국내에서 온라인 금융거래를 이용하기 위해서는 개인용 컴퓨터에 보안 인증 프로그램을 필수적으로 설치해야 한다. 또한, 기업에서 보안 강화를 위한 프로그램을 안전하게 사용하려면 수시로 보안 업데이트를 해야 한다. 이때 필요한 프로그램을 대상으로 하는 소프트웨어(SW) 공급망 공격이 올해 특히 많이 발생하였다.

  지난 3월, 해킹 그룹 라자루스의 소행으로 추정되는 보안 인증 프로그램의 취약점을 노린 해킹 공격이 확인되었다. 또한, 미상의 해킹 그룹이 국내 보안프로그램 개발사 내부에 침투하여, 업데이트 파일 배포 서버를 통해 악성코드를 유포하고 고객사들의 시스템까지 감염시키는 공격도 발생하였다. 

  대표적인 오픈소스 저장소인 NPM(Node Package Manager)에 악성코드가 포함된 패키지를 올려, 이를 이용해 개발된 기업의 서버가 감염된 사례도 있다. 이처럼 오픈소스 커뮤니티를 노려 악성코드가 숨겨진 패키지를 배포하는 공급망 공격도 지속적으로 발생하였다.

  SW 공급망 공격은 초기 탐지와 조치가 어렵고 그 파급력도 크기 때문에 공격자들에게는 매우 효율적인 공격으로 이용되고 있고, 이러한 SW 공급망 공격은 앞으로도 계속 증가할 것으로 예측된다.

  과기정통부와 KISA는 유관기관들과 협력하여 SW 공급망 공격을 분석하고 제조사와 함께 보안패치를 개발하였으며, 보안공지와 대국민 안내 등을 통해 패치 적용을 독려하는 등 피해확산 방지를 위해 적극 대응하고 있다.

  또한, 현재 마련 중인「SW 공급망 보안 가이드라인」을 조만간 발표하여 SBOM*을 기반으로 하는 보안 취약점 점검 및 조치도 보다 효율적으로 지원할 계획이다.

  * SW Bill Of Material : SW의 구성요소와 정보를 나열하고 문서화한 명세서

  이외에도, 올해 초 LG유플러스 사용자로 추정되는 고객정보가 해킹 포럼 게시판에 공개된 바 있다. 과기정통부와 KISA는 사고 원인분석을 위해 민․관 합동으로 특별조사점검단을 구성하여 피해확산 방지, 복구와 재발방지 등 조치방안을 수립하고, LG유플러스의 후속조치 이행 여부를 점검하였다.

  과기정통부와 KISA는 통신사들과 협력하여 개인정보 입력을 유도하는 피싱사이트를 긴급 차단하고, 보호나라 웹사이트와 118 신고전화 등을 통해 피해여부 확인과 조치방법 등을 안내하고 있다. 이용자들도 메신저 서비스에 2차 인증 기능을 설정하고, 출처가 불분명한 사이트는 접속하지 않는 등 주의가 필요하다.

  기업 내부의 산업 기밀정보 유출과 함께 데이터 암호화를 통한 복구 비용 지불을 요구하는 금전 취득 목적의 공격이 지속적으로 발생하였으며, 국가 배후의 해킹 그룹이 상대국의 중요 인프라의 운영을 방해할 목적으로 랜섬웨어 공격을 실행하기도 하였다.

  KISA 침해사고 신고를 분석해보면, 사이버 보안 위협은 매년 지속적으로 증가*했지만 랜섬웨어 공격 건수는 작년 대비 감소(’22년, 325건→’23년 11월, 237건, 27.1%↓)하여 랜섬웨어 공격 위협이 다소 줄어든 것처럼 보인다.

 * (‘20년) 603건, (‘21년) 640건, (‘22년) 1,142건, (‘23.11월) 1,184건

  KISA는 랜섬웨어 대응 역량이 부족한 지역․중소․영세기업을 대상으로 무상 보안취약점 점검과 서버 보안점검(내서버돌보미)을 지원 중이며, 한국정보보호산업협회(KISIA)도 랜섬웨어 대응 보안솔루션 패키지 지원사업을 진행 중에 있어, 랜섬웨어 예방 대책이 필요한 기업은 언제든지 도움을 받을 수 있다.

 ※ (’23년) 보안취약점 점검 400건, 내서버돌보미 350건, 보안솔루션 패키지 지원 147건

  해킹 그룹은 인터넷에 무상으로 공개된 소스 코드나 SW들을 프로그램 개발자들이 많이 이용하는 것을 악용해 유명한 오픈소스를 사칭하거나 변조된 코드를 배포해 개발자 대상 공격을 확대해 나갈 것으로 보인다. 개발자 시스템을 장악하면 지능적이고 지속적인 공격(APT)을 통해 은밀히 침투하여, 개발 제품에 악의적인 코드를 쉽게 포함시킬 수 있기 때문이다.

  SW 공급망을 통한 공격 시도도 계속 증가할 것으로 보인다. SW 제작과 운영단계에서 정상 제품에 악성코드가 포함되어 배포되면, SW 이용기업이나 기관들은 악성코드 등이 침투되었다는 사실도 인지하지 못하고 고객사 등 다른 이용자에게도 연쇄적인 피해를 줄 수 있다.

