검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'해킹'통합검색 결과 입니다. (369건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

KISIA, AI보안 등 4개 협의체 신설···"보안 전문가 경력관리 체계 만들 것"

“한국정보보호산업협회(KISIA)가 올해 AI보안과 자율보안협의체를 새로 신설합니다. 정보보호 기업도 해킹을 당하거나 개인정보를 침해 당하는 등 여러 공격을 받는데요. 정보보호 기업이 서비스를 개발·배포하는 과정에서 생기는 위험을 줄여 소프트웨어 기업의 모범이 되겠습니다. 협의체가 사고 사례를 공유하고 예방·대응 지침을 만들려고 합니다.” 조영철 KISIA 회장(파이오링크 대표)은 25일 서울 양재동 엘타워에서 열린 제29차 KISIA 정기총회에서 “올해 '시큐업 투게더(Secure-up Together)' 전략으로 사회에 정보보호 인식을 퍼뜨리겠다”며 이같이 밝혔다. KISIA는 올해 자율보안과 AI보안 등 4개 협의체를 신설했다. 기존에 7개 협의회를 갖고 있는데 4개를 추가했다. 자율보안협의체는 보안 강화 수칙을 공유해 규모가 작은 정보보호 기업도 실천할 수 있게끔 이끌 참이다. 조 회장은 “개인정보 침해 사고 난 기업이 직접 '이런 일이 있었다'고 발표하기 힘들지 않느냐”며 “이런 회사가 자율보안협의체에서는 비공개적으로 얘기하면 대책을 꾸릴 수 있을 것 같다”고 말했다. 자율보안협의체 의장은 김진수 KISIA 수석부회장(트리니티소프트 대표)이 맡았다. 김 수석부회장은 “안랩을 비롯한 회원사 10개가 자율보안협의체에 가입했다”며 “한양대·아주대 교수, 야놀자 정보보호최고책임자(CISO), 한국인터넷진흥원(KISA) 본부장, 법무법인 세종 고문은 자문위원으로 활동한다”고 전했다. 조 회장은 “협회는 산업을 육성하는 역할을 한다”며 “세계 정보통신기술(ICT) 산업 중 정보보호 시장 규모가 6%인데 비해 한국이 3%라는 점을 보면 턱없이 부족하다”고 언급했다. 이에, 인재를 양성해야 한다며 “정보보호 기업 절반이 '신입직원이 부족하다', 70%는 '경력직이 부족하다'고 한다”고 강조했다. KISIA는 지금껏 발표하던 산업 통계에 올해부터 인력 통계도 상세하게 적기로 했다. 개발·컨설팅·관리 등 어떤 직무에 일손이 얼마나 필요한지를 따지겠다는 입장이다. 아울러 보안 전문가 경력 관리 체계를 만들기로 했다. 신입사원이 무슨 과정을 거치면 CISO까지 오를 수 있다는 기준을 알린다. 조 회장은 “CISO가 정보보호 투자 수요를 만들고 투자 인식을 바꾼다”며 “과학기술정보통신부와 같이 정책을 만들어 인재를 키우겠다”고 설명했다. 이어 “지방 공공기관이나 지방자치단체에서 일하는 CISO는 특히 열악한 환경에 처했다”며 “정보보호 전문가가 아닌 공무원인 터라 정보보호 업무를 배워야 한다”고 주장했다. 문성준 KISIA 감사(엔시큐어 대표)도 “정보보호 종사자 연봉이 다른 산업보다 적은 편”이라며 “근로 여건을 개선하고 권리를 신장하려 노력하고 있다”고 부연했다. 해외 성과에 대해서는 조 회장이 “올해 수출이 지난해보다 10% 늘 것 같다”고 내다봤다. 그는 “미국에서 열리는 전시회에 간 국내 정보보호 기업이 미국 뿐 아니라 아시아·중동 고객도 만나고 돌아온다”며 “일본으로 수출하는 금액이 가장 많고, 인도네시아·말레이시아·베트남에서도 실적을 내고 있다”고 말했다. 정보보호 업계는 '절대 믿지 말고 항상 검증하라'는 제로 트러스트(Zero Trust) 개념도 주목하고 있다. 한국제로트러스트위원장(KOZETA)을 맡은 배환국 KISIA 수석부회장(소프트캠프 대표)은 “국가 망 보안 체계(N2SF·National Network Security FRAMEwork)를 제로 트러스트로 이루려고 한다”고 소개했다. 배 수석부회장은 “한 기업이 데이터를 통제하고 정책을 결정하는 등 제로 트러스트에 필요한 모든 영역을 혼자 해낼 수는 없다”며 “어느 회사가 무슨 일을 잘하는지 등을 살펴 협력하겠다”고 기대했다. KISIA는 인공지능(AI)보안협의체도 만들었다. 윤두식 이로운앤컴퍼니 대표가 의장에 선임됐다. 조 회장은 “정부 예산이 줄고 원·달러 환율이 뛰어 정보보호 기업이 어려움을 겪는다”면서도 “정보보호 산업이 한국 국가전략산업과 기반을 지탱한다”고 강조했다.

