이러한 공격 방식은 기존 악성코드가 포함된 이메일을 발송하는 공격보다 탐지하기가 쉽지 않고, 심지어 피해 당사자가 사이버 공격을 당했는지도 모르는 경우가 있어 매우 위협적으로 평가된다.

  국내·외 보안업체들이 올해 공통적으로 ‘공급망 대상’공격 위협 확대를 제기하고 있는데, 이는 기업의 강화된 보안환경을 우회해서 침투할 수 있는 가장 확실한 방법으로 직원들이 이용하는 업무용 소프트웨어(SW)나 네트워크 장비의 취약점을 찾아 이를 공략하는 위협에 대한 우려로 해석할 수 있다.

  한국인터넷진흥원(KISA)에서 운영하는 취약점 신고 포상제도를 살펴봐도, 전년 동기 대비 올해 상반기에 어플리케이션 취약점 신고 건수(44→92건)가 2배 증가하였는데, 그 중 보안프로그램이 약 54%로 절반 이상을 차지하는 것으로 조사되었다.

< 취약점 신고 포상 관련 통계 >

  과기정통부와 한국인터넷진흥원은 유관기관들과의 합동조사를 통해 해당 공격이 국가 배후의 전문 해킹조직에 의해 수행된 것으로 보고 지속적으로 추적하는 한편, 동시에 소프트웨어 개발사와 협력하여 취약점을 찾아 신속한 보안패치를 통해 더 이상 추가적인 피해가 발생하지 않도록 긴급 조치를 진행하는 등 피해 확산 방지를 위해 노력하고 있다.

[④ 관리자 계정 공유 등 부주의한 개발자에 의한 보안사고 증가]

  기업 내 시스템 개발자나 유지보수 담당자들이 업무 편의성을 이유로 누리집(홈페이지), 인터넷 기반 자원공유(클라우드) 서비스 등의 관리자 계정을 여럿이 공유하거나, 가상사설망(VPN)을 통해 내부 주요시스템에 직접 접근할 수 있도록 허용하는 등의 보안관리 허점을 노린 공격 또한 늘고 있다.

  이는, 최근 해외 인텔리전스 기업이 공개한 사이버위협 동향 보고서에서 다크웹을 통해 기업의 시스템 관리자 계정을 전문적으로 판매하는 브로커들이 최근 약 1.5배(262개→380개) 증가한 것과도 연관된다.

  기업들은 기업 내 시스템 관리자뿐만 아니라 소수의 개발자나 유지보수 담당자들 역시 철저하게 보안수칙을 지키도록 하고, 가상사설망(VPN) 등을 통한 원격접속시 권한과 접근 단말을 최소화하는 등 보안정책을 꼼꼼히 관리해 나가야 한다.

  과기정통부와 한국인터넷진흥원은 유관기관들과 협력하여 면밀한 공격 탐지와 차단, 소프트웨어 개발사와 신속한 보안패치 배포 등 피해 확산 방지에 적극 대응하고 있으며, 보안역량이 취약한 기업들을 위해 누리집(홈페이지), 시스템 등의 보안 취약점 점검, 실전형 모의침투 훈련 지원뿐만 아니라, 모든 국민들을 대상으로 모바일기기·피씨(PC)의 자가 보안 점검 서비스를 제공중이다.

  ※ 보호나라(boho.or.kr) 홈페이지를 통해 개인·기업 대상 정보보호서비스 제공중

  하지만 국민, 기업 등 각 정보보호주체들 스스로 사이버보안 인식을 높이고 정보보호 투자를 확대하는 등 적극적인 보안 강화 노력을 기울일 필요가 있다. 특히, 기업·기관들은 ‘아무것도 신뢰하지 않는다.’는 것을 전제로 사용자나 기기의 접근을 항상 확인하고 최소한의 권한 부여로 시스템 내부에서의 자유로운 ‘횡적 이동’을 차단하는 제로트러스트 보안 모델 도입을 적극 검토해야 할 시점이다.