용자 단말 중 PC에서는 악성코드를 이용해 기존에 저장되었거나 이용자가 신규 입력하는 개인정보를 절취하는 사례가 일반적이다.

마이크로소프트에 따르면 한국은 악성코드에 감염된 컴퓨터가 1000대 중 40대로 전세계 평균인 10대보다 4배나 많이 감염되어 감염률 1위를 기록한다고 한다. 특히 최근에는 사용자의 온라인 뱅킹 계정 정보를 탈취하는 제우스라는 악성코드의 소스코드가 공개되어 다양한 변종 출현과 이에 따른 피해 증가가 우려되고 있다.

최근 사용자가 폭발적으로 증가하고 있는 스마트폰에서의 개인정보 유출 문제는 더욱 심각하다. 스마트폰의 악성코드는 화면 캡처나 저장된 파일 탈취와 같은 종래의 공격 이외에도 이용자의 위치 정보와 통화내역, 전화번호부 같은 민감한 정보를 탈취한다. 악성코드가 침입하여 스마트폰을 음성이나 화상 도청 장치로 만들어 버리는 경우도 시연을 통해 많이 알려져 있다.

스마트폰을 와이파이 망에 접속할 경우에도 심각한 위험이 발생할 수 있는데 우선 위장된 악성 AP에 접속할 경우에는 전송되는 개인정보를 그대로 탈취당할 수 있다는 취약점 또한 최근 보고되고 있다.

이용자 단말이나 네트워크에 도사린 위험을 피해 개인정보가 서버로 무사히 전송된 이후에도 다양한 위험은 여전하다. 최근에 보도되는 여러 해킹 사례에서는 최대 수천만명의 개인정보가 한꺼번에 유출되고 있다.

해외에서는 소니의 서버가 해킹 당해 7,500만명의 개인정보가 유출되었으며 국내에서는 현대캐피탈의 서버가 해킹당해 175만명의 고객정보가 유출되기도 했다. 리딩투자증권에서는 SQL인젝션 공격을 통해 고객 정보를 탈취한 해커가 돈을 요구하는 협박 이메일을 보내는 사건이 발생했다.

한편 트위터, 페이스북과 같은 SNS 사용이 폭발적으로 증가하면서 SNS를 통한 개인정보 침해 위협 또한 빠르게 증가하고 있다. SNS는 기본적으로 공개되어 있으므로 SNS에 게시되는 사소한 행동 기록들이나 관심사, 그리고 네트워크 관계 등 단편적 정보를 분석하여 신상정보는 물론 관심분야, 소득 수준, 생활 패턴 등과 같은 다양한 광의의 개인정보를 도출할 수 있게 되었다.

이렇게 도출된 개인정보는 피싱 등 사회공학적 공격에 활용되기도 하고 개인 맞춤형 광고 등 상업적으로 이용되기도 한다. 또한 요즘 클라우드 서비스를 통한 개인정보 유출 가능성에 이슈가 발생되고 있다.

클라우드에 저장되는 데이터는 웹사이트에 제출하는 간단한 프로파일 수준의 개인정보가 아니라 개인의 모든 데이터 파일일 수 있다. 이러한 데이터는 그것이 개인정보라는 분류조차 되어 있지 않기 때문에 개인정보보호 관련 법제도의 도움을 받지도 못하는 실정임에도 불구하고 상업적 활용, 정부의 감시 등 더 광범위한 위협에 노출될 수 있다.

개인정보보호를 위한 대응방안

개인정보보호를 위한 조치로는 법제도 측면의 것과 기술적 대응 방안이 있을 수 있다. 법제도 측면에서 우리나라는 9월부터 시행될 개인정보보호법을 중심으로 다양한 개인정보보호 조치를 이미 취하거나 준비하고 있다.

행정안전부는 개인정보연구회를 발족하여 6개 분과에서 개인정보보호법 시행령, 기본계획, 표준지침, 안전지침, 처리지침, 홍보를 연구하고 있다. 개인정보 영향 평가 제도를 도입하여 공공 기관 정보화 구축시, 침해요인을 사전 분석하는 영향평가를 의무화했고 개인정보 관리체계 인증제도 또한 도입할 예정이다.

공공기관에 대한 개인정보보호 수준 평가 제도를 도입하여 2만5천개의 기관에 대해 18개의 지표를 평가하기도 한다. 스마트폰과 SNS, 클라우드서비스 각각에 개인정보보호 가이드라인이 만들어지고 평가 체계가 수립되어 가고 있다.