2025.02.25 22:14유혜진

[보안리더] 염흥열 CPO협의회장 "개인정보 지키면서 활용하는 PET 주목"

“기업에서 개인정보가 유출되면 전체 매출액의 최대 3%를 과징금으로 내야 합니다. 다만, 전체 매출액에서 위반 행위와 관련이 없는 매출액을 제외합니다. 매우 중요한 개인정보가 빠져나갔으니 벌을 받는 셈이죠. 그만큼 기업이나 기관의 개인정보보호책임자(CPO) 어깨가 무겁습니다.” 염흥열 한국개인정보보호책임자협의회장은 최근 서울 강남에서 지디넷코리아와 만나 “개인정보보호책임자 모임이 이제 막 첫발을 떼었다”며 이같이 말했다. 개인정보보호책임자는 영어로 CPO(Chief Privacy Officer)라고 부른다. CPO는 조직에서 개인정보 보호 계획을 세우고 시행하는 책임을 진다. 개인정보 처리 실태를 조사하고, 개인정보가 새어 나가지 않도록 내부 통제 시스템을 만든다. 기업과 공공기관 등에서 개인정보 처리를 책임질 CPO를 정해야 한다. 소상공인기본법에 따른 소상공인은 사업주 또는 대표자가 CPO가 된다. 이들이 모인 한국CPO협의회는 지난해 9월 출범했다. 112개 기업과 기관의 CPO들이 개인정보 보호 정책을 나누며 활동하고 있다. 부회장사는 21개다. LG유플러스, 우아한형제들(배달의민족), 카카오, 쿠팡, 삼성서울병원, 국립암센터, SK텔레콤, 한국전력공사, 삼성전자, 기아, 비바리퍼블리카(토스), KB국민은행, 국민건강보험공단, 넷마블, 한국교통안전공단, LG전자, 현대자동차, 삼성화재, 메타코리아(페이스북), KT, 한국인터넷진흥원이다. 염 회장은 순천향대 정보보호학과 명예교수이기도 하다. 전자공학과 교수로 지내다 2001년 정보보호학과를 만들었다. 한국정보보호학회 명예회장과 더불어 국제전기통신연합 전기통신표준화부문(ITU-T) 전기통신자문반(TSAG) 부의장도 맡고 있다. 아래는 염 회장과의 일문일답. -개인정보가 유출되면 CPO는 어떤 제재를 받나? “기업에서 개인정보가 유출되면 전체 매출액의 3%까지 과징금으로 내야 한다. 전체 매출액에서 위반 행위와 관련 없는 매출액은 제외되지만, 관련 없다는 사실을 기업이 자료로 입증해야 한다. 2020년 이래 카카오 등 국내 기업과 구글·메타 등 많은 해외 기업이 한국에서 수십억~수백억원 과징금을 부과 받은 적 있다. 유럽연합(EU)에서는 기업의 국내외 전체 매출액의 최대 4%를 과징금으로 물게 한다. 한국은 이보다 약한 편이다. 그래도 기업은 몇백만원 과태료보다 부담이라는 입장이다. 그만큼 CPO 역할이 중요하다. 공공기관·비영리법인·비영리단체 등은 매출액을 산정하지 않는다. 정확하게 매길 수 없어서다. '법인세법'에 의한 소득이 없으면 위반 행위 중대성에 따라 ▲500만원 이상 5천만원 이하 ▲5천만원 이상 2억원 미만 ▲2억원 이상 7억원 미만 ▲7억원 이상 18억원 등으로 구분해 기준 금액을 산정해 과징금을 낸다. 위반 행위 중대성은 개인정보보호위원회가 판단한다. 이렇게 거둔 과징금을 인재를 가르치고 연구개발(R&D)하는 데 써서 한국 개인정보 보호 수준을 더 높이면 좋겠다.” -한국의 개인정보 보호 수준이 어떤가? “세계적인 수준이다. 미국이나 EU보다 투명하고 구체적으로 기준을 정해 지킨다. EU도 어떤 기업이 소비자로부터 개인정보를 받아 적법하게 제3자에게 줄 수 있게끔 한다. 한국에서 그러려면 누가 누구에게 주는지, 왜 주는지, 이 정보를 언제 삭제할지 등을 개인정보처리방침에 세세히 명시해야 한다. 그래서 한국 규제가 깐깐하다고 느끼는 기업도 있다.” -기업이 개인정보 지키면서도 활용할 수 있는 방안이 있나? “그게 CPO들이 요즘 가장 관심 있는 일이다. 개인정보 보호 강화 기술(PET·Privacy Enhancing Technology)로, 개인정보를 최소한 수집하면서도 산업을 활성하는 기술 3가지를 주목한다. 첫째 가명정보다. 개인정보가 모두 공개된 정보라면, 익명정보는 모두 가린 정보다. 가명정보는 이 중간이다. 다른 정보와 맞춰보면 얼추 알 수 있지만 그대로는 알기 어려운 내용으로 꾸린다. 과학·연구·통계적 목적이라면 가명정보를 쓸 수 있다. 정보가 그대로 드러나는 게 아니라 이용자로부터 동의받지 않아도 제3자에게 넘길 수 있다. 둘째 동형암호다. 내 키가 170㎝라는 정보와 다른 사람 키는 165㎝라는 정보가 있다고 예를 들자. 이를 각각 암호로 만들어 결합기관에 주면 결합기관은 이를 더하거나 빼는 연산을 할 수 있다. 다만 결합기관은 이 정보 주인이 누군지 모른다. 정보 제공자가 되돌아온 결과를 보면 된다. 셋째 연합학습이다. 인공지능 시대에 맞게 개인정보도 인공지능을 활용하는 일이 잦다. 어떤 기기가 학습한 내용을 내보내면 안 되지만, 서로 다른 기기가 학습한 정보를 합쳐 또 학습하도록 하는 연합학습은 가능하다.” -정보보호업계 화두 '국가 망 보안 체계'와 '제로 트러스트'는 어떻게 보나? “국가 망 보안 체계는 N2SF(National Network Security FRAMEwork) 약자다. 지금껏 폐쇄된 공공 정보망을 열겠다는 정책이다. 그러니 '절대 믿지 말고 항상 검증하라'는 제로 트러스트(Zero Trust) 개념이 필수다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 지금껏 내부 망 사용자는 믿어왔다. 외부 망 사용자는 비밀번호와 문자 인증 등 2가지 이상 인증하도록 했지만 내부 망 사용자는 비밀번호 하나면 됐다. 이제 내부 망 사용자도 이중 요소로 인증하도록 한다. 이에 새로운 보안 통제 도구가 필요하다. 기업에 새로운 시장이 열리는 셈이다.” -올해 협의회 계획은? “정책당국과 회원사가 깊게 논의할 수 있는 세미나 'KPPI(KCPO Prime Privacy Insight)'를 운영하겠다. 개인정보보호위원회와 CPO, 또 분야별 CPO끼리 교류하는 'KCPO 브릿지 포럼'도 열기로 했다. 고위관계자가 모여 정책 동향을 공유하는 'KCPO 프라이버시 서밋' 등도 주기적으로 할 예정이다. 오는 9월에는 서울 삼성동 코엑스에서 제47차 글로벌 프라이버시 총회(GPA·Global Privacy Assembly)가 개최된다. 이 총회는 세계 최대 규모의 개인정보 보호 관련 국제 회의로, 미국·EU·영국·일본 등 89개국 137개 기관이 참여한다. 이에 협의회가 적극적으로 나서 세계 개인정보 보호 전문가와 소통할 예정이다. 예비 CPO를 위한 교육 과정도 개발해 올해 시범 운영하려고 한다. CPO에 대한 자체 정책도 연구할 생각이다. 조직 형태, 예산과 인력 현황, 주요 고충을 들어 CPO 지정 현황 실태 조사를 하려고 한다.”

