지난 2023년 12월, 과학기술정보통신부와 KISA(한국인터넷진흥원)는 사이버 위협 인텔리전스 네트워크와 함께 사이버 위협에 대한 선제적 예방 및 대응체계 강화를 위해 '2023년 사이버 보안 위협 분석 및 2024년 사이버 보안 위협 전망'을 발표했습니다.
보고서의 상세 내용과 함께 사이버 보안 위협에 대응할 수 있는 전략과 방법에 대해 소개해드립니다.
2023년 사이버 보안 위협 분석
보안프로그램 취약점과 SW 개발자 대상 공급망 공격 확대
필수 프로그램을 대상으로 SW 공급망 공격 다수 발생
보안 인증 프로그램의 해킹 공격과 개발사 내부에 침투하여 시스템 감염
오픈소스 환경과 특징을 노리는 SW 공급망 공격 지속 발생
[주요 사고 사례 및 동향]
드림시큐리티 MagicLine SW 취약점 보안 업데이트 권고(3월)
'매직라인 취약점 이용해 50여 곳 해킹' 北, SW 취약점 공격(6월)
오픈소스 리포지터리 통한 공급망 공격, 특정 은행 몇 군데 피해 입혀(7월)
오픈소스 SW 공급망 공격, 1년 새 3배 껑충(10월)
국내에서 온라인 금융거래를 이용하기 위해서는 개인용 컴퓨터에 보안인증 프로그램을 필수적으로 설치해야 합니다. 또한, 기업에서 보안 강화를 위한 프로그램을 안전하게 사용하려면 수시로 보안 업데이트를 해야 합니다. 이때 필요한 프로그램을 대상으로 하는 소프트웨어(SW) 공급망 공격이 올해 특히 많이 발생하였습니다.
지난 3월, 해킹 그룹 라자루스의 소행으로 추정되는 보안 인증 프로그램의 취약점을 노린 해킹 공격이 확인되었습니다. 또한, 미상의 해킹 그룹이 국내 보안 프로그램 개발사 내부에 침투하여, 업데이트 파일 배포 서버를 통해 악성 코드를 유포하고 고객사들의 시스템까지 감염시키는 공격도 발생하였습니다.
대표적인 오픈소스 저장소인 NPM(Node Package Manager)에 악성코드가 포함된 패키지를 올려, 이를 이용해 개발된 기업의 서버가 감염된 사례도 있습니다. 이처럼 오픈소스 커뮤니티를 노려 악성코드가 숨겨진 패키지를 배포하는 공급망 공격도 지속적으로 발생하였습니다.
SW 공급망 공격은 초기 탐지와 조치가 어렵고 그 파급력도 크기 때문에 공격자들에게는 매우 효율적인 공격으로 이용되고 있고, 이러한 SW 공급망 공격은 앞으로도 계속 증가할 것으로 예측됩니다.
과기정통부와 KISA는 유관기관들과 협력하여 SW 공급망 공격을 분석하고 제조사와 함께 보안패치를 개발하였으며, 보안공지와 대국민 안내 등을 통해 패치 적용을 독려하는 등 피해 확산 방지를 위해 적극 대응하고 있습니다.
또한, 현재 마련 중인 「SW 공급망 보안 가이드라인」 을 조만간 발표하여 SBOM*을 기반으로 하는 보안 취약점 점검 및 조치도 보다 효율적으로 지원할 계획입니다. (*SBOM(Software Bill Of Material): SW의 구성요소와 정보를 나열하고 문서화한 명세서)
개인정보를 노려 진화하는 메신저 사칭 공격과 피해 재확산
개인정보 노리는 피싱 공격의 지능화와 유출된 개인정보 이용한 추가 피해
메신저를 위장하여 개인 정보와 계정 탈취 후 지인들에게 피해 확산
크리덴셜(Credential) 스터핑 공격의 발생 증가로 개인정보 유출과 금전적 피해
[주요 사고 사례 및 동향]
'Meta'사칭해 기업 페이스북 계정 노리는 피싱 메일 유포(5월)
'텔레그램' 업데이트 메시지? 개인정보 빼가는 해킹 메시지(7월)
'부고 사칭 스미싱 문자 급증'주의보(12월)
포털이나 메신저 등 이용자가 많은 서비스를 정교하게 사칭하여 이용자 개인정보를 노리는 사회공학적 기법의 피싱(Phishing) 공격이 갈수록 진화하고 있으며, 유출된 개인정보를 이용해 또 다른 피해로 연결되는 사례도 급증하였습니다.
지난 7월 텔레그램 공식 계정인 것처럼 위장한 피싱사이트를 통해 개인 정보와 인증번호 입력을 요구하여 계정을 탈취하고, 탈취한 계정에 등록된 지인들에게 마치 본인이 보낸 것처럼 피싱사이트 주소를 전달하는 새로운 해킹 수법이 나타났습니다. 이는 피해자 입장에서 매우 속기 쉽게 계정 탈취가 이루어진다는 측면에서 국민들의 각별한 주의가 요구됩니다.
※ 2023년 피싱사이트 탐지, 차단 건수는 전년(2022년) 대비 약 1.8배 증가 (4,206건 → 7,534건)
또한, 택배 배송이나 교통범칙금, 지인부고 등을 사칭하는 문자메시지에 링크 주소(URL) 클릭을 유도하여 악성파일을 설치하려는 스미싱 문자도 올해 대량 유포(23년 약 37만건 탐지·차단)되어, 문자나 메신저 채팅을 이용한 해커들의 공격도 끊임없이 확산되고 있는 중입니다.
