.jpg)
코로나 사태 이전부터 활동량 늘려오던 정부 지원 해커들...코로나로 표적 바뀌어
코로나 관련 데이터가 최종 목표...아직까지는 이미 공개된 취약점 익스플로잇 주로 해
[보안뉴스 문가용 기자] 코로나 사태가 지속된 지 벌써 수개월이다. 전 세계 기업들이 규모와 상관없이 생존을 위한 노력에 박차를 가하고 있다. 말 그대로 혼란의 때다. 이렇게 어지러운 와중에 사이버 공격자들은 자신들의 이익을 극대화하기 위해 여러 방법을 모색하고 있으며, 이중에는 국가가 지원하는 해커들의 활동도 꽤나 많이 끼어 있는 것으로 밝혀졌다.
보안 업체 라드웨어(Radware)에 의하면 2019년 말을 기준으로 1/4이 넘는(27%) 기업들이 외국 정부가 개입되어 있는 사이버 공격을 받은 적이 있다고 한다. 2018년 조사에서는 19%였었는데 말이다. 즉 코로나 이전에도 이미 정부 지원을 받는 해커들이 더 왕성하게 활동할 것이 예견되어 있었다는 것이다. 다른 나라의 정부 기관을 등에 업은 세력들이 우리 회사를 공격한다는 게 ‘가상의 시나리오’가 아니라 ‘현실’인 때가 바로 지금이다.
코로나로 인해 바뀐 점이 있다면 ‘공격 대상’이다. 원래 정부 지원을 받는 해커들은 다른 나라의 정부 기관이나 금융 기관, 사회 기반 시설을 주요 표적으로 삼았었다. 실제로 그런 조직들을 대상으로 한 공격이 증가하고 있기도 했다. 하지만 코로나 사태가 터지면서 정부 지원 해커들의 공격 대상이 코로나를 연구하는 기관으로 바뀌었다. FBI와 CISA는 중국 정부가 운영하는 해커 조직이 코로나 연구 단체를 노리면서 중요 자료를 훔쳐가려 한다고 공식 경고를 발령하기도 했다.
이런 상황에서 CISO들은 어떤 방어 전략을 갖춰야 할까? 코로나라는 이 거대한 사회적 현상이라는 맥락에서 자신이 속한 조직을 바라봐야 한다. 그러면서 혹여 나의 조직이 어떤 식으로 이용될 수 있는지, 어떤 이유로 공격받을 수 있는지 짐작할 수 있고, 공격 경로도 어느 정도 파악해 방비할 수 있다. 최근 FBI와 CISA에 의하면 정부 지원을 받는 해커들은 이미 공개되고 알려진 취약점을 익스플로잇 한다고 한다. 그렇다는 건 우선 알려진 취약점을 조직 망 안에서 찾아내고 보완하는 것부터 시작해야 코로나 시대의 APT 공격을 막기 수월하다는 뜻이 된다.
보안 업체 스레트커넥트(ThreatConnect)는 약 5년 전 중국의 해킹 단체인 나이콘 그룹(Naikon Group)에 대해 밝혀낸 바 있다. 또한 이 그룹과 중국 인민해방군과의 관계도 짚어냈었다. 나이콘 그룹은 필리핀과 베트남을 주로 공격하고 있었으며, 그 동안 별 다른 활동 없이 시간을 보냈었다. 하지만 최근 이 나이콘 그룹이 다시 나타났다. 보안 업체 체크포인트(Check Point)에 의하면 나이콘은 조용히 있었던 것이 아니라 호주, 인도네시아, 필리핀, 베트남을 꾸준히 공격하며 공격 전략과 도구를 발전시키고 있었다고 한다.
공격자들은 현재 코로나로 촉발된 팬데믹 사태로 가장 피해를 크게 보는 산업이 어디인지, 가장 귀중한 정보를 가지고 있는 곳이 어디인지 잘 알고 있다. 실제 이들은 코로나와 관련된 여러 가지 테마를 활용해 피싱 공격을 일삼았다. 가짜 약을 판매하며 돈을 벌었다. 그러더니 각종 지원금을 테마로 삼고, 곧이어 재택 근무자들이 좋아할 법한 ‘해적판 소프트웨어’를 통한 멀웨어 배포를 시도하고 있기도 하다. 이 사태가 사회적으로 어떤 흐름을 만들고 있는지 잘 이해하고 있는 것이다.