2025.02.25 09:23유혜진

포티넷, '포티애널라이저'에 AI 기능 추가

포티넷 한국지사는 24일 '포티애널라이저(FortiAnalyzer)'에 인공지능(AI) 기능을 추가했다. 포티애널라이저는 단일 플랫폼을 기반으로 온-프레미스(내부 구축형)와 클라우드 환경에서 기업이 보안운영센터(SOC)를 확장하도록 돕는다. 중소기업이 빠르게 위협을 알아채고 사고에 대응하도록 설계했다. 즉시 배포할 수 있다는 장점이 있다. 포티넷은 중앙 집중된 통합 데이터 레이크(data lake)를 소개했다. 포티넷 보안 패브릭(Fortinet Security Fabric) 전반의 통합 네트워크와 보안 로그, 보안 분석, 컴플라이언스(규정 준수) 보고를 하나의 플랫폼에서 볼 수 있다. 포티가드 침해 지표(IoC)와 아웃브레이크 탐지 구독(Outbreak Detection subscription)이 포함된다. AI 기능으로는 우선순위 높은 경보를 자동으로 식별하고 상관관계 규칙 보고서를 받을 수 있다. 이를 통해 기업은 공격 배경, 시간, 영향 받은 기술을 알아챌 수 있다고 포티넷은 강조했다. 최신 이벤트 핸들러, 플레이북과 아미스 플랫폼(Armis Platform), 마이크로소프트(MS) 오피스 365(Microsoft Office 365) 등의 서드파티 로그 파서(log parsers)를 제공해 보안 담당자가 최소한 개입해 해결할 수 있도록 지원한다고 포티넷은 설명했다. 포티어센티케이터(FortiAuthenticator), 포티샌드박스(FortiSandbox), 포티웹(FortiWeb), 포티메일(FortiMail), 바이러스토털(VirusTotal)과 기본 통합됐다. 포티넷 보안 패브릭(Fortinet Security Fabric)과도 연결돼 AI 기반 상관관계와 실행할 수 있는 방안을 알려준다. 현재 포티가드를 구독하는 포티애널라이저 고객은 새로운 기능을 자동으로 쓸 수 있다.

2025.02.24 18:28유혜진

[보안리더] 이유진 라온시큐어 부사장 "해외 사업은 이렇게 하는 것 보여줄 것"