[주요 사고 사례 및 동향]
과방위, LGU+ 개인정보 유출 점검... 정부 "중대한 침해사고로 판단"(2월)
"지금 당장 비밀번호 바꿔라"...개인정보 위협하는 '크리덴셜 스터핑'주의보(6월)
국내 기업과 기관들을 대상으로 하는 크리덴셜 스터핑* 공격도 연이어 발생하였습니다. 인터파크 78만 건, 한국고용정보원(워크넷) 23만 건의 개인정보가 유출되었으며, 지마켓의 상품권 번호 도용, 스타벅스의 카드 충전금 도용 등 금전적 피해를 입히는 공격으로 확산되기도 하였습니다. (*크리덴셜 스터핑: 타 사이트에서 수집한 사용자의 계정 정보를 무작위로 대입해 로그인을 시도해 보는 공격 방식)
특히 최근 침해 사고 조사 결과, 크리덴셜 스터핑 공격 시 로그인 시도 대비 성공률이 약 0.3% 가까이 되는 경우도 나타나고 있어, 각 기업 및 기관들은 로그인 시도 횟수 제한, 2차 인증 기능 제공 등 이용자 인증 관련 보안성을 더욱 높여야 할 것으로 나타났습니다.
이 외에도, 올해 초 LG유플러스 사용자로 추정되는 고객 정보가 해킹 포럼 게시판에 공개된 바 있습니다. 과기정통부와 KISA는 사고 원인 분석을 위해 민·관 합동으로 특별조사점검단을 구성하여 피해확산 방지, 복구와 재발방지 등 조치방안을 수립하고, LG유플러스의 후속조치 이행 여부를 점검하였습니다.
과기정통부와 KISA는 통신사들과 협력하여 개인정보 입력을 유도하는 피싱 사이트를 긴급 차단하고, 보호나라 웹사이트와 118 신고전화 등을 통해 피해여부 확인과 조치 방법 등을 안내하고 있습니다. 이용자들도 메신저 서비스에 2차 인증 기능을 설정하고, 출처가 불분명한 사이트는 접속하지 않는 등 주의가 필요합니다.
랜섬웨어 공격과 산업 기밀정보 공개를 빌미로 하는 금전 협박
기밀정보 유출과 복구비용 지불을 요구하는 랜섬웨어 공격 지속 발생
운영서버와 백업 서버까지 암호화하는 복합적인 방식으로 공격 양상 변화
중소기업의 50.3%만 백업체계 구축되어 있어 복구체계 강화 필요
[주요 사고 사례 및 동향]
전쟁 중인 러시아, 사이버 공간에서의 활동 양상도 변하고 있다(6월)
23년 상반기, 금융권에 가장 많은 랜섬웨어 피해(8월)
랜섬웨어 공격 93%, 백업 데이터 타깃(5월)
랜섬웨어 5년간 14배 증가, 피해 대부분 중소기업(10월)
기업 내부의 산업 기밀정보 유출과 함께 데이터 암호화를 통한 복구 비용 지불을 요구하는 금전 취득 목적의 공격이 지속적으로 발생하였으며, 국가 배후의 해킹 그룹이 상대국의 중요 인프라의 운영을 방해할 목적으로 랜섬웨어 공격을 실행하기도 하였습니다.
KISA 침해 사고 신고를 분석해 보면, 사이버 보안 위협은 매년 지속적으로 증가(20년 603건, 21년 640건, 22년 1,142건, 23년 11월 1,184건)했지만 랜섬웨어 공격 건수는 작년 대비 감소(22년, 325건 → 23년 11월, 237건, 27.1% ↓)하여 랜섬웨어 공격 위협이 다소 줄어든 것처럼 보입니다.
하지만, 최근 랜섬웨어 공격은 주로 중소기업(78.1%)과 제조업종(36.7%)을 대상으로 하여 먼저 기업의 기밀정보를 빼내고, 운영서버와 백업서버 자료까지 찾아 암호화하여 금전을 요구하는 복합적인 방식(Multi Extortion, 다중협박)으로 이루어져 공격 양상이 더욱 악랄해졌습니다.
과기정통부와 KISA의 중소기업 백업체계 구축 지원 사업과 안내 등을 통해 랜섬웨어 피해를 신고한 중소기업의 약 50.3%(21년, 35.6%)는 데이터 백업체계를 구축하여 피해가 그나마 최소화되었지만, 나머지 기업들은 여전히 데이터 복구에 어려움을 겪고 있는 것으로 보입니다.
랜섬웨어에 대비하기 위해 각 기업들은 외부에 노출되어 있는 서버에 대해서는 비정상적인 접근 차단과 보안 취약점 제거 등을 통해 내부로 침입할 수 있는 위협 접점을 제거하는 공격 표면 관리를 더욱 철저히 하고, 백업 서버는 반드시 별도의 분리된 환경(망분리 등)에 따로 구축하여야 합니다.
KISA는 랜섬웨어 대응 역량이 부족한 지역·중소·영세기업을 대상으로 무상 보안취약점 점검과 서버 보안점검(내서버돌보미)을 지원 중이며, 한국정보보호산업협회(KISIA)도 랜섬웨어 대응 보안솔루션 패키지 지원사업을 진행 중에 있어, 랜섬웨어 예방 대책이 필요한 기업은 언제든지 도움을 받을 수 있습니다.
※ 23년 - 보안취약점 점검 400건, 내서버돌보미 350건, 보안솔루션 패키지 지원 14건
2024년 사이버 보안 위협 전망
피해 자체를 모르게 하는 은밀하고 지속적인 SW 공급망 공격
해킹 그룹은 인터넷에 무상으로 공개된 소스 코드나 SW들을 프로그램 개발자들이 많이 이용하는 것을 악용해 유명한 오픈소스를 사칭하거나 변조된 코드를 배포해 개발자 대상 공격을 확대해 나갈 것으로 보입니다. 개발자 시스템을 장악하면 지능적이고 지속적인 공격(APT)을 통해 은밀히 침투하여, 개발 제품에 악의적인 코드를 쉽게 포함시킬 수 있기 때문입니다.
