공격자, 높은 수익성 쫓아 지속적으로 변화
[데이터넷] 체크포인트는 ‘2020년 사이버보안 예측’ 보고서를 발표하며 ‘지나고 보면 확실하게 알게 된다’는 서양 속담을 전한 후 “이미 무언가 벌어진 이후에는 어디가 올바른 길인지 쉽게 파악할 수 있다. 지난 몇년간 보안분야의 발전을 보면, 향후 12개월간 사이버 부문에서 일어날 가능성 높은 일들을 예상하기는 어렵지 않다”고 밝혔다. 2019년 발생한 보안사고를 짚어보며 2020년 보안 시장 동향을 예측해 본다.<편집자>
2019년 드러난 최악의 이슈로 다크웹의 아동 성 학대 영상을 꼽는 사람이 적지 않을 것이다. 우리나라와 미국, 영국, 독일, 캐나다 등 각국 수사기관이 공조해 세계 최대 아동 음란물 영상 공유 사이트 운영자와 이용자를 검거했으며, 학대받던 아동 23명을 구출했다. 이 사건이 드러나면서 범죄의 온상이 된 다크웹 문제를 시급히 해결해야 한다는 목소리가 높아졌으며, 다크웹의 불법 콘텐츠와 범죄 연관성 등을 추적하는 기술 개발에 속도가 높아지고 있다.
2019년 발생한 최악의 해킹사고는 국내 최대 암호화폐 거래소 업비트가 해킹돼 580억원에 이르는 암호화폐를 도난당한 것이다. 웁살라시큐리티에 따르면 탈취된 자금은 4만9000여건의 거래를 통해 2만여개의 지갑으로 흩어졌다. 이보다 앞서 빗썸이 140억원 규모의 해킹 피해를 입으면서 암호화폐 보안 문제가 여전히 심각하다는 사실을 주지시켰다.
2019년 한 해 동안 가장 자주 언급된 공격으로 악성 첨부파일을 이용한 스피어피싱이 꼽힐 것이다. 이력서, 택배, 전문기관의 보고서, 정부기관 보도자료 등을 위장한 문서를 이용한 악성 메일 공격 형태가 거의 매일 발견됐다. 공격자들은 해당 시점의 주요 이슈, 업무와 관련된 내용 등으로 꾸며 사용자들의 의심을 피해갔다.
“진화하는 위협 대응 준비 충분하지 않다”
2019년 한 해 동안 수많은 사건·사고가 발생하면서 보안 경각심을 일깨우고 있다. 공격자들은 방어 진영보다 언제나 한발 앞서있을 뿐 아니라 예상치 못한 허점을 찌르는 공격으로 쉽게 목적을 달성한다. 쉽게 금전을 탈취하는 대표적인 사례가 비즈니스 이메일 침해(BEC)다. 거래처 임원을 사칭해 거래대금을 다른 계좌로 송부해달라는 메일을 발송해 막대한 금액을 갈취한다. 급여 담당자에게 급여 계좌를 바꿔달라는 메일을 보내 쉽게 돈을 빼돌리기도 했다.
정교하게 설계된 공격 전술과 전략, 도구를 이용하는 APT 공격부터 시작해 BEC와 같은 간단하고 초보적인 방법으로도 금전적 이익을 얻는 사이버범죄자들은 2020년 더욱 지능적이고 교묘한 방법으로 피해를 일으킬 것이다.
파이어아이 ‘사이버 트렌드스케이프 리포트’에서는 조사에 응한 전 세계 IT·보안 담당자의 56%가 2020년 위협이 증가할 것이라고 전망했으며, 51%는 스스로 사이버 공격에 대응할 준비가 되어있지 않다고 답했다. 한국 응답자는 65%가 이같이 답했다.
공격이 진화하면서 보안 지출도 꾸준히 늘고 있다. 가트너는 2019년 전 세계 정보안 지출은 1140억달러, 한국은 약 2조2000억원 규모를 형성할 것으로 전망한 바 있다. 글로벌 보안 지출은 보안 서비스가 가장 많았으며, 우리나라에서는 클라우드 보안 지출이 빠르게 증가할 것으로 예측했다.
실제로 우리나라에서 2019년 클라우드 보안에 대한 관심은 매우 높았다. 클라우드 워크로드 보호(CWP)에 그쳤던 보안 관심이 클라우드 보안 형상관리, 클라우드 접근 보안 중개(CASB), 소프트웨어 정의 경계(SDP)로도 확장되며 관련 사업을 검토하거나 착수한 사례가 잇달았다.
이 처럼 진화하는 보안 위협에 대응하기 위해 필요한 기술적 요구를 3가지 꼽는다면 통합과 자동화, 그리고 제로 트러스트가 될 것이다. 복잡한 이종 보안 시스템을 통합해 일원화 관리하며, 자동화로 보안 인력의 업무를 줄이고 위협 탐지·대응 능력을 높이며, 제로 트러스트 보안 모델을 통해 지능적인 보안 우회 공격을 예방해야 한다.
2020년 새로운 보안 모델 수립을 위해 주목해야 할 키워드를 10가지 정리했다. ▲클라우드 보안 가속화 ▲OT·IoT 보안 위협 현실화 ▲양날의 검, AI ▲진화하는 공급망 공격 ▲랜섬웨어와 암호화폐 해킹·채굴 ▲지능형 공격의 진화 ▲개인정보 보호와 활용 ▲제로 트러스트 보안 모델 ▲통합과 자동화 등이 주요 이슈로 꼽혔다. 더불어 4차 산업혁명 성공을 위한 핵심 기술로 ‘보안’이 꼽히면서 정부의 보안 관련 예산도 대폭 늘어나고 산업 육성을 위한 다양한 정책이 마련될 것으로 예상돼 이 부분도 집중 점검하고자 한다.