“한국 정보보호(보안) 기술을 국제표준으로 만들고 싶어요. 그래서 라온시큐어 디지털 신분증(ID) 기술을 오픈소스로 개방했습니다. 선진국에서 영역을 넓히면 물론 커다란 기쁨이지만, 우선 개발도상국에서 소외계층에게 신분증을 만들어 주면 굉장히 뜻이 깊을 것 같습니다.” 이유진 라온시큐어 부사장은 20일 서울 여의도 사옥에서 열린 지디넷코리아와의 인터뷰에서 “각 나라마다 보안 정책이 다른데, 이런 사정에 맞춰 한국 기술을 이전하는 도전을 하고 있다”며 이같이 밝혔다. 이 부사장은 2023년 라온시큐어 해외사업본부장으로 합류했다. 한국 정보보호 기업 1세대로 꼽히는 소프트포럼(현 한글과컴퓨터 지주사), 이니텍(KT 계열사) 등을 거쳤다. 세계적인 카드 회사 비자 한국지사 부사장도 역임했다. 어린 시절을 미국에서 보낸 뒤 미국 휴렛패커드(HP)를 비롯한 대기업에서 근무한 경험이 지금의 이 부사장을 만들었다. 라온시큐어는 이런 이 부사장에게 더 큰 무대가 됐다. “라온시큐어는 중견기업이지만 빠르게 혁신하려는 태도를 갖췄다”면서 “대기업은 결재 단계가 복잡하다. '해외 사업은 이렇게 하는 것'이라는 걸 보여주려면 대기업보다 라온시큐어 같은 회사가 낫다"고 반색했다. 라온시큐어는 해외에 2개 법인과 4개 사무소를 뒀다. 미국·싱가포르 법인과 일본·인도네시아·필리핀·코스타리카 사무소다. 여기서 구독형 생체 인증(FIDO, Fast Identity Online), 디지털 ID, 정부 전자지갑 서비스 개발 사업 등을 한다. 아래는 이 부사장과 일문일답. -미국 휴렛패커드(HP) 같은 해외 기업과 라온시큐어 같은 국내 기업은 일할 때 무엇이 다른가? "세계적인 대기업에서 일할 때에는 혁신 기업으로부터 쫓기지 않으려 방어하는 데 많은 자원을 썼다. 지금은 스스로 기존 생각을 파괴할 정도로 혁신하는 '디스럽터(Disruptor)'로 활약하고자 한다. 세계적인 대기업은 이미 체계를 갖추고 시장 입지를 탄탄하게 다진 게 장점이다. 국내 기술 기업과 비교하면 빠르게 변화하려는 움직임은 소극적이다. 라온시큐어 같은 한국의 기술 기업은 역동적이고 유연하고 추진력이 강하다. 의욕 넘치는 인재는 이런 곳에서 능력을 잘 발휘할 수 있다. 나 역시 빠른 의사결정과 추진력을 갖춘 이 곳에서 더 능력을 뽐낼 수 있을 것 같다. 또 라온시큐어처럼 기술이 강한 국내 보안 기업은 정부의 적극적인 디지털 전환(DX) 지원을 바탕으로 경쟁력을 키우기 좋은 환경에 있다. 미국 경제지 포브스는 경제·기술 등을 기준으로 한국을 '2025년 가장 강력한 10개국' 6위로 꼽았다. 이를 발판 삼아 세계에서 '한국의 디지털 신분증(K-DID)' 기술을 선도하는 기업으로 도약하고자 한다." -동북아·동남아·북미·중남미 등에서 사업 중인데 지역별로 특징이 있나? "해외 사업을 할 때에는 긴밀하게 협력하는 게 중요하다. 라온시큐어는 국내외 정부 기관과 협력해 인도네시아 국가 디지털 ID 설계 컨설팅, 인도네시아 통합 디지털 ID 서비스, 코스타리카 공공 전자지갑 개발 사업 등을 수주했다. 라온시큐어는 디지털 신분증 수요가 많은 나라에서 해외 사업을 하고 있다. 동남아·남미 등에서 사는 11억~13억명이 신원을 증명할 신분증을 갖고 있지 않은 것으로 추산된다. 이렇게 되면 복지에서도 소외된다. 국제연합(UN)과 세계은행(WB) 등 국제기구는 신분증 없는 사람도 모바일 기기는 가지고 있는 점을 주목했다. 라온시큐어는 이런 문제를 해결할 블록체인 디지털 ID 기술을 보유했다. 인권 신장, 디지털 정부에 이바지할 수 있다고 기대한다. 일본에서는 구독형 생체 인증 분야서 성과를 냈다. 클라우드 수요가 급증해 라온시큐어에 유리한 환경이다. 최근 일본 주요 금융그룹과 40억원 넘는 규모의 큰 계약을 했다. 지난달 일본에서 라온시큐어의 구독형 생체 인증 월간활성사용자(MAU)가 600만명을 넘었다. 미국에는 '디지털트러스트네트웍스'라는 라온시큐어 현지 법인이 있다. 미국 대형 의료체인 C사에 디지털 ID를 제공했다. 일본에서 성공한 사례를 바탕으로 미국에서도 확장하려 한다. 시장조사업체 스태티스타에 따르면 세계 FIDO 시장 규모는 2022년 12억 달러(약 1조7천448억원)에 달했다." -해외 사업이 쉽지 않다. 각 나라마다 다른 나라 기술을 쓰려 하지 않을텐데... "맞다. 디지털 신분증 같은 대국민 사업에 한국 기술을 제공하는 일은 쉽지 않다. 국가 사업은 자국 기술 기반으로 진행하는 경향이 있다. 특정 기업이나 다른 나라 기술에 종속돼서는 안 되기 때문이다. 이런 어려움을 우리는 오픈소스로 해결한다. 라온시큐어는 국가 모바일 신분증을 구현한 블록체인 디지털 ID 기술을 '깃허브(세계적 오픈 사이트)'를 통해 오픈소스로 공개해 '옴니원 오픈 DID' 프로젝트를 운영하고 있다. 세계 개발자 생태계를 구축하고 국제 표준화를 도모한다. 오픈소스로 각국 개발자가 라온시큐어 기술을 이용하면 이는 곧 우리 디지털 ID 기술을 현지에 이전하는 의미가 된다. 라온시큐어는 블록체인 디지털 ID를 오픈소스로 풀어 세계 개발자 생태계를 확대해 DID의 국제 표준을 이끌고, 라온시큐어 기술을 중심으로 세계에 K-DID를 확산할 계획이다"

2025.02.22 10:29유혜진

바이비트, 역대 최대 규모 해킹 피해...북한 라자루스 그룹 소행 의혹

세계 최대 규모의 암호화폐 해킹 사건이 발생했다. 21일(현지시간) 두바이에 본사를 둔 암호화폐 거래소 바이비트(Bybit)는 이더리움 콜드 월렛이 해킹되어 14억 달러(한화 약 2조 1천억원) 상당의 이더리움(ETH)이 도난당했다고 발표했다. 이번 사건은 암호화폐 업계 역사상 가장 큰 규모의 해킹으로 알려졌다. 벤 저우(Ben Zhou) 바이비트의 CEO는 공식 성명을 통해 “다중 서명 콜드 월렛에서 핫 월렛으로의 정기적인 이체 과정에서 스마트 계약의 논리가 조작되어 해커가 콜드 월렛을 제어하게 되었다”라고 밝혔다. 이로 인해 401,347 ETH와 stETH 등 다양한 이더리움 기반 토큰이 미확인 주소로 전송됐다. 블록체인 분석 업체인 아캄 인텔리전스는 “이번 공격이 북한의 해킹 그룹인 라자루스 그룹에 의해 수행되었다는 증거를 발견했다”라고 전했다. 이 그룹은 이전에도 여러 차례 대규모 암호화폐 해킹 사건에 연루된 바 있다. 벤 저우 CEO는 “고객들의 모든 자산은 1:1로 안전하게 보관되어 있다“라며 “이번 손실에도 불구하고 바이비트는 충분한 지급 능력을 갖추고 있다”라고 강조했다. 또한 파트너사로부터 브릿지 론을 확보하여 운영에 차질이 없도록 조치했다고 밝혔다. 지난 2018년 설립된 바이비트는 선물 및 스팟 거래소로, 파생상품(선물 및 마진) 거래에 특화된 암호화폐 거래소다.

