문학에도 있고 보안에도 있는 고전, “오만과 편견”

보안에 대한 잘못된 생각 다섯 가지는?

결국 전혀 새로운 체제를 갖추지 않는 한 계속 당할 수밖에

[보안뉴스 문가용] 매일처럼 유출사고가 터진다. 애쓴다고는 하지만 아마 우리는 헛수고만 하고 있는 모양이다. 이에 대한 이유는 두 가지다. 해커의 성장 속도가 우리가 생각하는 것보다 훨씬 빠르기 때문이고, 보안에 대한 잘못된 선입견이 너무나 팽배하고 있기 때문이다. 그런 잘못된 선입견 다섯 가지를 뽑아보았다.

편견 1. 설마 나를 공격하겠어?

많은 사람들이 어찌나 겸손한지 자기들은 공격할 가치가 없는 사람이라고 여겨버린다. 그런데 해커들은 사람을 가리지 않는다. 그게 사실이다. 해커가 사람을 가린다면 그건 컴퓨터나 이메일 계정이 없는 사람뿐일 것이다. 대부분의 사람들이 은행계좌 하나쯤은 가지고 있고 회사의 비밀 전략이나 정보 등 한두 가지 정도는 간직하고 있다. 당신은 생각보다 귀하다.

편견 2. 피싱? 내가 피싱을 구분 못할 거 같아?

피싱 전화를 거꾸로 가지고 놀았다는 무용담 하나씩 들어봤거나 심지어 가지고 있는 사람이 많다. 실제 어설픈 피싱 공격은 정말 파악해내기가 쉽다. 은행이나 우체국에 입금하라는 메시지가 담긴 피싱은 이제 거의 통하지 않는다고 봐도 무방하다. 보안에 조금 관심있는 사람이라면 피싱 메일의 URL을 먼저 점검할 줄도 알고 함부로 이메일을 열어보지 않는다.

그런데 그런 정도의 유치한 공격은 해커들에게 있어 유치원 수준의 놀이일 뿐이다. 정말 해커들이 마음 먹고 진지하게 누군가를 노린다면 그 공격은 높은 확률로 통한다. 공격 수준이 굉장히 높아졌기 때문에 아마 당하는 사람들은 대부분 내가 아는 친구나 단골업체에게서 온 파일이라고 생각하고 메일을 열 가능성이 높다. 당신의 친구나 단골업체 알아내는 건 일도 아니다. 당신의 취미, 좋아하는 것, 자주 방문하는 사이트 역시 해킹 가능한 정보일 뿐이다. 게다가 중국발 피싱 전화처럼 억양(이메일의 경우 글투)이 이상하지도 않다. 그러니 피싱 이메일을 열어놓고도 전혀 눈치를 못 채는 경우도 부지기수다. 자신할 수 있는 건 아무 것도 없다.

편견 3. 쿠키를 부지런히 지우니까 나는 안전해.

쿠키는 해킹에 사용되는 수많은 방법 중 하나일 뿐이다. 모든 브라우저에마다 쿠키라는 게 있으니 제일 쉬운 방법이기도 하다. 이 쉬운 방법을 해커가 얼마나 즐겨 사용할까? 쿠키만을 노리는 해커가 얼마나 될까? 해커 입장에서는 쿠키로 해킹이 불가능하면 예를 들어 IP 주소 등 다른 방법을 얼마든지 고려해볼 수 있다. IP만 알아내도 위치, 네트워크 등의 중요한 정보를 추가로 알아낼 수 있다.

게다가 브라우저 내에는 수퍼쿠키라는 것도 있다. 일반 쿠기와 비슷한 일을 하지만 사용자가 쿠키처럼 쉽게 지울 수가 없다. 이 수퍼쿠키는 정보를 사용자가 모르는 위치에 저장한다. 또한 컴퓨터와 브라우저마다 일종의 지문 같은 것이 존재한다. 윈도우 OS 종류라든가 사용자가 주로 사용하는 브라우저의 종류, 플러그인, 화면 해상도 설정 등 따로따로 보면 별로 특징될 것이 없는 정보들을 모았을 때는 그 시스템의 유일한 식별정보가 되는 것이다. 요즘 세상, ‘식별’은 굉장히 입체적인 작업이다.

편견 4. 불법 사이트에 접속하지 않기만 하면 돼.

인터넷 어디를 서핑하든 위험 부담은 똑같다. 그저 불법 사이트에만 취약점이나 멀웨어가 득실거리는 건 아니다. 심지어 최근 보고서에 따르면 인기가 많은 사이트가 오히려 더 위험할 수도 있다고 한다. 해커들은 사람들이 많이 모인 곳을 주로 노리기 때문이다. 하루에도 수많은 거래가 이루어지는 대형 쇼핑몰 사이트에서 멀웨어가 나올 확률이 가짜 소프트웨어 사이트보다 20배, 포르노 사이트보다 182배 높다는 연구 결과도 있다.

편견 5. 방화벽과 백신 프로그램이 있으니 든든해.

이게 아마 가장 많은 편견 아닐까 한다. 그리고 모든 안전불감증의 핵심이다. 방화벽과 백신 프로그램을 부정하는 건 아니다. 하지만 이것에만 모든 것을 맡기고 다 이루었다고 말하는 건 게으름과 해이의 또 다른 모양새일 뿐이다. 방화벽과 백신도 중요하나 이것만으로 보호장비를 모두 갖추었다고 말할 수는 없다. 세계에서 제일 좋다는 안티멀웨어라고 하더라도 45%의 방어율만을 보이는 것이 현실이다.

고전은 거의 항상 옳다. ‘오만과 편견’이라는 제목 역시 마찬가지다. 위에 말한 편견 다섯 가지는 결국 ‘현실 안주’라는 오만으로 비롯되거나 귀결되기 때문이다. 우리에게는 전혀 새로운 보호 체제가 필요하다. 타깃이 되었을 때, 피싱인 줄 모르고 공격을 허용했을 때, 내 뒤를 누군가 밟고 있을 때, 악성 사이트에 접속했을 때, 제로데이 취약점이 공략당했을 때 등 경우 별로 수립된 방비책이 필요하다.

ⓒDARKReading

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)