이스트시큐리티, 2024년 5대 보안 위협 제시
이스트시큐리티(대표 정진일)는 2023년 보안 이슈 회고 및 2024년 보안 위협 전망을 27일 발표했다. 이스트시큐리티가 전망한 2024년 보안 위협은 ▲제로데이 취약점을 악용한 SW 공급망 공격의 증가 ▲모바일 타깃 공격의 지속 및 고도화 ▲사이버 공격자들의 생성형 AI 활용 증가 ▲정치적 목적을 가진 핵티비즘의 증가 ▲IoT/OT 시스템 타깃 보안 위협 증가로 요약할 수 있다. 자세한 내용은 하기와 같다. 제로데이 취약점을 이용한 SW 공급망 공격이 증가할 것으로 예상된다. SW 공급망은 하나의 취약점이 전체 공급망에 영향을 미칠 수 있을 뿐만 아니라 신뢰를 기반으로 진행되기 때문에 탐지가 어렵다. 또한 제로데이 취약점의 경우 패치가 존재하지 않기 때문에 일단 공격에 성공하면 대규모 공격이 가능하다. 올해 발생한 3CX 공급망 공격으로 전 세계 여러 기업과 기관이 피해를 입었으며, 국내에서도 보안인증 SW 취약점을 이용한 대규모 공격 시도가 발견되어 보안 권고문이 공개되었다. 2024년도에는 공급망의 제로데이 취약점을 악용하는 공격의 빈도와 수위가 한층 더 높아질 것으로 예상되는 만큼, 기업 및 기관에서는 소프트웨어 재료 명세서(SBoM) 작성, 주기적인 취약점 점검 등을 통해 공급망 보안을 강화해야 한다. 내년에는 모바일 환경을 타깃으로 한 공격이 지속 및 고도화될 것으로 예상된다. 공격자들은 부고, 쓰레기 무단투기 등과 같은 새로운 스미싱 키워드들을 지속적으로 발굴하고 있다. 공격자가 설정해 놓은 특정 조건에 부합해야 악성 앱이 다운로드 되는 등 백신사 및 통신사들의 탐지를 우회하기 위한 공격 방식의 다변화가 지속될 것이다. 모바일 사용자들의 개인정보 탈취를 시도하는 웹 기반 피싱과 정상 앱에 악성코드를 삽입한 리패키지 앱들처럼 고도화된 방식들을 이용한 위협도 증가할 것으로 예상된다. 안전한 모바일 사용 환경을 위해 메시지 내 링크 클릭을 지양하고 반드시 공식 앱 스토어를 통해 앱을 설치해야 한다. 또한 실수로 악성 앱을 설치하더라도 삭제할 수 있게 알약M과 같은 모바일 백신을 설치하는 것이 좋다. 챗GPT의 등장은 IT 생태계에 큰 변화를 몰고 왔다. 생성형 AI에 대한 사람들의 관심이 급증하였으며, 기업들의 투자와 개발도 늘어났다. 동시에 사이버 공격자들 역시 생성형 AI 기술에 주목하는 계기가 되었다. 올해가 생성형 AI에 대해 탐색하고 습득한 해라면, 2024년은 이렇게 탐색하고 습득한 기술을 실제 공격에 적용하고 활용하는 해가 될 것이다. 이미 만들어진 해킹 프로그램을 악용하는 스크립트 키디는 생성형 AI를 통해 악성코드 제작, 취약점 검색 등의 시도가 늘어날 전망이며, 피싱 공격자들을 다국어를 자연스럽게 구사하는 피싱 메일을 전 세계에 유포할 수도 있다. 뿐만 아니라 해커들만을 대상으로 서비스를 진행하는 생성형 AI도 다수 공개될 수도 있다. 생성형 AI를 활용한 해킹 공격이 증가할 것으로 예상되는 만큼 기업에서는 정보 보안에 각별한 신경을 쓰고, 주기적인 보안 교육을 통해 임직원들의 보안의식을 향상하고 보안 위협에 대응할 수 있도록 노력해야 한다. 내년에는 글로벌 질서에 상당한 영향을 미치는 미국을 포함한 70여 개의 국가에서 선거가 이뤄질 전망이다. 그 만큼 특정 그룹이나 후보자 지지하기 위해 선거 과정 개입을 목적으로 하는 해킹 공격이 증가할 것으로 예상된다. 우리나라도 총선이 예정되어 있어 북한의 사이버 공격과 공작 활동의 위협이 증가할 것으로 보이는 만큼 핵티비즘에 대한 대비가 요구되고 있다. 산업 분야에 대한 자동화 요구가 증가하며, 생산성 효율 향상과 효과적인 운영 및 제어를 위해 OT 시스템과 IT 기술이 결합된 스마트팩토리 및 산업자동화로 변화하고 있다. 그뿐만 아니라 우리 주변에 흔히 볼 수 있는 IoT 기기들은 우리 생활에 편리함과 실용성을 더해주고 있다. IoT/OT 시스템은 생산성과 실용성이 최우선시 되어 설계되기 때문에, 상대적으로 보안에 대한 고려가 많이 이루어지지 않고 취약점이 발견되어도 실제 패치가 적용되는 경우는 매우 드물어 공격자들에게 좋은 타깃이 된다. 기업 및 기관들은 제로 트러스트 도입, 위협 가시화 및 통제 방안 등 IoT/OT 시스템 보안 강화를 위한 보안 정책을 수립하고 대책을 모색해야 한다. 이 밖에 이스트시큐리티는 2023년 보안 이슈 회고로 ▲북한 해킹 조직, 글로벌 공격 지속 ▲제로데이, n-day 취약점을 악용한 공격 증가 ▲불안한 국제정세 속 사이버전 확산 ▲악의적인 목적의 생성형 AI 등장 ▲피싱 공격의 정교화를 꼽았다. 이스트시큐리티 ESRC 관계자는 “24년도에는 다양한 산업 분야의 공급망, OT 시스템 등을 타깃으로 한 해킹 공격이 증가할 것으로 전망된다.”면서, “기술적인 대책 뿐 아니라 관리적인 대책도 중요한 만큼, 보안 담당자들은 기업의 특성과 운영 환경을 고려한 종합적인 보안 정책을 마련하여 기업의 정보자산을 효과적으로 보호해야 한다"고 밝혔다.
