모든 IoT 기기가 랜섬웨어에 감염되는 RoT 시대 곧 도래할 듯
RoT 시대에 사용자·기업·정부는 어떤 대응과 준비가 필요할까
[보안뉴스 권 준 기자] # 멀지 않은 미래, 인터넷으로 연결된 집안의 모든 전자제품들이 모조리 랜섬웨어에 감염된다면 어떤 일이 벌어질까요? 냉장고는 “배고프지? 돈 내면 문 열어줄게! 메롱”하고 놀립니다. 토스터는 “돈 안 가져오면 빵 다 태워버릴거야”라고 말합니다. 전자레인지도 “네가 해커한테 돈 보낼 때까지 난 파업이다”라는 음성을 계속 내보냅니다. 여기에다 스마트카는 “차에 시동 걸고 너 태워서 은행으로 보내버리거나 사고낸다”라며 주인을 협박하기까지 합니다. 이렇듯 집안의 모든 기기들이 해커의 뜻을 따라 비트코인을 요구하는 상황입니다.
앞서의 상황은 본지 카드뉴스에서도 한번 소개됐듯 최근 보안 분야에서 유행하는 풍자이기도 하지만, 점차 현실화되고 있는 사물인터넷(IoT: Internet of Things) 시대의 역기능을 극단적으로 표현한 예이기도 합니다. 이렇듯 실제 구현되는 IoT의 범위는 점점 더 넓어지고 있습니다.
일례로, 아침에 급하게 나왔을 때 제대로 껐는지 헷갈리는 가스밸브를 스마트폰으로 잠글 수 있고, 홈CCTV를 두고 집 밖에서 집에 있는 애완동물을 살펴보거나 집에 도착할 시간에 맞춰 에어컨을 미리 켜 놓을 수도 있습니다. 이러한 일들은 이제 충분히 일상생활에서 가능해진 것이죠. 그런데 이러한 편리함 속에 큰 위험성이 도사리고 있었습니다.
얼마 전 경찰에 의해 발표돼 많은 이들에게 충격을 안긴 사건이 대표적입니다. 홈CCTV로 활용되는 IP 카메라를 해킹해 여자들의 은밀한 사생활을 훔쳐보거나 녹화한 영상을 음란사이트 등에 유포한 사람들이 대거 검거된 사건이었는데요. IP 카메라 출시 당시 설정된 초기 비밀번호를 그대로 놔둔 상태로 사용하다가 비밀번호를 해킹 당해 원격에서도 영상 접속이 가능했던 겁니다. 이러한 일들은 앞으로 더욱 빈번하게 발생할 것으로 보입니다.
최근에는 노트북, 스마트폰, TV, 스마트워치, 카오디오 등 블루투스로 연결할 수 있는 기기 수십억 대가 해킹 공격에 취약하다는 연구가 발표되기도 했죠. 일명 블루본 취약점인데요. 해커는 블루투스 실행 가능 기기들을 제어하고 멀웨어를 설치하며 기타 악성 활동을 펼칠 수 있는 것으로 알려졌습니다. 많은 사람들이 IoT 기기들을 블루투스로 연결해 사용하는데요. 패치가 발표되긴 했지만, 많은 보안전문가들은 블루투스 기능을 가급적 비활성화시켜 놓아야 한다고 권고하고 있을 정도입니다.
이에 따라 인터넷으로 연결되는 모든 IoT 기기들이 랜섬웨어에 감염되는 일도 충분히 가능해졌습니다. 이 때문에 최근에는 ‘RoT(Ransomware of Thing)’라는 신조어도 등장했습니다. 향후 보안위협은 랜섬웨어와 사물인터넷을 합친 이 신조어가 대세가 되는 바야흐로 RoT 시대가 도래할 것이라는 우려 섞인 예측이 나오고 있는 건데요.
글로벌 보안업체 에셋(ESET)에 따르면 지금 당장 스마트 냉장고 내부 시스템에 직접 침입하여 냉장고의 온도를 높이는 행위는 어렵더라도 스마트 냉장고를 원격에서 관리할 수 있는 스마트폰 앱을 통해 집안에 있는 스마트 냉장고의 온도를 높인 후, 스마트폰으로 몸값을 지불하라는 메시지를 받는 경우는 충분히 가능하다고 말합니다.
