해외보안시장, “우리는 이제 겨우 1분기를 보냈을 뿐”

2015년 1Q, 해외 보안시장의 주요 사건·사고 총정리

거의 일 년 치의 사건·사고 발생으로 힘겨운 시간

[보안시장 주소형] 이제야 1분기를 보냈다. 벌써 1분기가 지났어가 아닌 이유는 세달 동안 발생했던 유출 사건·사고가 거의 일 년 치에 육박하고 있는 것처럼 느껴지기 때문이다. 양도 양이지만 큼지막하고 의미 있는 사건들이 잇달았다.

우리는 올해 1분기 동안 몇 년에 한번 발생할까 말까한 대형 의료보험 유출사건을 2건이나 겪었고, 지속되는 제로데이 익스플로잇(zero-day exploits)과 디도스(DDoS) 공격 등으로 불안하고 초조한 시간을 반복했다. 그렇게 늘어난 사이버 위협에도 여전히 보안인력에는 큰 변화가 없어 정보보호최고책임자(CISO)와 보안담당자들은 일에 치여 바쁘고 힘든 1분기를 보냈다고 한다. 비온 뒤 일곱 빛깔의 무지개가 뜨는 것처럼 그렇게 그들을 그리고 우리를 괴롭혔던 주요 사건·사고 7가지를 정리했다.

1. 깃허브(GitHub), 거대 디도스(DDos) 공격당하다

1분기의 마지막을 장식한 사건이다. 3월 말에 코딩 및 개발 공유 사이트인 깃허브(GitHub)가 거대한 디도스 공격을 당했다. 이는 역대 최대 규모의 디도스 공격으로 알려졌다. 공격자는 아직 누군지 정확히 밝혀지지는 않았다. 다만 신원미상의 엄청난 인원의 해커들이 깃허브 사이트에 몰려와 새로운 기술을 사용하여 공격을 가한 것으로 파악됐다.

2. 앤섬(Anthem), 드디어 터진 의료보험업계의 유출 사건

의료보험업계에 보안에 대한 큰 경각심을 일깨워준 사건이다. 지난 2월, 그 동안 위태위태했던 의료보험업계에서 유출사건이 터졌다. 침투 공격으로 인해 8,000만건의 정보가 유출된 것. 이는 해커들이 의료보험업계를 노려 발생한 시발적인 사건이자 미국 국민 4명중에 1명이 피해자였던 대규모 유출사건으로 기록되고 있다.

3. 프리메라 블루 크로스(Premera Blue Cross), 두 번째 의료보험 유출 사건

앤섬 유출 사건 발생 한 달 만에 또 다른 의료보험 회사의 고객 정보가 유출됐다. 이번엔 약 1,100만건의 고객 정보가 유출된 것으로 전해졌다. 유출 발원지는 프리메라 블루 크로스라는 미국의 의료보험회사다. 그런데 이번 사건에서 눈여겨 볼 점은 앤섬 유출과의 연관성이다. 의료보험업계는 업무상 병원-약국-보험사 등이 서로 거미줄처럼 연결되어 있어 한 곳이 뚫리면 전부 다 유출 위험에 놓이게 된다. 때문에 추가적인 피해가 얼마든지 발생할 수 있으며, 의료보험업계에 보안강화가 촉구되고 있다.

4. 세계적인 차량 예약 서비스업체인 우버(Uber), 운전자정보 유출

모바일 차량 예약 서비스 업체인 우버(Uber)에서 운전자 정보가 유출됐다. 지난해 5월부터, 5만 명 이상의 운전자들의 이름과 차량번호가 유출된 것. 문제는 우버가 지난해 9월에 이미 이 유출 낌새를 눈치 챘으나, 이 같은 유출사실을 개개인에게 알리는 데 5달이나 소요했다는 점이다. 따라서 그냥 어물쩍 넘어가려고 했던 게 아니냐는 지적이 있다.

5. 中 사이버 해킹집단인 코도소 팀, 인기사이트 통한 우회공격

중국의 해커집단으로 알려진 코도소(Codoso) 팀이 접속자 수가 높은 사이트를 이용해 우회 공격한 것으로 알려졌다. 아이사이트(iSight)와 인빈시아(Invincea)에 의해 밝혀진 사실이다. 마이크로소프트의 ASLR 기술 내에 있던 취약점과 어도비 플래시 취약점을 합쳐 우회 공격한 것이라고 한다. 해당 공격은 포브스(Forbes)라는 사이트에 있는 ‘오늘의 좋은 생각(Thought of the Day)’ 위젯을 감염시켰다.

6. SSL/TLS에서 'FREAK'이라는 취약점 발견

웹 서버 간에 데이터 전송을 안전하게 하기 위해 고안된 프로토콜인 SSL/TLS에서 'FREAK'이라는 취약점이 발견됐다. 지난해 전 세계를 떠들썩하게 했던 SSL 취약점인 하트블리드의 여운이 아직 남아 있는 상황이라 더욱 관심이 집중됐다. 이는 SSL/TLS를 통해 강제로 취약한 RSA로 다운그레이드 시킬 수 있는 취약점이다. 애플 사파리 및 안드로이드의 기본 브라우저를 사용하는 모든 이에게 해당되는 이야기여서 많은 이들을 긴장시켰던 사건이다.

7. 모건 스탠리 사건으로 ‘내부위협’에 대한 경각심

연초에 발생했던 사건이다. 미국 대형금융사인 모건 스탠리(Morgan Stanley) 직원이 전체 10%에 달하는 고객정보를 유출시킨 것. 그는 빼돌린 정보 가운데 고객 900여명의 개인정보를 대중에 공개했다. 물론 모건 스탠리사는 해당 직원을 해고했지만, 그렇다고해서 유출된 정보를 되돌릴 수는 없기 때문에 직원관리에 대한 경각심이 매우 높아진 계기가 된 사건이다.

@DARKReading

[국제부 주소형 기자(sochu@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)