물론 이 모든 사이버 범죄 행각이 정부 지원 해커들에 의한 것은 아니다. 하지만 이런 수법을 APT 단체들도 적극 활용한 것은 사실이다. CISO들은 고급 기술을 활용하는 정부 지원 해커들과 ‘비교적’ 평범한 사이버 범죄자들을 더 이상 구분 짓지 말고 방어해야 한다. 게다가 원격 근무자가 그 어느 때보다 늘어나 인프라의 구조 자체가 광범위하게 분산되어 있다는 것도 큰 변수로 작용한다는 것도 잊지 말아야 한다. 동시에 이런 상황에서의 사업 운영 활성화 아이디어도 계속해서 내야 한다. 압박과 업무 난이도가 상당히 올라갈 것이다.
안타깝지만 이런 상황을 단박에 타개할 방안은 아직 나오지 않은 상황이다. 의료진들이 스스로의 생명과 수면 시간을 희생시키면서 질병을 다루고 있는 것처럼, 우리 CISO들도 비슷한 강도의 노력으로 하루아침에 뒤바뀐 사이버 공간의 인프라 구조를 안전하게 만들어야 한다. 필자는 좋은 방법을 제시할 능력이 되지 않는다. 다만 이 글을 통해 우리도 의료진 못지않은 어마어마한 상황을 눈앞에 두고 있다는 사실을 적시하고 싶었을 뿐이다.
다시 한 번 강조하지만, 지금 사이버 공격자들은 난리를 치고 있다. 좀도둑에 불과한 초보 해커에서부터 가장 상위에 위치한 정부 지원 해커들이 코로나 관련 정보를 찾아내려고 자신들이 할 수 있는 모든 일을 하고 있기 때문이다. 이런 사태에서 보안 업계 역시 잠 못 이룰 밤들을 각오해야 한다. 더 큰 상황이 닥치기 전에 미리 ‘기본으로 돌아가’ 선제적 방어 체제를 갖춰두는 것이 그나마 지금 할 수 있는 일일 것이다.
글 : 스티븐 워드(Stephen Ward), ThreatConnect
[국제부 문가용 기자(globoan@boannews.com)]
코로나 관련 데이터가 최종 목표...아직까지는 이미 공개된 취약점 익스플로잇 주로 해
[보안뉴스 문가용 기자] 코로나 사태가 지속된 지 벌써 수개월이다. 전 세계 기업들이 규모와 상관없이 생존을 위한 노력에 박차를 가하고 있다. 말 그대로 혼란의 때다. 이렇게 어지러운 와중에 사이버 공격자들은 자신들의 이익을 극대화하기 위해 여러 방법을 모색하고 있으며, 이중에는 국가가 지원하는 해커들의 활동도 꽤나 많이 끼어 있는 것으로 밝혀졌다.
[이미지 = utoimage]
보안 업체 라드웨어(Radware)에 의하면 2019년 말을 기준으로 1/4이 넘는(27%) 기업들이 외국 정부가 개입되어 있는 사이버 공격을 받은 적이 있다고 한다. 2018년 조사에서는 19%였었는데 말이다. 즉 코로나 이전에도 이미 정부 지원을 받는 해커들이 더 왕성하게 활동할 것이 예견되어 있었다는 것이다. 다른 나라의 정부 기관을 등에 업은 세력들이 우리 회사를 공격한다는 게 ‘가상의 시나리오’가 아니라 ‘현실’인 때가 바로 지금이다.
코로나로 인해 바뀐 점이 있다면 ‘공격 대상’이다. 원래 정부 지원을 받는 해커들은 다른 나라의 정부 기관이나 금융 기관, 사회 기반 시설을 주요 표적으로 삼았었다. 실제로 그런 조직들을 대상으로 한 공격이 증가하고 있기도 했다. 하지만 코로나 사태가 터지면서 정부 지원 해커들의 공격 대상이 코로나를 연구하는 기관으로 바뀌었다. FBI와 CISA는 중국 정부가 운영하는 해커 조직이 코로나 연구 단체를 노리면서 중요 자료를 훔쳐가려 한다고 공식 경고를 발령하기도 했다.