문제는 가정뿐만이 아닙니다. 통신·전력·원자력시설 등의 국가기반시설 및 산업제어 시스템이 랜섬웨어에 감염돼 해당 지역주민이 볼모로 잡히는 일이 발생한다면 더욱 큰 불상사를 초래할 수도 있기 때문이죠. 실제 지하철과 극장, 버스에서는 랜섬웨어 감염으로 인해 표 발매와 광고 송출, 정거장 안내 서비스 등이 중단된 적이 있습니다. 얼마 전에는 대기업의 서비스센터 PC가 워너크라이 랜섬웨어에 감염돼 서비스센터 업무가 마비되는 초유의 사태가 발생하기도 했죠.
그럼 이렇듯 곧 도래하는, 아니 이미 시작된 RoT 시대에 어떻게 대처해야 할까요? 랜섬웨어 대응을 얘기할 때면 항상 1순위로 꼽히는 게 ‘백업’입니다. 이젠 더 이상 ‘내 PC나 소유 기기들은 랜섬웨어에 절대 감염되지 않아’라고 자신할 수 없는 상황이 돼버렸기 때문입니다. 더욱이 중요정보는 PC내 다른 장소가 아닌 하드디스크, USB 등 별도의 장치를 통한 오프라인 백업이 필요하다고 말합니다. 이를 위해서는 생성되는 정보의 가치를 매기고, 중요정보를 선별해 수시로 백업하는 습관을 길러야 한다는 얘기죠. 이러한 습관은 결국 정보의 가치를 판단하는 능력도 길러줄 수 있습니다.
그 다음은 PC 운영체제와 애플리케이션에 대한 보안 패치와 함께 항상 최신 버전으로 업데이트하는 것을 생활화해야 한다는 겁니다. 랜섬웨어 등 악성코드는 대부분 운영체제와 소프트웨어, 애플리케이션 취약점이 방치된 PC를 감염시키기 때문인데요. 지난 5월 전 세계를 휩쓸었던 워너크라이 랜섬웨어도 윈도우의 SMB 취약점을 지닌 PC를 타깃으로 해서 엄청나게 확산된 것만 봐도 알 수 있습니다. MS 윈도우 등 OS, SW의 최신 버전 업데이트는 가끔은 시간이 오래 걸려 짜증이 나기도 하지만요. 우리 몸도 주기적으로 꼭 받아야 하는 건강검진처럼 반드시 해야 할 PC 건강검진이라고 생각하셨으면 좋겠습니다.
마지막으로는 비밀번호 관리입니다. 특히, IP 카메라, 공유기 등은 초기 비밀번호 설정 상태를 반드시 확인해서 비밀번호를 변경해야 합니다. 가입된 웹사이트의 경우도 관리·변경해야 할 비밀번호가 많아 정신없을 지경인데, 이젠 가정내 모든 기기의 비밀번호까지 관리해야 하냐고요? 얼마 전 미국 국립표준기술연구소(NIST)에서 권고했듯 잦은 비밀번호 변경이 능사는 아니라고 합니다. 오히려 비밀번호를 자주 변경할수록 쉬운 비밀번호를 선택해 해킹에 오히려 더 취약하다는 거죠. 하지만 IoT 기기의 경우 초기 설정된 비밀번호를 그대로 놔두는 것은 해당 기기에 침입하라고 광고하는 거나 다름없습니다. 그렇기에 IoT 기기의 경우 구입 시 초기 비밀번호는 꼭 변경해야 합니다.
그러나 이러한 사용자들의 대응만으로는 쉽지 않습니다. 결국 IoT 기기를 생산하는 모든 회사들이 제품 개발 단계에서부터 보안을 내재화시키는 Security by Design를 최우선시해야 할 겁니다. 정부에서도 이를 지원할 수 있는 정책이나 제도를 만들어 시행해야겠죠. 규제보다는 지원책을 강화하는 방향으로 말이죠.
랜섬웨어는 이제 더 이상 남의 일이 아닙니다. 나, 우리 가정과 직장, 그리고 우리나라 전체에 직접적인 위협이 되고 있는 현실적인 공포입니다.