SW 공급망을 통한 공격 시도도 계속 증가할 것으로 보입니다. SW 제작과 운영 단계에서 정상 제품에 악성코드가 포함되어 배포되면, SW 이용기업이나 기관들은 악성코드 등이 침투되었다는 사실도 인지하지 못하고 고객사 등 다른 이용자에게도 연쇄적인 피해를 줄 수 있습니다.
공급망 공격 대응을 위해서 SBOM과 함께 제조업체, 프로그램 소유자 등에게 제품과 기술의 출처, 보안 위협과 관련된 정보를 제공하는 HBOM의 필요성도 높아질 것입니다. SBOM은 SW 중심의 모니터링과 사고 대응에 유용하고, HBOM*은 제품 조달이나 현장 점검에 사용될 수 있어 시스템 구축과 운영에 SBOM과 HBOM을 함께 고려하는 것이 보다 효과적인 방법이 될 수 있을 것입니다. (*HBOM(Hardware Bill Of Material): HW의 구성요소와 물리적 부품을 나열하고 문서화한 명세서)
생성형 AI를 악용한 사이버 범죄 가능성 증가
생성형 AI를 악용해 일반인들도 사이버 범죄 시도 가능성 증가
다크웹 등에서 생성형 AI 기반의 사이버 범죄 도구 더욱 많이 확산될 것
생성형 AI 악용 방지를 위한 기술 개발과 제도 마련 검토 필요
챗GPT를 화두로 한 생성형 인공지능(AI) 기술의 급속한 발전은 다양한 분야에서 진화와 혁신을 가져왔습니다. 하지만 해당 기술은 사용자가 보안에 대한 전문적인 지식이 없더라도 손쉽게 악성코드 제작뿐 아니라 취약점 확인, 사회 공학적 공격, 음성 위변조 등 다양한 사이버 공격에 악용될 수 있는 위험성도 내포하고 있습니다.
더 나아가 공격 대상의 정보를 수집하고 분석하는 것도 생성형 AI를 사용한다면 더욱 자동화하고 가속화될 수 있을 것입니다. 생성형 AI와 AI 대규모 언어모델(LLM, Large Language Model)을 활용하여 범죄 대상과 범죄 방법을 제공하는 서비스가 다크웹 등 해킹 포럼에 소개된다면, 누구나 쉽게 사이버 범죄에 가담할 수 있다는 점에서 우려가 커지고 있습니다.
실제로 공격자가 기술 용어나 특정 비즈니스 영역에 능통하지 않더라도 공격 대상이 쉽게 속을 수 있도록 정교하게 이메일 본문을 작성하고 악성 프로그램을 제작해 주는 등 피싱 이메일 공격을 도와주는 생성형 AI 기반의 사이버 범죄 도구가 최근 발견되기도 하였습니다. 또한, 기존 백신 등이 탐지하기 어려운 변종 악성 코드를 만드는 데도 생성형 AI 기술이 더욱 많이 이용될 것으로 보입니다.
이에 따라, 생성형 AI를 악용하는 사이버 범죄에 적극적으로 대응할 수 있는 관련 보안기술 개발 필요성도 높아질 것입니다. 공격 가능성이 높은 취약점을 미리 식별하고 대응하기 위한 기술 개발이나, 생성형 AI 모델의 결과물을 식별하고 진위여부를 판별할 수 있는 기술 등을 당장 현장에서 요구할 수 있습니다.
OT/ICS 및 IoT 환경의 보안 위협 증가
그동안 제조, 에너지, 교통, 통신, 의료 등 주요 사회 인프라는 중단 없는 서비스를 최우선으로 하여 폐쇄망에서 운영되어 외부 침입이 불가능했습니다. 하지만, 스마트 설비와 디지털 트윈 등 정보통신(IT) 기술이 현장에 적용되면서 운영기술(OT), 산업제어시스템(ICS), 사물인터넷(IoT) 기반 시스템과 상호 간에 연결이 증가하여 보안 위협도 함께 급증하고 있습니다.
※OT: 산업용 기계나 공정 운영을 위한 기술과 시스템
ICS: 생산라인의 각종 기계와 공정을 제어하기 위한 시스템
IoT: 인터넷을 통한 기기들 간의 연결과 데이터 송수신
최근 글로벌 보안업체 발표에 따르면 전 세계 ICS 중 33% 이상에서 악성코드가 탐지되었는데, 이중 약 10%는 지속적으로 감염이 반복되고 있다고 합니다. IP 카메라, 공유기 등 IoT 장비 관련 신규 보안 취약점도 매년 꾸준히 증가하고 있는 것으로 확인되었습니다.
국제침해사고대응협의체(FIRST, Forum of Incident Response and Security Teams)는 지난 11월 '사이버 보안 위험도 측정(CVSS* 4.0)'을 업데이트하여 발표하였는데, OT/ICS, IoT에 대한 취약점 평가 기준 항목도 새롭게 추가하여 이 분야의 새로운 위협 경고와 대응을 보다 강조하고 있습니다. (*Common Vulnerability Scoring System : 보안 취약점의 위험성을 숫자로 표현하는 지표)
OT/ICS 환경은 일반적으로 IT 환경보다 기능이 제한적이고 공격 표면도 작지만, 취약점에 대한 펌웨어 등 보안패치가 제조사별로 늦게 제공되거나 서비스의 무중단을 이유로 소극적으로 보안패치 적용을 하는 등 운영방식의 문제점도 있습니다.
이 점을 노려 OT/ICS와 IoT 환경에서 발생할 수 있는 가장 큰 위협은 국가 간 이해관계 충돌로 인한 공격입니다. 주요 기반 시설의 중요 정보를 탈취하거나 OT/ICS와 IoT 환경에 악성코드를 유포하여 시스템의 오작동, 정지 등을 유발시키는 행위는 국민 안전과 생명을 위협하는 매우 치명적인 공격이 될 수 있습니다.
