고도화된 취약점 공격 앞에서 무너지는 보안체계

공격자들, 제로데이 취약점 패치 개발 전에 공격
시만텍, 2014년 ‘인터넷 보안 위협 보고서’...해킹, 정보유출 증가

[보안뉴스 김태형] 지난 2014년 정보보호 이슈는 ‘고도의 취약점 공격과 지능형 공격 전술’이라는 분석이 나왔다. 이에 앞서 2013년에는 대규모 정보유출이 화두가 된 바 있다. 시만텍은 ‘인터넷 보안 위협 보고서(Internet Security Threat Report)’ 제20호를 통해 지난 한해 동안의 주요 사이버 범죄 및 보안 위협 동향에 대한 분석 결과를 발표했다.

이번 보고서에 따르면 △지능형 사이버 공격 전술 확대 △광범위한 제로데이 공격 △사이버 협박을 위한 랜섬웨어 진화 △소셜 미디어 및 모바일 플랫폼 공격 증가 △악성코드 증가 △IoT(사물인터넷) 보안위협 부상 등이 주목해야할 보안위협으로 나타났다.

시만텍이 지난해 1년 동안 보안위협을 조사·분석한 결과, ‘드래곤플라이(Dragonfly)’라는 공격자들은 유럽·미국내 에너지 관련 기업 타깃으로 지속적인 사이버 스파이 활동을 감행했으며 복합적인 공격 전술을 통해 공격을 한 것으로 나타났다.

이와 관련 시만텍코리아 윤광택 이사는 “이들은 이메일 스피어 피싱을 이용해 목표 대상에 이메일을 전송하는 방법을 가장 많이 활용했으며, 두 번째로 많은 방법은 자주 방문하는 웹사이트 감염 후 잠복 공격하는 워터링 홀 공격이었다”면서 “세 번째는 트로이목마를 탑재해 감염된 소프트웨어 업데이트를 다운로드하도록 유도해 공격자들이 추가로 심어놓은 악성코드를 다운로드 하게 하는 방법을 많이 사용했다”고 설명했다. 공격자들은 이 세 가지 공격기법들을 복합적으로 동시에 사용했다.

보고서에 의하면 2014년 한해 특정 대상을 목표로 스피어피싱(Spear-Phishing) 이메일을 이용해 네트워크에 잠입하는 지능형 표적공격 캠페인은 전년 대비 8% 증가했다. 특히, 공격의 정확도가 한층 높아져서 표적공격에 사용된 스피어피싱 이메일은 14%나 감소했고, 이메일을 수신한 기업도 20%나 감소해 적은 노력으로 표적공격을 성공적으로 실행한 것으로 분석됐다.

또한, 스피어피싱 공격은 기업의 규모와 상관 없이 전반적으로 증가한 것으로 나타났다. 2014년 한해 동안 직원 2,500명 이상의 대기업 6개 중 5개 기업(83%)이 스피어피싱 공격의 표적이 됐으며, 이는 2013년 43% 대비 무려 40% 포인트나 증가한 규모다. 중소기업도 예외가 아니었다.

중견기업(251명~2,500명)은 63%, 소기업(직원 250명 이하)은 45%가 공격의 표적이 됐다. 표적 공격에 사용된 스피어피싱 이메일을 분석한 결과 .doc 형태의 워드 파일(38.7%)과 .exe 형태의 실행 파일(22.6%)이 가장 많이 이용된 것으로 나타났다.

더욱 빠르고 치밀해진 제로데이 공격 24건으로 최고치

사이버 공격자들이 피해자의 컴퓨터에 몰래 잠입하기 위해 제로데이 취약점을 활용하는 경향이 늘고 있다. 2014년에는 총 24건의 제로데이 공격이 발견되며 사상 최고치를 기록했다. 반면, 소프트웨어 기업들이 패치를 개발, 배포하는데 걸리는 시간은 2013년 평균 4일에서 2014년 평균 59일로 오히려 증가해 대응 속도가 느린 양상을 보였다.

윤 이사는 “특히 지난 해 심각한 피해를 입혔던 하트블리드(Heartbleed)는 취약점이 발견된 후 4시간 이내에 이를 이용한 공격이 크게 증가한 것으로 나타나 취약점에 대한 패치 개발 속도보다 훨씬 더 빠르게 공격자들이 행동한다는 사실을 다시 한번 입증했다”고 말했다.

또한 지난해 악성코드가 발견된 합법적인 웹사이트의 숫자는 전년 대비 절반 수준으로 감소한 반면, 합법적인 웹사이트를 방문한 피해자를 공격자가 악성코드를 심어둔 특정 웹사이트로 리다이렉트해 유인하는 경우가 현저하게 증가했다.

아울러 지난해 1천만 개 이상의 개인정보가 유출된 대형 정보유출사고는 4건으로 2013년 8건 대비 절반 수준으로 감소했으나, 전체 정보유출사고는 전년대비 23% 증가했다. 2014년 한해 동안 정보유출사고가 가장 많이 발생한 분야는 의료(116건), 유통(34건), 교육(31건) 순이었으며, 실제로 유출된 개인정보의 규모를 분석해보면 유통(약 2억 5백만 개) 분야가 전체 유출된 개인정보의 59%를 차지해 가장 많았으며, 금융(약 8천만 개), 컴퓨터 소프트웨어(약 3천 5백만 개) 순이었다.