[권 준 기자(editor@boannews.com)]
RoT 시대에 사용자·기업·정부는 어떤 대응과 준비가 필요할까
[보안뉴스 권 준 기자] # 멀지 않은 미래, 인터넷으로 연결된 집안의 모든 전자제품들이 모조리 랜섬웨어에 감염된다면 어떤 일이 벌어질까요? 냉장고는 “배고프지? 돈 내면 문 열어줄게! 메롱”하고 놀립니다. 토스터는 “돈 안 가져오면 빵 다 태워버릴거야”라고 말합니다. 전자레인지도 “네가 해커한테 돈 보낼 때까지 난 파업이다”라는 음성을 계속 내보냅니다. 여기에다 스마트카는 “차에 시동 걸고 너 태워서 은행으로 보내버리거나 사고낸다”라며 주인을 협박하기까지 합니다. 이렇듯 집안의 모든 기기들이 해커의 뜻을 따라 비트코인을 요구하는 상황입니다.
[이미지=iclickart]
앞서의 상황은 본지 카드뉴스에서도 한번 소개됐듯 최근 보안 분야에서 유행하는 풍자이기도 하지만, 점차 현실화되고 있는 사물인터넷(IoT: Internet of Things) 시대의 역기능을 극단적으로 표현한 예이기도 합니다. 이렇듯 실제 구현되는 IoT의 범위는 점점 더 넓어지고 있습니다.
일례로, 아침에 급하게 나왔을 때 제대로 껐는지 헷갈리는 가스밸브를 스마트폰으로 잠글 수 있고, 홈CCTV를 두고 집 밖에서 집에 있는 애완동물을 살펴보거나 집에 도착할 시간에 맞춰 에어컨을 미리 켜 놓을 수도 있습니다. 이러한 일들은 이제 충분히 일상생활에서 가능해진 것이죠. 그런데 이러한 편리함 속에 큰 위험성이 도사리고 있었습니다.
얼마 전 경찰에 의해 발표돼 많은 이들에게 충격을 안긴 사건이 대표적입니다. 홈CCTV로 활용되는 IP 카메라를 해킹해 여자들의 은밀한 사생활을 훔쳐보거나 녹화한 영상을 음란사이트 등에 유포한 사람들이 대거 검거된 사건이었는데요. IP 카메라 출시 당시 설정된 초기 비밀번호를 그대로 놔둔 상태로 사용하다가 비밀번호를 해킹 당해 원격에서도 영상 접속이 가능했던 겁니다. 이러한 일들은 앞으로 더욱 빈번하게 발생할 것으로 보입니다.
최근에는 노트북, 스마트폰, TV, 스마트워치, 카오디오 등 블루투스로 연결할 수 있는 기기 수십억 대가 해킹 공격에 취약하다는 연구가 발표되기도 했죠. 일명 블루본 취약점인데요. 해커는 블루투스 실행 가능 기기들을 제어하고 멀웨어를 설치하며 기타 악성 활동을 펼칠 수 있는 것으로 알려졌습니다. 많은 사람들이 IoT 기기들을 블루투스로 연결해 사용하는데요. 패치가 발표되긴 했지만, 많은 보안전문가들은 블루투스 기능을 가급적 비활성화시켜 놓아야 한다고 권고하고 있을 정도입니다.
이에 따라 인터넷으로 연결되는 모든 IoT 기기들이 랜섬웨어에 감염되는 일도 충분히 가능해졌습니다. 이 때문에 최근에는 ‘RoT(Ransomware of Thing)’라는 신조어도 등장했습니다. 향후 보안위협은 랜섬웨어와 사물인터넷을 합친 이 신조어가 대세가 되는 바야흐로 RoT 시대가 도래할 것이라는 우려 섞인 예측이 나오고 있는 건데요.
글로벌 보안업체 에셋(ESET)에 따르면 지금 당장 스마트 냉장고 내부 시스템에 직접 침입하여 냉장고의 온도를 높이는 행위는 어렵더라도 스마트 냉장고를 원격에서 관리할 수 있는 스마트폰 앱을 통해 집안에 있는 스마트 냉장고의 온도를 높인 후, 스마트폰으로 몸값을 지불하라는 메시지를 받는 경우는 충분히 가능하다고 말합니다.