이런 상황에서 CISO들은 어떤 방어 전략을 갖춰야 할까? 코로나라는 이 거대한 사회적 현상이라는 맥락에서 자신이 속한 조직을 바라봐야 한다. 그러면서 혹여 나의 조직이 어떤 식으로 이용될 수 있는지, 어떤 이유로 공격받을 수 있는지 짐작할 수 있고, 공격 경로도 어느 정도 파악해 방비할 수 있다. 최근 FBI와 CISA에 의하면 정부 지원을 받는 해커들은 이미 공개되고 알려진 취약점을 익스플로잇 한다고 한다. 그렇다는 건 우선 알려진 취약점을 조직 망 안에서 찾아내고 보완하는 것부터 시작해야 코로나 시대의 APT 공격을 막기 수월하다는 뜻이 된다.
보안 업체 스레트커넥트(ThreatConnect)는 약 5년 전 중국의 해킹 단체인 나이콘 그룹(Naikon Group)에 대해 밝혀낸 바 있다. 또한 이 그룹과 중국 인민해방군과의 관계도 짚어냈었다. 나이콘 그룹은 필리핀과 베트남을 주로 공격하고 있었으며, 그 동안 별 다른 활동 없이 시간을 보냈었다. 하지만 최근 이 나이콘 그룹이 다시 나타났다. 보안 업체 체크포인트(Check Point)에 의하면 나이콘은 조용히 있었던 것이 아니라 호주, 인도네시아, 필리핀, 베트남을 꾸준히 공격하며 공격 전략과 도구를 발전시키고 있었다고 한다.
공격자들은 현재 코로나로 촉발된 팬데믹 사태로 가장 피해를 크게 보는 산업이 어디인지, 가장 귀중한 정보를 가지고 있는 곳이 어디인지 잘 알고 있다. 실제 이들은 코로나와 관련된 여러 가지 테마를 활용해 피싱 공격을 일삼았다. 가짜 약을 판매하며 돈을 벌었다. 그러더니 각종 지원금을 테마로 삼고, 곧이어 재택 근무자들이 좋아할 법한 ‘해적판 소프트웨어’를 통한 멀웨어 배포를 시도하고 있기도 하다. 이 사태가 사회적으로 어떤 흐름을 만들고 있는지 잘 이해하고 있는 것이다.
물론 이 모든 사이버 범죄 행각이 정부 지원 해커들에 의한 것은 아니다. 하지만 이런 수법을 APT 단체들도 적극 활용한 것은 사실이다. CISO들은 고급 기술을 활용하는 정부 지원 해커들과 ‘비교적’ 평범한 사이버 범죄자들을 더 이상 구분 짓지 말고 방어해야 한다. 게다가 원격 근무자가 그 어느 때보다 늘어나 인프라의 구조 자체가 광범위하게 분산되어 있다는 것도 큰 변수로 작용한다는 것도 잊지 말아야 한다. 동시에 이런 상황에서의 사업 운영 활성화 아이디어도 계속해서 내야 한다. 압박과 업무 난이도가 상당히 올라갈 것이다.
안타깝지만 이런 상황을 단박에 타개할 방안은 아직 나오지 않은 상황이다. 의료진들이 스스로의 생명과 수면 시간을 희생시키면서 질병을 다루고 있는 것처럼, 우리 CISO들도 비슷한 강도의 노력으로 하루아침에 뒤바뀐 사이버 공간의 인프라 구조를 안전하게 만들어야 한다. 필자는 좋은 방법을 제시할 능력이 되지 않는다. 다만 이 글을 통해 우리도 의료진 못지않은 어마어마한 상황을 눈앞에 두고 있다는 사실을 적시하고 싶었을 뿐이다.
다시 한 번 강조하지만, 지금 사이버 공격자들은 난리를 치고 있다. 좀도둑에 불과한 초보 해커에서부터 가장 상위에 위치한 정부 지원 해커들이 코로나 관련 정보를 찾아내려고 자신들이 할 수 있는 모든 일을 하고 있기 때문이다. 이런 사태에서 보안 업계 역시 잠 못 이룰 밤들을 각오해야 한다. 더 큰 상황이 닥치기 전에 미리 ‘기본으로 돌아가’ 선제적 방어 체제를 갖춰두는 것이 그나마 지금 할 수 있는 일일 것이다.
글 : 스티븐 워드(Stephen Ward), ThreatConnect
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-16] .jpg)
.jpg)