또한, 업무 환경 변화와 담당자 변경 등으로 인해 조직 내에서 관리되지 않는 장비를 대상으로 한 공격도 증가할 수 있습니다. 이를 위해서는 각 장비들이 어떤 위험을 초래하는지 정의해야 하고 공격 표면을 효과적으로 줄이기 위한 취약점 해결 우선순위를 지정해야 할 필요가 있습니다.
정치·사회적 이슈를 악용하는 사이버 위협 고조
2024년은 국내외에 대규모 정치적 행사가 예정되어 있습니다. 한국은 22대 국회의원 총선거가 4월에 있으며 미국도 상·하원 선거 3월, 대통령 선거가 11월에 있어, 그 어느 해보다 정치·사회적으로 많은 이슈와 관심이 집중될 것으로 예상됩니다.
이처럼 국가적인 중요한 행사가 있을 때 사회 혼란을 노리는 세력들의 사이버 위협 가능성도 함께 높아집니다. 악의적 의도를 지닌 공격자들은 불순한 목적이나 갈등을 조장하기 위한 다양한 공격을 시도할 수 있습니다.
최근 이념, 종교, 이권 등에 따라 세계가 블록화되면서 적대 세력 간 혹은 국가 간 물리적 충돌이나 분쟁이 사이버 영역으로까지 확대될 것입니다.
해킹 그룹은 목표물을 공격하기 위한 사전 작업으로 목표 관계자와 주변을 사회관계망 서비스(SNS)로 확인하고, 피싱 공격, 악성코드 감염, 해킹 등을 통해 얻은 시스템 관리자 등의 계정 정보를 이용합니다.
또한, 딥페이크 기술을 적극 활용해 가짜 뉴스를 생산하고, 예전에 유출된 내용으로 거짓 해킹을 주장할 수도 있습니다.
국가 주도의 해킹 그룹은 상대 세력의 중요 정보를 몰래 유출하기 위한 활동과 함께, 사회 전반에 혼란과 장애를 일으킬 수 있는 공격을 시도할 것이며 그 대상은 온라인으로 연결된 곳이라면 어디든 될 수 있습니다. 또한, 핵티비스트(Hacktivist: Hacking+activist)들은 자신들의 신념에 따라 공격 대상을 정해 지속적인 공격을 진행할 것으로 전망됩니다.
언론사와 포털, 선거 관련 기관들에 대한 공격에 효과적으로 대응하지 못한다면, 그 피해는 온라인에서만 국한되는 것이 아니라 사회 전반에 대한 사이버 테러가 될 수 있습니다. 공격자들은 경험과 학습을 통해 더욱 지능적인 공격 시나리오가 전략을 계획할 수 있어 철저한 대응이 필요합니다.
따라서, 2024년은 예전보다 더 높은 경각심과 경계 태세를 유지해야 할 때이며, 민·관이 더 긴밀히 협력해 사이버 보안 체계를 상시 점검하고 강화해 나가야 합니다.
사이버 보안 위협 대응 전략 및 방법
사회, 경제 전반의 디지털 전환 흐름에 발맞춰 사이버 방어체계 고도화 노력에도 불구하고 공격자들도 역시 새로운 취약점을 찾아 진화하고 있으며, 2024년에도 역시 예측 불가능한 침해사고가 발생할 것으로 보입니다.
따라서, 기관, 기업 등 조직은 단순히 보안 시스템을 도입해 운영하고 있다는 것만으로 안심하는 것보다는, 만일의 상황에 대비해 사이버 침해를 당하더라도 업무 중단이 되지 않도록 백업체계를 마련하고 신속한 복구 프로세스를 반복해서 점검하고 강화해야 할 것입니다.
과학기술정보통신부와 KISA(한국인터넷진흥원)는 지난해 7월 발표한 ｢제로트러스트* 가이드라인 1.0｣을 기반으로 국내 기업 환경에 적용할 수 있는 ʻ제로트러스트 기본모델 2종’ 을 12월 11일 공개 한 바 있으며, 24년도 초에는 ｢SW 공급망 보안 가이드라인｣도 마련·제공하여 기업의 정보보호 역량 강화를 계속 지원할 계획이라고 합니다.
[원문 출처 : KISA, 보고서 전문 보기]
https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000127&pageIndex=1&nttId=71265&menuNo=205021
보안 전문 기업 소프트와이드시큐리티는 17년의 보안 분야의 업력과 전문성을 기반으로 각 분야별 최고의 보안 솔루션을 통해 조직이 사이버 보안 위협에 대응할 수 있도록 지원합니다. 2023년 사이버 보안 위협 분석과 2024년 사이버 보안 위협 전망에서 지속적으로 강조하는 SW 공급망 공격 뿐만 아니라 보안 위협에 선제적으로 대응할 수 있도록 사이버 방어 체계를 고도화하는 보안 솔루션을 제공합니다.
소프트웨어 공급망 보안, 제로 트러스트 보안 부터 보안 검증까지 소프트와이드시큐리티의 차별화된 보안 제품군을 확인해보세요.
SW 공급망 보안
제로 트러스트 보안
업무 중단 없는 백업체계 구축 및 복구
사이버 방어 체계 고도화 
보안 솔루션에 대한 문의사항은 소프트와이드시큐리티로 연락 부탁드립니다.
지난 2023년 12월, 과학기술정보통신부와 KISA(한국인터넷진흥원)는 사이버 위협 인텔리전스 네트워크와 함께 사이버 위협에 대한 선제적 예방 및 대응체계 강화를 위해 '2023년 사이버 보안 위협 분석 및 2024년 사이버 보안 위협 전망'을 발표했습니다.