문제는 가정뿐만이 아닙니다. 통신·전력·원자력시설 등의 국가기반시설 및 산업제어 시스템이 랜섬웨어에 감염돼 해당 지역주민이 볼모로 잡히는 일이 발생한다면 더욱 큰 불상사를 초래할 수도 있기 때문이죠. 실제 지하철과 극장, 버스에서는 랜섬웨어 감염으로 인해 표 발매와 광고 송출, 정거장 안내 서비스 등이 중단된 적이 있습니다. 얼마 전에는 대기업의 서비스센터 PC가 워너크라이 랜섬웨어에 감염돼 서비스센터 업무가 마비되는 초유의 사태가 발생하기도 했죠.
그럼 이렇듯 곧 도래하는, 아니 이미 시작된 RoT 시대에 어떻게 대처해야 할까요? 랜섬웨어 대응을 얘기할 때면 항상 1순위로 꼽히는 게 ‘백업’입니다. 이젠 더 이상 ‘내 PC나 소유 기기들은 랜섬웨어에 절대 감염되지 않아’라고 자신할 수 없는 상황이 돼버렸기 때문입니다. 더욱이 중요정보는 PC내 다른 장소가 아닌 하드디스크, USB 등 별도의 장치를 통한 오프라인 백업이 필요하다고 말합니다. 이를 위해서는 생성되는 정보의 가치를 매기고, 중요정보를 선별해 수시로 백업하는 습관을 길러야 한다는 얘기죠. 이러한 습관은 결국 정보의 가치를 판단하는 능력도 길러줄 수 있습니다.
그 다음은 PC 운영체제와 애플리케이션에 대한 보안 패치와 함께 항상 최신 버전으로 업데이트하는 것을 생활화해야 한다는 겁니다. 랜섬웨어 등 악성코드는 대부분 운영체제와 소프트웨어, 애플리케이션 취약점이 방치된 PC를 감염시키기 때문인데요. 지난 5월 전 세계를 휩쓸었던 워너크라이 랜섬웨어도 윈도우의 SMB 취약점을 지닌 PC를 타깃으로 해서 엄청나게 확산된 것만 봐도 알 수 있습니다. MS 윈도우 등 OS, SW의 최신 버전 업데이트는 가끔은 시간이 오래 걸려 짜증이 나기도 하지만요. 우리 몸도 주기적으로 꼭 받아야 하는 건강검진처럼 반드시 해야 할 PC 건강검진이라고 생각하셨으면 좋겠습니다.
마지막으로는 비밀번호 관리입니다. 특히, IP 카메라, 공유기 등은 초기 비밀번호 설정 상태를 반드시 확인해서 비밀번호를 변경해야 합니다. 가입된 웹사이트의 경우도 관리·변경해야 할 비밀번호가 많아 정신없을 지경인데, 이젠 가정내 모든 기기의 비밀번호까지 관리해야 하냐고요? 얼마 전 미국 국립표준기술연구소(NIST)에서 권고했듯 잦은 비밀번호 변경이 능사는 아니라고 합니다. 오히려 비밀번호를 자주 변경할수록 쉬운 비밀번호를 선택해 해킹에 오히려 더 취약하다는 거죠. 하지만 IoT 기기의 경우 초기 설정된 비밀번호를 그대로 놔두는 것은 해당 기기에 침입하라고 광고하는 거나 다름없습니다. 그렇기에 IoT 기기의 경우 구입 시 초기 비밀번호는 꼭 변경해야 합니다.
그러나 이러한 사용자들의 대응만으로는 쉽지 않습니다. 결국 IoT 기기를 생산하는 모든 회사들이 제품 개발 단계에서부터 보안을 내재화시키는 Security by Design를 최우선시해야 할 겁니다. 정부에서도 이를 지원할 수 있는 정책이나 제도를 만들어 시행해야겠죠. 규제보다는 지원책을 강화하는 방향으로 말이죠.
랜섬웨어는 이제 더 이상 남의 일이 아닙니다. 나, 우리 가정과 직장, 그리고 우리나라 전체에 직접적인 위협이 되고 있는 현실적인 공포입니다.
[권 준 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
권준기자 기사보기
[2024-12-24] 
.jpg)