대중 겨냥한 악성코드 공격 26% 증가

표적을 정해서 접근하는 공격도 있지만 대다수의 악성코드 공격은 여전히 불특정한 대중을 대상으로 하고 있다. 작년 한해 동안 새롭게 등장한 악성코드는 전년 대비 26% 증가한 무려 3억 1천7백만개로, 이는 매일 약 1백 만개의 새로운 위협이 생겨난 셈이다.

윤광택 이사는 “컴퓨팅 환경이 발달하면서 악성코드 개발자들 역시 탐지를 피할 수 있는 다양한 방법을 모색하고 있다. 그 중 하나가 가상 환경인데, 악성코드는 가상 환경인지가 인식되면 활동을 중단하거나 탐지를 피할 수 있도록 다른 방식의 행동을 취할 수 있도록 개발이 되고 있는 것으로 나타났다”면서 “실제로 2014년 전체 악성코드 중 28%가 가상머신을 인식해 우회했으며, 가상머신을 이용해 공격을 감행하는 악성코드도 등장해 새로운 위협으로 다가올 것으로 예상된다”고 덧붙였다.

사이버 협박을 위한 랜섬웨어 공격 역시 전년 대비 113% 증가했으며 2배 수준으로 크게 늘어났다. 지난해에는 특히 PC를 사용할 수 없게 만든 후 사법당국으로 위장해 돈을 요구하는 전통적인 랜섬웨어와 달리 피해자의 파일, 사진 등 데이터를 암호화하고 암호 키를 주는 대가로 돈을 직접적으로 요구하는 크립토 랜섬웨어(Crypto-ransomware)가 무려 45배나 늘어난 것으로 나타났다. 크립토 랜섬웨어는 새로운 공격 표적을 찾으면서 작년에는 안드로이드 모바일 기기에서 처음으로 크립토 랜섬웨어가 발견되는 등 그 공격 범위를 넓혀가고 있다.

이 외에도 보고서는 사이버 범죄자들은 여전히 이메일을 주요 공격 루트로 이용하고 있지만, 소셜 미디어 플랫폼을 활용하는 사례 역시 증가하고 있다고 밝혔다. 조사 결과 2014년 소셜 미디어를 통한 사기 행위의 70%는 피해자 본인이 직접 스캠을 공유하도록 유도하는 방식이었던 것으로 나타났다. 일반적으로 지인이 공유한 콘텐츠를 신뢰할 가능성이 높기 때문에 소셜 미디어를 이용한 사이버 공격도 늘어나고 있다. 모바일 공격 또한 큰 위협으로 대두됐다.

또 2014년에는 POS(Point of Sales) 시스템, ATM, 가정용 라우터 등 네트워크에 연결된 기기에 대한 공격이 늘어났다. 시만텍은 사물인터넷의 영역이 의료장비, 자동차 등으로 확대됨에 따라 보안위협 역시 지속될 것으로 예측했다.

스마트폰으로 제어할 수 있는 사물인터넷 기기에 대한 위험도 크게 증가했다. 조사 결과 최근 사용자가 늘고 있는 자가측정(Self-tracking) 기기에 연결되는 앱의 52%가 프라이버시 정책조차 없는 것으로 나타났으며, 20%가 개인식별정보나 패스워드와 같은 민감한 개인정보를 암호화와 같은 보호 조치 없이 평문(Clear text) 형태로 전송하고 있었다.

윤 이사는 “스마트폰 사용자들의 보안의식 수준이 낮은 것으로 나타났다. 4명 중 1명은 앱을 다운로드 받을 때 어떤 정보에 대한 접근권한을 제공하는지 모르고 있었으며, 68%는 앱을 무료로 다운로드 받기 위해 기꺼이 개인정보를 제공할 의향이 있는 것으로 조사됐다”고 밝혔다.

이어서 그는 “이처럼 사이버 공격자들은 한층 정교하고 지능화된 공격 기법을 기반으로 목표 대상에 더 민첩하고, 더 은밀하게 공격을 감행하는 반면, 이를 방어해야 하는 기업과 조직은 상대적으로 대응 속도와 능력이 떨어져 그 격차가 현저하게 벌어지고 있다”면서 “또한 크립토 랜섬웨어, 소셜 미디어 및 모바일 악성코드, IoT 보안위협 등 개인사용자들을 노리는 보안위협도 빠르게 진화하고 있어 이에 대한 보안 의식 제고와 함께 대응방안을 시급하게 마련해야 할 것”이라고 강조했다.

한편 시만텍은 전 세계에서 가장 포괄적인 인터넷 보안 위협 데이터 수집 체계인 ‘글로벌 인텔리전스 네트워크(Global Intelligence Network)’를 구성하는 전 세계 157여 개국에 설치된 5,760만대의 센서에서 수집된 보안 빅데이터를 분석하고 있다. 이를 통해 시만텍은 매년 정기적으로 ‘인터넷 보안 위협 보고서’를 발간해 전세계 기업 및 개인 사용자들에게 IT시스템을 효과적으로 보호하기 위한 방안 및 보안 위협 동향에 대한 향후 전망을 제시하고 있다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)