보고서의 상세 내용과 함께 사이버 보안 위협에 대응할 수 있는 전략과 방법에 대해 소개해드립니다.
2023년 사이버 보안 위협 분석
보안프로그램 취약점과 SW 개발자 대상 공급망 공격 확대
필수 프로그램을 대상으로 SW 공급망 공격 다수 발생
보안 인증 프로그램의 해킹 공격과 개발사 내부에 침투하여 시스템 감염
오픈소스 환경과 특징을 노리는 SW 공급망 공격 지속 발생
[주요 사고 사례 및 동향]
드림시큐리티 MagicLine SW 취약점 보안 업데이트 권고(3월)
'매직라인 취약점 이용해 50여 곳 해킹' 北, SW 취약점 공격(6월)
오픈소스 리포지터리 통한 공급망 공격, 특정 은행 몇 군데 피해 입혀(7월)
오픈소스 SW 공급망 공격, 1년 새 3배 껑충(10월)
국내에서 온라인 금융거래를 이용하기 위해서는 개인용 컴퓨터에 보안인증 프로그램을 필수적으로 설치해야 합니다. 또한, 기업에서 보안 강화를 위한 프로그램을 안전하게 사용하려면 수시로 보안 업데이트를 해야 합니다. 이때 필요한 프로그램을 대상으로 하는 소프트웨어(SW) 공급망 공격이 올해 특히 많이 발생하였습니다.
지난 3월, 해킹 그룹 라자루스의 소행으로 추정되는 보안 인증 프로그램의 취약점을 노린 해킹 공격이 확인되었습니다. 또한, 미상의 해킹 그룹이 국내 보안 프로그램 개발사 내부에 침투하여, 업데이트 파일 배포 서버를 통해 악성 코드를 유포하고 고객사들의 시스템까지 감염시키는 공격도 발생하였습니다.
대표적인 오픈소스 저장소인 NPM(Node Package Manager)에 악성코드가 포함된 패키지를 올려, 이를 이용해 개발된 기업의 서버가 감염된 사례도 있습니다. 이처럼 오픈소스 커뮤니티를 노려 악성코드가 숨겨진 패키지를 배포하는 공급망 공격도 지속적으로 발생하였습니다.
SW 공급망 공격은 초기 탐지와 조치가 어렵고 그 파급력도 크기 때문에 공격자들에게는 매우 효율적인 공격으로 이용되고 있고, 이러한 SW 공급망 공격은 앞으로도 계속 증가할 것으로 예측됩니다.
과기정통부와 KISA는 유관기관들과 협력하여 SW 공급망 공격을 분석하고 제조사와 함께 보안패치를 개발하였으며, 보안공지와 대국민 안내 등을 통해 패치 적용을 독려하는 등 피해 확산 방지를 위해 적극 대응하고 있습니다.
또한, 현재 마련 중인 「SW 공급망 보안 가이드라인」 을 조만간 발표하여 SBOM*을 기반으로 하는 보안 취약점 점검 및 조치도 보다 효율적으로 지원할 계획입니다. (*SBOM(Software Bill Of Material): SW의 구성요소와 정보를 나열하고 문서화한 명세서)
개인정보를 노려 진화하는 메신저 사칭 공격과 피해 재확산
개인정보 노리는 피싱 공격의 지능화와 유출된 개인정보 이용한 추가 피해
메신저를 위장하여 개인 정보와 계정 탈취 후 지인들에게 피해 확산
크리덴셜(Credential) 스터핑 공격의 발생 증가로 개인정보 유출과 금전적 피해
[주요 사고 사례 및 동향]
'Meta'사칭해 기업 페이스북 계정 노리는 피싱 메일 유포(5월)
'텔레그램' 업데이트 메시지? 개인정보 빼가는 해킹 메시지(7월)
'부고 사칭 스미싱 문자 급증'주의보(12월)
포털이나 메신저 등 이용자가 많은 서비스를 정교하게 사칭하여 이용자 개인정보를 노리는 사회공학적 기법의 피싱(Phishing) 공격이 갈수록 진화하고 있으며, 유출된 개인정보를 이용해 또 다른 피해로 연결되는 사례도 급증하였습니다.
지난 7월 텔레그램 공식 계정인 것처럼 위장한 피싱사이트를 통해 개인 정보와 인증번호 입력을 요구하여 계정을 탈취하고, 탈취한 계정에 등록된 지인들에게 마치 본인이 보낸 것처럼 피싱사이트 주소를 전달하는 새로운 해킹 수법이 나타났습니다. 이는 피해자 입장에서 매우 속기 쉽게 계정 탈취가 이루어진다는 측면에서 국민들의 각별한 주의가 요구됩니다.
※ 2023년 피싱사이트 탐지, 차단 건수는 전년(2022년) 대비 약 1.8배 증가 (4,206건 → 7,534건)
또한, 택배 배송이나 교통범칙금, 지인부고 등을 사칭하는 문자메시지에 링크 주소(URL) 클릭을 유도하여 악성파일을 설치하려는 스미싱 문자도 올해 대량 유포(23년 약 37만건 탐지·차단)되어, 문자나 메신저 채팅을 이용한 해커들의 공격도 끊임없이 확산되고 있는 중입니다.
[주요 사고 사례 및 동향]
과방위, LGU+ 개인정보 유출 점검... 정부 "중대한 침해사고로 판단"(2월)
"지금 당장 비밀번호 바꿔라"...개인정보 위협하는 '크리덴셜 스터핑'주의보(6월)
국내 기업과 기관들을 대상으로 하는 크리덴셜 스터핑* 공격도 연이어 발생하였습니다. 인터파크 78만 건, 한국고용정보원(워크넷) 23만 건의 개인정보가 유출되었으며, 지마켓의 상품권 번호 도용, 스타벅스의 카드 충전금 도용 등 금전적 피해를 입히는 공격으로 확산되기도 하였습니다. (*크리덴셜 스터핑: 타 사이트에서 수집한 사용자의 계정 정보를 무작위로 대입해 로그인을 시도해 보는 공격 방식)
특히 최근 침해 사고 조사 결과, 크리덴셜 스터핑 공격 시 로그인 시도 대비 성공률이 약 0.3% 가까이 되는 경우도 나타나고 있어, 각 기업 및 기관들은 로그인 시도 횟수 제한, 2차 인증 기능 제공 등 이용자 인증 관련 보안성을 더욱 높여야 할 것으로 나타났습니다.