2025.02.22 10:08김한준

체크포인트, 해커들의 'AI 무기화' 경고…보안 위기 '고조'

[방콕(태국)=조이환 기자] "인공지능(AI)은 이제 해커들에게 단순한 보조 도구가 아니라 맞춤형 해킹 전략을 자동으로 생성하는 핵심 기술입니다. AI 기반 해킹은 환경에 따라 스스로 변형하며 탐지를 회피하기 때문에 기존 보안 체계로는 방어가 점점 더 어려워지고 있습니다. AI를 활용한 실시간 대응 체계를 구축하지 않으면 기존 방식만으로는 해킹의 위협을 막을 수 없습니다." 오데드 바누누 체크포인트 제품 취약점 연구 총괄 겸 수석 기술담당은 지난 18일부터 이틀간 태국 방콕에서 열린 '체크포인트 익스페리언스 2025 아시아태평양(CPX 2025 APAC)'에서 AI가 해킹을 자동화하는 시대가 도래했음을 경고하며 이같이 말했다. 20일 업계에 따르면 AI 기술이 빠르게 발전하면서 해커들의 공격 방식도 기존의 수작업 방식에서 더 자동화되고 정교하게 변화하는 추세다. 특히 AI가 해킹 도구로 활용되면서 악성 코드가 실시간으로 변형되고 공격 방식이 대상 시스템에 맞춰 최적화되는 수준까지 발전하고 있다. 이로 인해 기존 보안 체계로는 AI 기반 해킹을 탐지하고 대응하는 것이 점점 더 어려워지고 있다는 분석이 나온다. 이에 바누누 총괄은 AI가 단순한 해킹 보조 도구를 넘어 공격 과정 전반을 주도하는 핵심 요소가 되고 있다고 지적했다. 모델이 취약점 데이터와 해킹 기법을 학습하면서 해커들이 직접 코드를 작성하지 않아도 AI가 자동으로 최적의 공격 방법을 생성하고 실행할 수 있는 수준까지 도달했다는 설명이다. 그는 "AI는 이미 시스템을 분석해 공격 방식을 변형하고 보안 솔루션의 탐지를 회피할 역량을 갖췄다"며 "기존의 방어 기술로는 대응이 점점 더 어려워지고 있다"고 경고했다. 이러한 AI 해킹의 대표적인 사례는 페이로드 거대언어모델(Payloads LLM)이다. 이 해킹 방식은 AI가 실행 중인 공격의 환경을 실시간으로 분석하고 공격 방식과 코드를 동적으로 변형해 탐지를 피하는 자동화 공격 기법이다. 기존 악성 코드는 한 번 실행되면 동일한 형태로 유지되지만, 페이로드 LLM은 AI를 활용해 보안 시스템의 탐지를 회피하도록 스스로 코드를 변경하면서 공격을 지속할 수 있다. 일례로 해커가 웹 애플리케이션의 취약점을 이용해 첫 침입에 성공할 경우 기존 악성 코드라면 웹 서버 내부로 침투한 후 더 깊은 공격을 시도하는 과정에서 탐지될 가능성이 크다. 반대로 페이로드 LLM은 웹 서버 내부의 방화벽 설정, 보안 솔루션, 네트워크 트래픽 패턴을 실시간으로 분석하고 이를 바탕으로 악성 코드가 탐지되지 않도록 구조를 변형한다. 또 AI가 자동으로 공격 방식까지 조정할 수 있다. 처음에는 웹 서버를 통해 내부 네트워크로 이동하는 공격을 시도하지만 보안 장벽이 강하면 다른 경로를 찾아 우회할 수도 있다. 취약한 이메일 서버를 노려 내부 시스템으로 접근하는 방식으로 변경하는 식이다. 더불어 '비정형(amorphic) 페이로드' 개념도 등장했다. '비정형 페이로드'는 AI가 공격 진행 과정에서 보안 체계를 분석한 후 스스로 코드를 변형하며 탐지를 피하고 더 깊은 네트워크로 침투하는 방식이다. 기존 악성 코드는 한 번 실행되면 정해진 방식대로 동작하지만 비정형 페이로드는 공격 대상의 환경에 따라 코드 구조를 자동으로 변경해 보안 솔루션을 우회한다. 바누누 총괄은 "이같이 AI가 스스로 학습하며 변화하는 페이로드는 보안팀이 미리 설정한 패턴 기반 탐지 기술로는 감지하기 어렵다"며 "공격이 진행될수록 점점 더 정교해지는 특성을 가진다"고 설명했다. '제로데이 LLM' 역시 사이버 보안 업계가 주목해야 할 위협 중 하나다. 제로데이 LLM은 AI가 대상 시스템의 환경을 분석하고 기존에 알려지지 않은 새로운 취약점을 자동으로 찾아내는 기술이다. 보안 업체가 해당 취약점을 발견해 패치를 배포하기도 전에 공격이 실행될 가능성이 높아 방어가 더욱 어려워질 것으로 전망된다. 이러한 AI 기반 해킹이 활성화되면서 보안 업계도 전통적인 패턴 분석 방식의 보안 체계를 AI 기반으로 전환할 필요성이 커지고 있다. AI가 공격을 자동화하는 만큼 보안 시스템도 실시간 대응 가능한 AI 모델을 도입해야 한다는 지적이다. 바누누 총괄은 이같이 AI가 공격자가 활용하는 도구로 변화하면서 다크웹에서는 해커들이 사용할 수 있는 AI 기반 악성 모델이 거래되고 있다고 지적했다. 실제로 해킹 전용 AI 챗봇인 '웜GPT'와 같은 모델은 다크웹에서 쉽게 접근 가능하며 초보 해커들이 강력한 공격을 실행할 수 있도록 돕고 있는 상황이다. 더불어 AI 자체도 해킹의 대상이 될 수 있다. 바누누 총괄은 연구팀이 'GPT-4'의 취약점을 분석한 사례를 소개하며 "AI 모델이 사용자를 돕고 싶어 하는 성향과 불법적 정보를 제공하지 않으려는 제한 사이의 충돌을 악용해 정보 유출을 유도할 수 있다"고 밝혔다. 이어 그는 "AI가 해킹을 자동화하고 맞춤형 공격을 실행하는 시대가 왔다"며 "보안 업계도 AI 중심의 방어 체계를 구축하지 않으면 기존 보안 솔루션만으로는 대응이 어려워질 것"이라고 강조했다.

