소셜·모바일 ‘기업 보안 공격’ 매개체로 부상

IBM X-포스 연례 보안 동향 보고서...DDoS기반 진화된 위협 등장

[보안뉴스 김태형] 기업과 기관의 최고정보보호책임자(CISO)가 새로운 형태의 보안 위협에 더 효과적으로 대응하기 위해 소셜 미디어, 모바일, 웹 페이지의 취약점과 공격 실태를 파악하는 것이 최우선 과제로 나타났다.

한국IBM(대표 셜리 위-추이, www.ibm.com/kr)은 30일 2013년 IBM X-포스(X-Force) 연례 보안 동향 보고서의 결과 발표를 통해 이같이 밝혔다.

IBM X-포스의 연구 결과에 따르면, 소셜 미디어, 모바일, 홈페이지 등 새로운 매개체를 대상으로 사용자의 신뢰를 악용한 공격 행태가 기승을 부리고 있다. 공격의 유형 또한 보다 정교해져 소셜 미디어 통한 기업 정찰과 공격, 특정 사이트를 대상으로 한 전략적 보안 침투, DDoS를 이용한 주의분산 공격 등이 새로 등장했다.

최근 일련의 공격이 기업을 대상으로 주로 이뤄지면서 기업 피해가 늘고 있는 것도 문제로 꼽혔다. 기업의 CISO는 향상된 보안을 위해 위험 실태에 기초한 최적의 보안 태세를 달성할 필요가 있다.

IBM의 X-포스 보고서에 따르면 상당수의 보안 문제가 지속적인 패치 설치, 소프트웨어와 운영체제의 업데이트, 보다 엄격한 보안정책 마련 등의 기본적인 노력에 의해 해결될 수 있으며 기업의 보안 강화를 위해 숙지해야 할 공격 실태를 아래와 같이 소개했다.

소셜 미디어 통한 신뢰 관계 악용 증가

개인 외에도 기업이나 기관의 소셜 미디어 활용이 활발해 지면서 소셜 미디어가 보안 공격의 주된 수단으로 부상하고 있다. 소셜 미디어를 통한 공격은 기존의 신뢰 관계를 이용한다는 점에서 기업 등 폐쇄적인 조직을 뚫고 들어갈 수 있는 가장 효율적이고 전략적인 방법으로 꼽힌다.

소셜 네트워크를 통해 공개된 개인 정보를 활용해 업무로 위장한 스팸을 보낸 다던지 “팔로우”를 사칭해 악성 링크를 전달하는 식의 공격이 이에 해당한다. 심각할 경우 소셜 네트워크 계정을 허위로 만들어 가짜 개인정보를 거래하기도 하고 범죄행위 시 신분을 감추기 위한 목적으로 활용하기도 한다.

소셜 네트워크는 기업 홍보와 인재유치 활동에 효과적인 도구로 활용될 수 있지만 동시에 공격의 주된 통로가 돼 기업 정찰과 보안 공격에 악용될 수 있다. 기술 발전과 보안 규제의 강화로 소셜 엔지니어링 애플리케이션은 더욱 정교해지겠지만 사용자의 신뢰가 보안에 치명적인 약점으로 작용할 수 있다. 기업이 소셜 미디어 활용을 포기하거나 조직원의 접근을 차단하기 보다는 소셜 플랫폼의 모니터링을 강화하고 오용을 방지할 수 있는 방안을 고민해야 한다.

특정 웹사이트 공격

방문자 유입이 꾸준히 이뤄지는 특정 웹사이트는 공격의 대상으로 간주될 수 있으며 주로 사용자 정보를 노리는 전략적인 공격에 노출될 수 있다. 이런 웹사이트 중 몇몇은 강력한 보안 솔루션과 정책이 미처 구비되지 않은 상태이며 설사 구비됐다 하더라도 공격 비용보다 성공 시 잠재 이익이 더 크기 때문에 보안 침투의 주된 대상이 된다.

일명 ‘워터링 홀(Watering hole)’ 공격이라고도 불리는 이 새로운 유형의 공격은 보안이 갖춰진 웹사이트 일지라도 전략적이고 효과적인 공격에 무방비로 노출될 수 있다는 것을 증명한다. 공격자는 해당 웹사이트의 보안을 뚫고 악성코드를 퍼뜨린다. 기술에 대해 잘 알고 피싱 수법에 대해 이미 숙지하고 있는 사용자라도 자주 이용하고 신뢰하는 사이트이기 때문에 의심 없이 당할 수 있다.

보안이 뚫린 웹사이트를 이용한 제로데이 공격도 해당 유형에 포함된다. 제로데이 공격은 보안 취약점이 널리 알려지기 전에 해당 취약점을 악용해 이뤄지는 공격 유형으로 매우 신속하다는 점이 특징이다. 특정 웹사이트가 공격에 노출될 위험성을 낮추기 위해서는 서버 방화벽을 두텁게 하고 소프트웨어와 애플리케이션을 수시로 업데이트해야 하며 서버에 접속하는 기기의 보안을 강화할 필요가 있다.

주의분산 기법(Distraction and Diversion Techniques)

주의분산 기법은 과부하로 특정 시스템을 다운시키는 분산서비스거부(디도스:DDoS) 공격을 활용한 진화한 형태의 공격이다. DDoS 공격을 이용해 IT 관리자의 주의를 딴 데로 돌리고 기업의 다른 시스템에 침투하는 정교함을 보여준다. 활성 대역폭(capable bandwidth)의 양을 늘리거나 DDoS 완화/회피 기술을 사용해 기업의 온라인 서비스를 방해하고 비즈니스의 영속성을 위협한다. DDoS 기반 공격이 기술적으로 더욱 정교해졌음을 반증한다.

기업의 경우 해외 소재의 현지어로 된 사이트가 가장 취약한 공격대상이 될 수 있다. 해외소재 사이트의 보안 기준이 본사와 동일하지 않은 경우, 본사 소재의 국가 외에 위치한 대리점 사이트나 현지 언어로 제공되는 사이트를 통해 공격이 이뤄진다. 식품, 소비자 기기, 자동차, 엔터테인먼트 등 여러 산업에서 피해가 확인됐으며 세계적으로 유명한 브랜드도 같은 유형의 공격을 받았다. 이는 기업의 명성에 해를 입히는 것은 물론 고객정보 유출에 따른 법적인 문제로 까지 번질 수 있다는 점에서 매우 주의가 필요하다.

정보유출의 범위와 빈도 모두 늘고 있어 보안의 기초부터 잘 다져야 할 필요가 있다. IT 관리자와 네트워크 관리자, 최종 사용자의 관점에서 컴퓨팅의 안정성을 확인하고 기술적인 보완책을 고려하는 것도 있지만 기업 내 조직원이 보안을 이례적인 조치가 아니라 일상적인 관례로 인식하는 것이 사건을 예방하는데 큰 도움이 된다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)