이 외에도, 올해 초 LG유플러스 사용자로 추정되는 고객 정보가 해킹 포럼 게시판에 공개된 바 있습니다. 과기정통부와 KISA는 사고 원인 분석을 위해 민·관 합동으로 특별조사점검단을 구성하여 피해확산 방지, 복구와 재발방지 등 조치방안을 수립하고, LG유플러스의 후속조치 이행 여부를 점검하였습니다.
과기정통부와 KISA는 통신사들과 협력하여 개인정보 입력을 유도하는 피싱 사이트를 긴급 차단하고, 보호나라 웹사이트와 118 신고전화 등을 통해 피해여부 확인과 조치 방법 등을 안내하고 있습니다. 이용자들도 메신저 서비스에 2차 인증 기능을 설정하고, 출처가 불분명한 사이트는 접속하지 않는 등 주의가 필요합니다.
랜섬웨어 공격과 산업 기밀정보 공개를 빌미로 하는 금전 협박
기밀정보 유출과 복구비용 지불을 요구하는 랜섬웨어 공격 지속 발생
운영서버와 백업 서버까지 암호화하는 복합적인 방식으로 공격 양상 변화
중소기업의 50.3%만 백업체계 구축되어 있어 복구체계 강화 필요
[주요 사고 사례 및 동향]
전쟁 중인 러시아, 사이버 공간에서의 활동 양상도 변하고 있다(6월)
23년 상반기, 금융권에 가장 많은 랜섬웨어 피해(8월)
랜섬웨어 공격 93%, 백업 데이터 타깃(5월)
랜섬웨어 5년간 14배 증가, 피해 대부분 중소기업(10월)
기업 내부의 산업 기밀정보 유출과 함께 데이터 암호화를 통한 복구 비용 지불을 요구하는 금전 취득 목적의 공격이 지속적으로 발생하였으며, 국가 배후의 해킹 그룹이 상대국의 중요 인프라의 운영을 방해할 목적으로 랜섬웨어 공격을 실행하기도 하였습니다.
KISA 침해 사고 신고를 분석해 보면, 사이버 보안 위협은 매년 지속적으로 증가(20년 603건, 21년 640건, 22년 1,142건, 23년 11월 1,184건)했지만 랜섬웨어 공격 건수는 작년 대비 감소(22년, 325건 → 23년 11월, 237건, 27.1% ↓)하여 랜섬웨어 공격 위협이 다소 줄어든 것처럼 보입니다.
하지만, 최근 랜섬웨어 공격은 주로 중소기업(78.1%)과 제조업종(36.7%)을 대상으로 하여 먼저 기업의 기밀정보를 빼내고, 운영서버와 백업서버 자료까지 찾아 암호화하여 금전을 요구하는 복합적인 방식(Multi Extortion, 다중협박)으로 이루어져 공격 양상이 더욱 악랄해졌습니다.
과기정통부와 KISA의 중소기업 백업체계 구축 지원 사업과 안내 등을 통해 랜섬웨어 피해를 신고한 중소기업의 약 50.3%(21년, 35.6%)는 데이터 백업체계를 구축하여 피해가 그나마 최소화되었지만, 나머지 기업들은 여전히 데이터 복구에 어려움을 겪고 있는 것으로 보입니다.
랜섬웨어에 대비하기 위해 각 기업들은 외부에 노출되어 있는 서버에 대해서는 비정상적인 접근 차단과 보안 취약점 제거 등을 통해 내부로 침입할 수 있는 위협 접점을 제거하는 공격 표면 관리를 더욱 철저히 하고, 백업 서버는 반드시 별도의 분리된 환경(망분리 등)에 따로 구축하여야 합니다.
KISA는 랜섬웨어 대응 역량이 부족한 지역·중소·영세기업을 대상으로 무상 보안취약점 점검과 서버 보안점검(내서버돌보미)을 지원 중이며, 한국정보보호산업협회(KISIA)도 랜섬웨어 대응 보안솔루션 패키지 지원사업을 진행 중에 있어, 랜섬웨어 예방 대책이 필요한 기업은 언제든지 도움을 받을 수 있습니다.
※ 23년 - 보안취약점 점검 400건, 내서버돌보미 350건, 보안솔루션 패키지 지원 14건
2024년 사이버 보안 위협 전망
피해 자체를 모르게 하는 은밀하고 지속적인 SW 공급망 공격
오픈소스 개발 환경 대상으로 APT 기반의 SW 공급망 복합 공격 확대
SBOM과 함께 HBOM도 공급망 공격에 대비하는 주요 기술 기반으로 취급 필요
해킹 그룹은 인터넷에 무상으로 공개된 소스 코드나 SW들을 프로그램 개발자들이 많이 이용하는 것을 악용해 유명한 오픈소스를 사칭하거나 변조된 코드를 배포해 개발자 대상 공격을 확대해 나갈 것으로 보입니다. 개발자 시스템을 장악하면 지능적이고 지속적인 공격(APT)을 통해 은밀히 침투하여, 개발 제품에 악의적인 코드를 쉽게 포함시킬 수 있기 때문입니다.