2025.02.20 08:56조이환

"해킹 비용 0원"…사이버 보안 전쟁, AI vs AI로 격화

[방콕(태국)=조이환 기자] 체크포인트가 고도화되는 인공지능(AI) 기반 사이버 공격에 대응하기 위한 보안 전략을 공개했다. AI가 해킹을 자동화하며 위협이 빠르게 진화하는 만큼 기업 역시 AI를 활용한 방어 체계를 구축해야 할 시점이라는 분석이다. 체크포인트는 18일부터 이틀간 태국 방콕에서 '체크포인트 익스피리언스 2025(CPX 2025)'를 개최해 AI가 보안 환경을 어떻게 변화시키고 있는지에 대해 논의했다. 도릿 도르 체크포인트 최고기술책임자(CTO)는 19일 키노트 연설을 통해 AI가 단순한 자동화 기술을 넘어 기업 운영과 보안 전략 전반에 걸쳐 중요한 역할을 하고 있다는 점을 강조했다. 도르 CTO에 따르면 AI는 사이버 보안뿐만 아니라 비즈니스와 개인 생활 전반을 변화시키고 있다. AI는 이미 기업 보안 전략, 업무 효율성, 고객 경험, 내부 의사결정 방식까지 변화시키는 핵심 기술이 됐다. 더불어 사이버 보안 측면에서는 공격과 방어 양 측면에서 새로운 패러다임을 만들고 있다. 도르 CTO는 "AI는 더 이상 선택이 아니라 필수"라며 "기업이 경쟁에서 뒤처지지 않기 위해서는 체계적으로 AI를 적극 활용해 보안 환경에 적응해야한다"고 말했다. "AI가 알아서 해킹"…기업 보안 위협 커지는 이유는 이어 로템 핀켈슈타인 체크포인트 위협 인텔리전스 및 연구책임자가 AI가 공격자의 무기로 활용되는 현실을 조명했다. 그는 AI가 사이버 범죄자들에게 강력한 도구로 자리 잡은 것은 공상과학 소설 속의 일이 아니라 현실임을 지적하며 실제 사례들을 조명했다. 핀켈슈타인 연구책임자는 '로밍 맨티스(Roaming Mantis)' 사례를 소개하며 AI가 악성코드의 정교함을 높이고 있다고 설명했다. 이 악성코드는 지난 2018년부터 활동한 모바일 캠페인으로, 주로 안드로이드 스마트폰을 타깃으로 한다. 공격자는 도메인 네임시스템(DNS) 하이재킹 기법을 이용해 사용자가 악성 안드로이드 패키지(APK) 파일을 다운로드하도록 유도한 뒤 기기를 감염시킨다. 최근에는 해킹이 AI를 활용해 악성코드를 위장시킨 후 다국어 피싱 메시지를 자동 생성하는 방식으로 진화했다. 이에 악성코드 캠페인은 특정 국가에 국한되지 않고 글로벌 위협으로 확산되고 있으며 보안 탐지를 우회하는 방식도 점점 정교해지고 있다. 핀켈슈타인 연구책임자는 AI 기반 다국어 피싱 공격 위협도 강조했다. 기존 피싱 공격과 달리 AI를 활용하면 현지 문화와 언어에 맞춘 메시지를 자동 생성할 수 있다. 일례로 공격자들은 거대언어모델을 활용해 영어, 히브리어, 한국어 등 여러 언어로 자연스럽고 정교한 피싱 이메일을 만들어 공격을 수행하고 있다. 이어 그는 '오퍼레이션 미들 플로어(Operation Middle Floor)'라는 허위 정보(disinformation) 유포 캠페인을 소개했다. 이제 공격자들은 전통적인 소셜 미디어나 딥페이크보다 이메일을 활용한 허위 정보 유포 전략을 선택하는 상황이다. 이메일 기반 허위 정보 캠페인은 탐지가 어렵고 수신자가 개인적으로 받아들이기 때문에 보다 신뢰하기 쉽기 때문이다. 핀켈슈타인 연구책임자는 "AI는 사이버 범죄자들에게 새로운 기회를 제공하고 있으며 공격 방식이 점점 더 정교해지고 있다"며 "기업과 보안 담당자들은 이를 선제적으로 탐지하고 대응할 수 있는 전략을 마련해야 한다"고 강조했다. "AI로 AI 막는다"…방어자, 발신자·내용까지 분석해 위협 감지 AI 기반 사이버 공격이 진화하는 가운데 이를 방어하기 위한 보안 기술도 빠르게 발전하고 있다. 데이비드 마이스터 체크포인트 글로벌 채널 및 관리 서비스 제공업체(MSP) 책임자는 이날 AI 기반 이메일 보안 기술을 발표하며 기존 보안 방식을 대체할 새로운 패러다임을 소개했다. 마이스터 책임자는 AI 보안의 핵심이 기존 게이트웨이 방식에서 애플리케이션 프로그램 인터페이스(API) 기반 인라인 보안 아키텍처로의 전환한 것이라고 설명했다. 기존 방식은 이메일을 외부에서 분석했지만 새로운 방식은 클라우드 환경과 직접 연결돼 실시간으로 AI가 위협을 탐지할 수 있도록 한다. 또 그는 AI가 이메일 보안에서 발신자 정보, 스타일리스트 분석, 메타데이터를 종합적으로 분석해 공격 의도를 탐지하는 방법을 소개했다. AI는 단순한 URL 링크 차단만이 아니라 이메일 본문의 감정, 긴급성, 패턴 등을 분석해 더욱 정교한 방어를 제공한다. 또 자연어 처리(NLP) 기술을 활용해 관리자가 보안 정책을 자연어로 쉽게 설정하고 특정 이메일을 손쉽게 검색할 수 있도록 한 점도 강조했다. 이를 통해 복잡한 기술적 설정 없이도 효율적으로 보안 전략을 수립할 수 있다는 설명이다. 마이스터 책임자는 "기존의 로그 및 경고 시스템과 AI 기반 보안 솔루션이 연동돼 악성 이메일을 자동 차단하고 정상 이메일을 복구하는 등의 통합 보안 체계를 구축했다"며 "AI를 활용해 보안 방어를 자동화하고 보안 운영의 효율성을 극대화할 수 있다"고 강조했다.

