[中 상반기 인터넷 보안 상황 ④] 클라우드 공격

‘클라우드(Cloud)’ 겨냥한 해커 공격 본격화

[보안뉴스 온기홍=중국 베이징] 중국의 인터넷 보안 솔루션 업체인 루이싱이 최근 발표한 ‘2011년 상반기 인터넷 안전 보고’에 따르면 지난 상반기 동안 대규모 이용자 자료 등을 저장하고 있는 ‘클라우드’(Cloud)를 겨냥한 해커 공격들이 본격화했다. 해커가 기업 네트워크에 침입해 서버상의 이용자 데이터와 재무 데이터 등을 복제하는 사건들이 잇달아 일어났다.

대표적으로 중국 대형 인터넷 포털 사이트 시나닷컴(www.sina.com)가 제공하는 마이크로 블로그 서비스인 ‘시나 웨이보어’에 대한 웜바이러스 공격이 일어났다. 시나 웨이보어는 지난 6월 28일 ‘크로스 사이트 요청 위조(CSRF:Cross-Site Request Forgery)’ 공격을 처음 받았다. 이 때문에 웨이보어 이용자들은 바이러스와 악성코드가 들어 있는 개인 메일과 웨이보어를 자동으로 팔로어들에게 전송했다. 이를 클릭한 일부 이용자들도 피해를 입으면서 악성 순환에 이어졌다.

루이싱 측은 “이는 시나닷컴의 웹 페이지 내 여러 개의 링크에 대한 필터링이 철저하지 않아 발생한 반사성 XSS(Cross-site scripting) 때문이다”고 설명했다. 루이싱은 이번 웜바이러스 공격은 바이러스를 포함한 개인 메일과 링크에 국한되며 웨이보어 계정과 이용자 정보 등을 절취할 수 없다고 밝혔다.

베이징 공안 당국이 지난 7월 1일 붙잡은 뤄 모씨는 시나닷컴의 웨어보어 플랫폼에 존재하는 보안 취약점을 이용해 계정을 등록한 뒤 자신의 웨이보어에 대한 인기도를 높이기 위해 고의로 웹 주소 링크가 포함된 정보를 전송했다. 이 웹 주소를 열어 본 웨이보어 이용자들을 자신의 팔로워가 되게 했다. 동시에 그 정보를 자동으로 재전송(리트윗)하게 했다.

◇ 클라우드 공격 상황 = 중국에서 나타난 ‘클라우드’를 겨냥한 공격은 크게 3가지 방식이 있다. 정보 절취, 이용자의 ‘클라우드’ 방문 저지, 권한 상승 후 공격(정보 절취) 등이다.

해커는 주로 △제품 보안 설계 상의 실수 △기업 내부 업무 프로세스와 보안 과정 상의 취약점 △운영체(OS)와 애플리케이션, 데이터베이스에서 취약점을 이용해 서버 등에 침입해 고급 권한을 획득하고 비밀 정보를 빼내간 것으로 드러났다.

이용자가 ‘클라우드 서비스’에서 이용하는 소프트웨어와 애플리케이션에서도 보안 취약점이 나타나고 있다. 먼저, 전형적인 브라우저 위협 공격이다. 이용자가 A 사이트를 방문하려 할 경우 악성(브라우저 보조) 프로그램은 강제적으로 B 사이트로 이동하게 한다.

둘째 호스트(host) 위협이다. 이용자가 A 웹주소를 입력하면 반대로 B 웹주소로 가게 한다. 셋째, 피싱 사이트 공격이다. 해커는 악의적으로 위조 사이트를 만들고 이용자를 속여 방문하게 한다. 아울러 클라우드가 여러 종류의 플랫폼 애플리케이션을 지원하는 것과 관련, PC뿐 아니라 다른 플랫폼에 대한 보안에도 관심을 가져야 한다고 루이싱은 강조했다.

루이싱은 “상반기에 이동전화기와 모바일기기를 노리고 전문 개발된 피싱 사이트를 포착했다”며 “이용자가 이동전화기에 맞는 보안 프로그램을 설치하지 않는다면 피싱 사이트 방문 후 피해를 입게 된다”고 설명했다.

루이싱은 또 “플래시(flash) 소프트웨어는 최근 몇 년 동안 빈번하게 ‘0-day’ 취약점을 보였는데 특히 PC에서 웹 게임이 성행하면서 플래시 보조 프로그램의 취약점으로 인한 보안 사고도 갈수록 늘고 있어 관심을 기울여야 한다”고 지적했다.

◇ 중국 상당수 기업, 보안 전문 인력 보유하지 않아 = 지난 상반기 동안 전자상거래 사이트를 비롯해 혼인, 공동구매, 호텔 사이트 등은 해커 공격의 중점 대상이었다. 이들 웹사이트는 대량의 이용자 정보와 구매 행위 정보, 은행·신용카드 정보 등을 저장하고 있기 때문이었다. 해커들은 이를 팔아 불법적 이득을 챙겼다.

루이싱은 “그러나 해커 공격을 받은 기업들은 이미지 손상과 시장 내 파급 효과를 우려하고 있고 이 가운데 소수 기업만이 이용자들에게 상세한 내용을 발표하고 있다”며 “반면 다수 업체들은 피해 내용을 부인하고 사실을 덮는 쪽을 택하고 있다”고 지적했다. 이 때문에 해커들이 처벌을 받는 경우가 드문 실정이다.

게다가 온라인 음악·파일 공유, 쇼핑 업체들의 서버는 ‘클라우드’ 특징을 갖고 있지만 이들 업체는 보안 전문 인력을 보유하고 있지 않는 상황이다. 단지 일부 네트워크 관리 인원에게 보안 분야 업무를 맡기고 있다. 이와 함께 기업들은 자사 웹사이트에서 이용자 인터페이스와 상호 교류 기능에 많은 노력을 기울이지만 보안상 투자에서는 상당히 느슨하다.

인터넷 공동구매 사이트의 경우, 1개월 등록 이용자 수가 10만 명, 월 거래 금액이 수천 만 위안인 한 공동구매 사이트는 단지 5~10명 정도에게 기술 개발을 맡기고 있다. 특히 보안 부문의 업무는 1명이 겸직해 맡고 있는 것으로 드러났다.
[중국 베이징 / 온기홍 특파원 onkihong@yahoo.co.kr]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)