SW 공급망을 통한 공격 시도도 계속 증가할 것으로 보입니다. SW 제작과 운영 단계에서 정상 제품에 악성코드가 포함되어 배포되면, SW 이용기업이나 기관들은 악성코드 등이 침투되었다는 사실도 인지하지 못하고 고객사 등 다른 이용자에게도 연쇄적인 피해를 줄 수 있습니다.
공급망 공격 대응을 위해서 SBOM과 함께 제조업체, 프로그램 소유자 등에게 제품과 기술의 출처, 보안 위협과 관련된 정보를 제공하는 HBOM의 필요성도 높아질 것입니다. SBOM은 SW 중심의 모니터링과 사고 대응에 유용하고, HBOM*은 제품 조달이나 현장 점검에 사용될 수 있어 시스템 구축과 운영에 SBOM과 HBOM을 함께 고려하는 것이 보다 효과적인 방법이 될 수 있을 것입니다. (*HBOM(Hardware Bill Of Material): HW의 구성요소와 물리적 부품을 나열하고 문서화한 명세서)
생성형 AI를 악용한 사이버 범죄 가능성 증가
생성형 AI를 악용해 일반인들도 사이버 범죄 시도 가능성 증가
다크웹 등에서 생성형 AI 기반의 사이버 범죄 도구 더욱 많이 확산될 것
생성형 AI 악용 방지를 위한 기술 개발과 제도 마련 검토 필요
챗GPT를 화두로 한 생성형 인공지능(AI) 기술의 급속한 발전은 다양한 분야에서 진화와 혁신을 가져왔습니다. 하지만 해당 기술은 사용자가 보안에 대한 전문적인 지식이 없더라도 손쉽게 악성코드 제작뿐 아니라 취약점 확인, 사회 공학적 공격, 음성 위변조 등 다양한 사이버 공격에 악용될 수 있는 위험성도 내포하고 있습니다.
더 나아가 공격 대상의 정보를 수집하고 분석하는 것도 생성형 AI를 사용한다면 더욱 자동화하고 가속화될 수 있을 것입니다. 생성형 AI와 AI 대규모 언어모델(LLM, Large Language Model)을 활용하여 범죄 대상과 범죄 방법을 제공하는 서비스가 다크웹 등 해킹 포럼에 소개된다면, 누구나 쉽게 사이버 범죄에 가담할 수 있다는 점에서 우려가 커지고 있습니다.
실제로 공격자가 기술 용어나 특정 비즈니스 영역에 능통하지 않더라도 공격 대상이 쉽게 속을 수 있도록 정교하게 이메일 본문을 작성하고 악성 프로그램을 제작해 주는 등 피싱 이메일 공격을 도와주는 생성형 AI 기반의 사이버 범죄 도구가 최근 발견되기도 하였습니다. 또한, 기존 백신 등이 탐지하기 어려운 변종 악성 코드를 만드는 데도 생성형 AI 기술이 더욱 많이 이용될 것으로 보입니다.
이에 따라, 생성형 AI를 악용하는 사이버 범죄에 적극적으로 대응할 수 있는 관련 보안기술 개발 필요성도 높아질 것입니다. 공격 가능성이 높은 취약점을 미리 식별하고 대응하기 위한 기술 개발이나, 생성형 AI 모델의 결과물을 식별하고 진위여부를 판별할 수 있는 기술 등을 당장 현장에서 요구할 수 있습니다.
OT/ICS 및 IoT 환경의 보안 위협 증가
OT/ICS가 스마트화 되면서 IoT와 상호간 연결이 증가함에 따라 위협도 함께 증가
주요 기반시설에 대한 적극적인 보안패치로 국민 안전과 생명 위협에 대응 필요
그동안 제조, 에너지, 교통, 통신, 의료 등 주요 사회 인프라는 중단 없는 서비스를 최우선으로 하여 폐쇄망에서 운영되어 외부 침입이 불가능했습니다. 하지만, 스마트 설비와 디지털 트윈 등 정보통신(IT) 기술이 현장에 적용되면서 운영기술(OT), 산업제어시스템(ICS), 사물인터넷(IoT) 기반 시스템과 상호 간에 연결이 증가하여 보안 위협도 함께 급증하고 있습니다.
※OT: 산업용 기계나 공정 운영을 위한 기술과 시스템
ICS: 생산라인의 각종 기계와 공정을 제어하기 위한 시스템
IoT: 인터넷을 통한 기기들 간의 연결과 데이터 송수신
최근 글로벌 보안업체 발표에 따르면 전 세계 ICS 중 33% 이상에서 악성코드가 탐지되었는데, 이중 약 10%는 지속적으로 감염이 반복되고 있다고 합니다. IP 카메라, 공유기 등 IoT 장비 관련 신규 보안 취약점도 매년 꾸준히 증가하고 있는 것으로 확인되었습니다.
국제침해사고대응협의체(FIRST, Forum of Incident Response and Security Teams)는 지난 11월 '사이버 보안 위험도 측정(CVSS* 4.0)'을 업데이트하여 발표하였는데, OT/ICS, IoT에 대한 취약점 평가 기준 항목도 새롭게 추가하여 이 분야의 새로운 위협 경고와 대응을 보다 강조하고 있습니다. (*Common Vulnerability Scoring System : 보안 취약점의 위험성을 숫자로 표현하는 지표)
OT/ICS 환경은 일반적으로 IT 환경보다 기능이 제한적이고 공격 표면도 작지만, 취약점에 대한 펌웨어 등 보안패치가 제조사별로 늦게 제공되거나 서비스의 무중단을 이유로 소극적으로 보안패치 적용을 하는 등 운영방식의 문제점도 있습니다.
이 점을 노려 OT/ICS와 IoT 환경에서 발생할 수 있는 가장 큰 위협은 국가 간 이해관계 충돌로 인한 공격입니다. 주요 기반 시설의 중요 정보를 탈취하거나 OT/ICS와 IoT 환경에 악성코드를 유포하여 시스템의 오작동, 정지 등을 유발시키는 행위는 국민 안전과 생명을 위협하는 매우 치명적인 공격이 될 수 있습니다.