2025.02.19 17:04조이환

사이버아크, MS '디팬더 포 아이덴티티' 통합

이스라엘 정보보호 기업 사이버아크소프트웨어는 19일 사이버아크 '특권 접근 관리자(PAM)'와 마이크로소프트(MS) '디팬더 포 아이덴티티(Microsoft Defender for Identity)'를 통합한다고 밝혔다. 사이버아크 PAM은 여러 클라우드에서 응용 프로그램을 운영하는 자의 특별 권한을 탐색해 제어한다. MS 디팬더 포 아이덴티티는 기업이 자체적으로 관리하는 데이터센터를 클라우드로 지키는 제품이다. 사이버아크는 MS 제품과 통합해 보안운영(SecOps)팀이 보안 위협을 잘 알아낼 수 있다고 소개했다. 특별 권한을 통제하는 일이 간소화된다. 다양한 시스템의 정보를 연결해 보안운영센터(SOC)가 빠르게 공격 경로를 알아채고 복구 방법을 찾을 수 있다고 회사 측은 강조했다. 클라렌스 힌튼 사이버아크 최고전략책임자(CSO)는 “다양한 회사와 협력해 사이버 공격으로부터 고객을 지키겠다”고 말했다.

2025.02.19 11:12유혜진

AI·클라우드·공급망 등…삼성SDS, 2025년 5대 사이버 보안 위협 제시

삼성SDS가 지난해 국내외에서 발생한 사이버 보안 이슈를 분석해 2025년 주의해야 할 5대 사이버 보안 위협을 18일 발표했다. 2025년 5대 사이버 보안 위협'에는 ▲AI 악용 피싱에 대비해야… 'AI 보안 위협'▲장기 방치 자격 증명 '클라우드 보안 위협' ▲이중갈취전략으로 진화 중인 '랜섬웨어 공격' ▲오픈소스 악성코드 유입 'SW 공급망 보안 위협' ▲초연결사회의 독, OT/IoT 보안 위협이 선정됐다. 삼성SDS는 글로벌 보안 관제 센터 운영 경험을 토대로 제조·금융·물류 분야 기업 및 공공·국방 부문의 보안 전문가 400여 명을 대상으로 의견을 청취했다. 보안 위협에 대한 해결책도 함께 제안했다. 올해는 생성형 AI를 본격적으로 활용하는 기업이 늘고 있어 기업 내 보안 위협도 증가하고 있다. AI를 악용한 피싱 공격이나 악성코드 피해에 보다 정확하고 신속하게 대응하기 위해 AI 기반의 위협 탐지 및 분석, 보호 시스템 구축이 필요하다. 기업도 AI 발전 속도에 맞춰 보안 위협에 '지능형 보안 관제 시스템'으로 선제 대응하는 등의 지속적 진화가 요구된다. 팬데믹 이후 기업들은 생성형 AI, 데이터 분석 등 새로운 기반 기술과 서비스를 도입하기 위해 점점 더 클라우드 인프라를 활용하는 추세다. 하지만 잘못된 클라우드 구성 변경, 장기 방치한 '자격 증명' 노출, 기존 시스템 버전의 보안 설정 등은 보안 사고로 이어질 수 있으므로 '클라우드 환경에 맞는 보안 플랫폼'을 도입해 이를 미연에 방지해야 한다. 자격 증명은 ID와 암호, 인증서 등 자신의 신원을 확인하기 위해 제출하는 정보나 증명서를 의미한다. 랜섬웨어는 최근 데이터 암호화와 함께 정보 탈취 후 공개 협박을 병행하는 이중 갈취 전략으로 진화해 그 피해가 커지고 있다. 이로 인해 중요 데이터와 민감 정보 등을 겨냥해 서비스형 랜섬웨어(RaaS) 등을 통한 랜섬웨어 공격으로 금전적 손실과 기업 이미지 하락이 우려된다. 기업은 외부 접속 및 계정 관리 강화, 주기적 데이터 보호와 관리를 통해 랜섬웨어의 위험을 예방해야 한다. RaaS는 프로그래밍 전문지식 없이 비용만 지급하면 공격을 할 수 있도록 서비스 형태로 제공되는 랜섬웨어다. 최근 기업들은 내부자원 뿐만 아니라 오픈소스 등 외부 자원을 활용해 SW개발과 운영을 하고 있다. 그러나 이 경우에 악성코드 유입이 쉬워져 보안 위협도 함께 증가할 수 있다. SW 업데이트를 통해서도 악성코드가 유입될 수 있다. 기업은 SW 및 IT 환경 전반에 대한 감사와 S-BOM 준비, 위험 관리 체계에 대한 능동적 대응 계획을 세워야 한다. S-BOM은 SW에 어떤 요소가 포함되었고 누가 만들었는 지에 대한 정보를 포함하는 구성 요소 목록과 상호 의존도 등 세부 정보를 포함하는 명세서다. 인터넷에 연결된 생산 시설과 관련 시스템(OT), 컴퓨팅 장치와 기기, 사물 및 웨어러블 기기간 상호 연결 환경(IoT)에 대한 보안 위협도 커지고 있다. 특히 업데이트가 되지 않은 OT/IoT 장치는 해커의 손쉬운 공격 목표가 되며, 연결된 네트워크 전체를 대상으로 한 침해 사고로 확대될 수 있다. 이에 대응하기 위해 기업은 강력한 인증 절차와 정기적 보안 업데이트 등의 기본적 원칙을 준수해야 한다. 삼성SDS 장용민 보안사업담당(상무)은 “AI 기술을 활용한 보안 위협은 이미 지능적이고 교묘해지고 있으며 전사적 관점의 위기 관리 전략이 필요하다”며 “이에 대응하기 위해 기업은 ▲AI 기반 지능형 보안 솔루션 도입 ▲자체 환경에 맞는 클라우드 플랫폼 설정 ▲기업 정보 시스템 접근 강화 ▲파트너 IT 및 보안 체계 관리 ▲강력한 인증 및 정기적 보안 업데이트 등 조직 차원의 대응부터 파트너 대상의 IT 환경 및 보안 체계 관리까지 총괄 개념으로 접근해야 한다”고 강조했다.