기술적인 대응 방안으로는 이미 많이 보급되어 있는 이용자 단말 내에서의 단순한 개인정보 유출을 모니터링하는 솔루션이나, 웹사이트 별로 개인정보 노출을 감시하는 기존 솔루션들 외에도 중앙에서 개인정보 노출 조기경보시스템을 가동하여 70만 개의 웹사이트를 대상으로 검색엔진과 같은 방식으로 데이터를 수집하여 개인정보 노출 여부를 모니터링하는 기술도 사용되고 있다. 또한 주민번호 대체 아이핀도 점차 보급이 확대되어 주민번호 노출로 인한 피해 감소에 기여하고 있다.

새로운 개인정보 침해 유형이 계속 생겨나고 있기 때문에 기술적 대응 방안도 지속적으로 연구 개발되어야 한다. 몇 가지 주목할 만한 개인정보보호 기술로는 우선, 가상 아이디 및 익명 크리덴셜 기술을 들 수 있다. 가상 아이디는 온라인상에서 실제 본인과 연결고리를 찾을 수 없으며 가상 아이디들 간에 연결성을 찾을 수 없는 여러 개의 아이디를 사용하는 것을 의미한다.

가상 아이디를 사용하기 위해서는 이용자 측에서 이를 효과적으로 도와줄 수 있는 에이전트가 반드시 필요하다. 익명 크리덴셜은 개인정보 중에 신원을 노출하지 않고 어떤 특성이나 자격 요건을 입증할 수 있는 기술이다. 예를 들어 성인 사이트나 게임을 이용하기 위해 19세 이상인 것만 입증할 수 있으면 되지 실제 주민번호를 제출하는 등과 같은 신원을 노출할 필요는 없는데 이 경우 익명 크리덴셜 기술을 적용하면 개인정보 노출을 크게 줄일 수 있다.

개인정보가 어떠한 서비스 제공자에게 어떤 형태로 제공되었는지 관리할 수 있는 기술 또한 매우 중요하다. 개인정보보호법에 따르면 서비스 제공자는 본인의 요청에 따라 개인정보 보유 이력을 제공하고 본인의 통제에 따라 개인정보를 처리해야 한다고 명시되어 있다. 이를 기술적으로 구현하기 위해서는 수많은 서비스 제공자에게 제공된 개인정보의 이력을 효과적으로 조회 및 관리할 수 있는 기술적 수단이 필요한 것이다.

검색엔진을 이용한 신상털기나 SNS를 통해서 단편적으로 공개된 정보를 분석하여 개인에 대한 다양한 정보를 추론해 내는 위협에 대응하기 위한 개인정보 셀프 프로파일링 기술도 중요하다. 셀프 프로파일링은 개인정보 취합 및 분석을 통한 추론에 대비하기 위해 이용자 단에서 자체적으로 개인정보 추론을 해보고 이에 따라 정보의 제공을 필터링하는 기술이다.

개인정보보호법상의 개인정보 이용에 대한 본인의 동의를 어떻게 기술적으로 구현할 것인가도 해결해야 하는 문제이다. 현재는 개인정보 이용에 대한 동의를 일괄적으로 구하며 이용자가 가/부 이외에는 어떠한 선택도 할 수가 없다.

법에 따르면 각각의 개인정보에 대한 사용 목적과 사용기간에 대한 통보 및 동의를 받아야 하며 제3자의 제공이나 사용용도 변경에 대해서도 동의를 구해야만 한다. 따라서 이러한 일들을 효과적으로 수행할 수 있는 기술적 수단이 반드시 필요한데 이를 개인정보 제공협상 및 통제 기술이라고 부른다.

이용자에게 일일이 세세한 동의와 통제를 받는 대신 개인은 일정한 수준의 개인정보 제공 및 통제 정책을 수립하고 서비스 제공자는 개인정보 이용 정책을 수립하면 각각의 에이전트를 통해 정책을 자동으로 협상하고 협상 결과에 따라 개인정보를 제공하는 방식으로 동작하는 기술이다.

제공된 개인정보가 원래의 공표된 목적 및 용도에 따라 적절히 사용되고 있는지, 즉 개인의 개인정보보호 정책이 잘 집행되고 있는지 확인하기 위해 인프라측면에서 이를 감시하고 검증할 수 있도록 하는 기술 개발도 필요하다.

최근의 개인정보 공격 유형과 이에 대응하기 위한 개인정보보호 기술을 간단히 살펴보았다. 개인정보에 대한 공격과 방어는 향후에도 창과 방패의 경쟁과 같이 끝없이 지속될 것으로 보인다.

[글 _ 조현숙 한국전자통신연구원 지식정보보안연구부장(hscho@etri.re.kr)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)