또한, 업무 환경 변화와 담당자 변경 등으로 인해 조직 내에서 관리되지 않는 장비를 대상으로 한 공격도 증가할 수 있습니다. 이를 위해서는 각 장비들이 어떤 위험을 초래하는지 정의해야 하고 공격 표면을 효과적으로 줄이기 위한 취약점 해결 우선순위를 지정해야 할 필요가 있습니다.
정치·사회적 이슈를 악용하는 사이버 위협 고조
국내 총선, 미국 대선 등 정치·사회적 이슈를 악용하는 공격 예상
민관의 긴밀한 협력으로 사이버 보안 체계 강화 필요
2024년은 국내외에 대규모 정치적 행사가 예정되어 있습니다. 한국은 22대 국회의원 총선거가 4월에 있으며 미국도 상·하원 선거 3월, 대통령 선거가 11월에 있어, 그 어느 해보다 정치·사회적으로 많은 이슈와 관심이 집중될 것으로 예상됩니다.
이처럼 국가적인 중요한 행사가 있을 때 사회 혼란을 노리는 세력들의 사이버 위협 가능성도 함께 높아집니다. 악의적 의도를 지닌 공격자들은 불순한 목적이나 갈등을 조장하기 위한 다양한 공격을 시도할 수 있습니다.
최근 이념, 종교, 이권 등에 따라 세계가 블록화되면서 적대 세력 간 혹은 국가 간 물리적 충돌이나 분쟁이 사이버 영역으로까지 확대될 것입니다.
해킹 그룹은 목표물을 공격하기 위한 사전 작업으로 목표 관계자와 주변을 사회관계망 서비스(SNS)로 확인하고, 피싱 공격, 악성코드 감염, 해킹 등을 통해 얻은 시스템 관리자 등의 계정 정보를 이용합니다.
또한, 딥페이크 기술을 적극 활용해 가짜 뉴스를 생산하고, 예전에 유출된 내용으로 거짓 해킹을 주장할 수도 있습니다.
국가 주도의 해킹 그룹은 상대 세력의 중요 정보를 몰래 유출하기 위한 활동과 함께, 사회 전반에 혼란과 장애를 일으킬 수 있는 공격을 시도할 것이며 그 대상은 온라인으로 연결된 곳이라면 어디든 될 수 있습니다. 또한, 핵티비스트(Hacktivist: Hacking+activist)들은 자신들의 신념에 따라 공격 대상을 정해 지속적인 공격을 진행할 것으로 전망됩니다.
언론사와 포털, 선거 관련 기관들에 대한 공격에 효과적으로 대응하지 못한다면, 그 피해는 온라인에서만 국한되는 것이 아니라 사회 전반에 대한 사이버 테러가 될 수 있습니다. 공격자들은 경험과 학습을 통해 더욱 지능적인 공격 시나리오가 전략을 계획할 수 있어 철저한 대응이 필요합니다.
따라서, 2024년은 예전보다 더 높은 경각심과 경계 태세를 유지해야 할 때이며, 민·관이 더 긴밀히 협력해 사이버 보안 체계를 상시 점검하고 강화해 나가야 합니다.
사이버 보안 위협 대응 전략 및 방법
업무 중단 없는 백업체계 구축과 복구 프로세스에 대한 점검 강화 필요
「제로트러스트 가이드라인」, 「SW 공급망 보안 가이드라인」을 통한 기업 정보보호 역량 강화 지원
사회, 경제 전반의 디지털 전환 흐름에 발맞춰 사이버 방어체계 고도화 노력에도 불구하고 공격자들도 역시 새로운 취약점을 찾아 진화하고 있으며, 2024년에도 역시 예측 불가능한 침해사고가 발생할 것으로 보입니다.
따라서, 기관, 기업 등 조직은 단순히 보안 시스템을 도입해 운영하고 있다는 것만으로 안심하는 것보다는, 만일의 상황에 대비해 사이버 침해를 당하더라도 업무 중단이 되지 않도록 백업체계를 마련하고 신속한 복구 프로세스를 반복해서 점검하고 강화해야 할 것입니다.
과학기술정보통신부와 KISA(한국인터넷진흥원)는 지난해 7월 발표한 ｢제로트러스트* 가이드라인 1.0｣을 기반으로 국내 기업 환경에 적용할 수 있는 ʻ제로트러스트 기본모델 2종’ 을 12월 11일 공개 한 바 있으며, 24년도 초에는 ｢SW 공급망 보안 가이드라인｣도 마련·제공하여 기업의 정보보호 역량 강화를 계속 지원할 계획이라고 합니다.
[원문 출처 : KISA, 보고서 전문 보기]
https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000127&pageIndex=1&nttId=71265&menuNo=205021
보안 전문 기업 소프트와이드시큐리티는 17년의 보안 분야의 업력과 전문성을 기반으로 각 분야별 최고의 보안 솔루션을 통해 조직이 사이버 보안 위협에 대응할 수 있도록 지원합니다. 2023년 사이버 보안 위협 분석과 2024년 사이버 보안 위협 전망에서 지속적으로 강조하는 SW 공급망 공격 뿐만 아니라 보안 위협에 선제적으로 대응할 수 있도록 사이버 방어 체계를 고도화하는 보안 솔루션을 제공합니다.
소프트웨어 공급망 보안, 제로 트러스트 보안 부터 보안 검증까지 소프트와이드시큐리티의 차별화된 보안 제품군을 확인해보세요.
SW 공급망 보안
제로 트러스트 보안
업무 중단 없는 백업체계 구축 및 복구
사이버 방어 체계 고도화
보안 솔루션에 대한 문의사항은 소프트와이드시큐리티로 연락 부탁드립니다.