  공급망 공격 대응을 위해서 SBOM*과 함께 제조업체, 프로그램 소유자 등에게 제품과 기술의 출처, 보안 위협과 관련된 정보를 제공하는 HBOM**의 필요성도 높아질 것이다. SBOM은 SW 중심의 모니터링과 사고 대응에 유용하고, HBOM은 제품 조달이나 현장 점검에 사용될 수 있어 시스템 구축과 운영에 SBOM과 HBOM을 함께 고려하는 것이 보다 효과적인 방법이 될 수 있을 것이다.

  * SW Bill Of Material : SW의 구성요소와 정보를 나열하고 문서화한 명세서

 ** HW Bill Of Material : HW의 구성요소와 물리적 부품을 나열하고 문서화한 명세서

  그동안 제조, 에너지, 교통, 통신, 의료 등 주요 사회 인프라는 중단 없는 서비스를 최우선으로 하여 폐쇄망에서 운영되어 외부 침입이 불가능했다. 하지만, 스마트 설비와 디지털 트윈 등 정보통신(IT) 기술이 현장에 적용되면서 운영기술(OT), 산업제어시스템(ICS), 사물인터넷(IoT) 기반 시스템과 상호 간에 연결이 증가하여 보안 위협도 함께 급증하고 있다.

  ※ (OT) 산업용 기계나 공정 운영을 위한 기술과 시스템, (ICS) 생산라인의 각종 기계와 공정을 제어하기 위한 시스템, (IoT) 인터넷을 통한 기기들 간의 연결과 데이터 송수신 

  최근 글로벌 보안업체 발표에 따르면 전세계 ICS 중 33% 이상에서 악성코드가 탐지되었는데, 이중 약 10%는 지속적으로 감염이 반복되고 있다고 한다. IP카메라, 공유기 등 IoT 장비 관련 신규 보안 취약점도 매년 꾸준히 증가하고 있는 것으로 확인되었다.

  국제침해사고대응협의체(FIRST, Forum of Incident Response and Security Teams)는 지난 11월 ‘사이버 보안 위험도 측정(CVSS* 4.0)’을 업데이트하여 발표하였는데, OT/ICS, IoT에 대한 취약점 평가 기준항목도 새롭게 추가하여 이 분야의 새로운 위협 경고와 대응을 보다 강조하고 있다.

 * Common Vulnerability Scoring System: 보안 취약점의 위험성을 숫자로 표현하는 지표 

  OT/ICS 환경은 일반적으로 IT 환경보다 기능이 제한적이고 공격 표면도 작지만, 취약점에 대한 펌웨어 등 보안패치가 제조사별로 늦게 제공되거나 서비스의 무중단을 이유로 소극적으로 보안패치 적용을 하는 등 운영방식의 문제점도 있다.

  이 점을 노려 OT/ICS와 IoT 환경에서 발생할 수 있는 가장 큰 위협은 국가 간 이해관계 충돌로 인한 공격이다. 주요 기반시설의 중요 정보를 탈취하거나 OT/ICS와 IoT 환경에 악성코드를 유포하여 시스템의 오작동, 정지 등을 유발시키는 행위는 국민 안전과 생명을 위협하는 매우 치명적인 공격이 될 수 있다.

  언론사와 포털, 선거 관련 기관들에 대한 공격에 효과적으로 대응하지 못한다면, 그 피해는 온라인에서만 국한되는 것이 아니라 사회 전반에 대한 사이버 테러가 될 수 있다. 공격자들은 경험과 학습을 통해 더욱 지능적인 공격 시나리오나 전략을 계획할 수 있어 철저한 대응이 필요하다.

  따라서, 2024년은 예전보다 더 높은 경각심과 경계 태세를 유지해야 할 때이며, 민·관이 더 긴밀히 협력해 사이버 보안 체계를 상시 점검하고 강화해 나가야 한다.

  사회, 경제 전반의 디지털 전환 흐름에 발맞춰 사이버 방어체계 고도화 노력에도 불구하고 공격자들도 역시 새로운 취약점을 찾아 진화하고 있으며, 2024년에도 역시 예측 불가능한 침해사고가 발생할 것으로 보인다.

  따라서, 기관, 기업 등 조직은 단순히 보안시스템을 도입해 운영하고 있다는 것만으로 안심하는 것보다는, 만일의 상황에 대비해 사이버 침해를 당하더라도 업무 중단이 되지 않도록 백업체계를 마련하고 신속한 복구 프로세스를 반복해서 점검하고 강화해야 할 것이다.

  과기정통부와 KISA는 유관기관들과 협력하여 면밀한 공격 탐지와 차단, SW 개발사와 신속한 보안패치 배포 등 피해 확산 방지에 적극 대응하고 있으며, 보안역량이 취약한 기업들을 위해 홈페이지, 시스템 등의 보안 취약점 점검, 실전형 모의침투 훈련 지원뿐만 아니라, 국민들을 대상으로 모바일기기·PC의 자가 보안점검 서비스를 제공 중이다.

  ※ 보호나라(boho.or.kr) 홈페이지를 통해 개인·기업 대상 정보보호서비스 제공중

  또한, 지난 7월 발표한 ｢제로트러스트* 가이드라인 1.0｣을 기반으로 국내 기업 환경에 적용할 수 있는‘제로트러스트 기본모델 2종’도 지난주 공개한 바 있으며, 내년초에는 ｢SW 공급망 보안 가이드라인｣도 마련․제공하여 기업의 정보보호 역량 강화를 계속 지원할 계획이다.

  * Zero Trust: 정보 시스템 등에 대한 접속 요구가 있을 때 네트워크가 이미 침해된 것으로 간주하고, 절대 믿지 말고, 계속 검증하라는 새로운 보안 개념