2025.02.18 14:25남혁우

"태니엄, 스마트공장 등 한국 제조업 매력···반도체·중공업서 사용"

“한국 반도체 제조사와 중공업 회사가 태니엄 정보보호(보안) 솔루션을 쓰고 있습니다. 한국 고객 이름을 밝힐 수 없지만 한국 주요 그룹의 제조사들이 태니엄 솔루션(제품)을 이용합니다. 외국 고객으로는 유럽 제약 회사 아스트라제네카, 유럽 전력 기업 ABB, 미국 자동차 부품 업체 앱티브 등이 있습니다.” “한국은 제조 대기업이 많아 태니엄에 중요한 시장입니다. 아직 일본보다 시장 규모가 작지만 잠재력이 무한합니다.” 미국계 글로벌 보안기업 태니엄(TANIUM)의 본사 임원들이 한국을 찾아 18일 기자간담회를 가졌다. 이날 롭 젠크스(Rob Jenks) 태니엄 전략 담당 수석부사장과 아키라 카토 기술 담당 부사장은 “2023년부터 제조업이 사이버 공격 목표가 됐다”면서 "스마트팩토리는 태니엄에 매우 중요한 제조 시장"이라고 밝혔다. 젠크스 수석부사장은 미국 시장조사업체 가트너의 '2024년 사이버 보안 통계'를 인용해 "제조사 63%는 사이버 공격을 당한 적 있다. 지정학적 갈등을 비롯해 공급망이 복잡하고, 새로운 제품과 경쟁자가 나타나기 때문”이라고 짚었다. . 태니엄은 제조업 보안을 지킬 무기로 '자율 엔드포인트 관리(AEM)' 제품을 출시했다. 정보기술(IT)과 운영기술(OT)을 동시에 관리하는 플랫폼이다. 태니엄이 처음으로 이 시장을 열었다고 자부했다. 젠크스 수석부사장은 “제조업 책임자들은 '보안 도구가 너무 많아서 비효율적'이라고 한다”며 “태니엄 AEM으로 고객은 모든 IT 자산 보안 상태를 실시간으로 한 번에 확인할 수 있다”고 설명했다. 카토 부사장은 “태니엄 AEM이 해결할 문제를 선제적으로 사용자에게 알린다”며 “며칠 걸리던 작업을 인공지능(AI)으로 몇 분 안에 끝낼 수 있다”고 강조했다. 이어 “엔드포인트 수백만개를 실시간으로 측정하고 분석해 신뢰도 점수를 바탕으로 엔드포인트에 미치는 영향을 예측한다”고 덧붙였다. 태니엄은 자체 플랫폼에서 AI를 활용할 뿐만 아니라 미국 마이크로소프트(MS), 미국 클라우드 업체 서비스나우와 협력해 AI 기능을 강화하고 있다. 한편 태니엄의 핵심 솔루션 AEM은 다음과 같은 특징을 갖고 있다. 첫째, 실시간 클라우드 인텔리전스(Real-time Cloud Intelligence)다. 수백만 개 엔드포인트에서 발생하는 변화와 관련된 영향을 실시간 측정 및 분석해 신뢰도 점수를 기반으로 엔드포인트에 미치는 영향을 정확히 예측한다. 둘째, 자동화 및 오케스트레이션(Automation and Orchestration)이다. 태니엄 오토메이트(Tanium Automate)는 IT, OT 및 보안 워크플로에 대한 시스템 전체, 엔드포인트 수준의 자동화 플레이북을 노코드 및 로우코드(No-code and Low-code) 경험 없이 생성할 수 있게 해 준다. 태니엄 오토메이트는 환경의 현재 상태를 지속적으로 평가해 태니엄 실시간 데이터 힘을 활용해 플레이북 실행 신뢰도와 정확성을 획기적으로 향상시킨다. 셋째, 배포 템플릿 및 링(Deployment Templates and Rings)이다. IT 운영을 통해 엔드포인트 그룹 전체에 단계적으로 배포해 변화 자체의 중요성에 맞게 비즈니스 흐름을 조정한다. 배포 링은 변경 실행을 위한 진입 및 종료 기준을 지원해 배포를 관리하고, 반복 가능케 만들어 위험과 비용을 효과적으로 낮춘다. 태니엄은 "자체 플랫폼 내에서 AI를 활용해 다양한 자율 기능을 제공할 뿐만 아니라 MS 및 서비스나우와 함께 원활한 솔루션을 제공해 실시간 데이터와 광범위한 실행 가능성을 기반으로 플랫폼과 AI 기능을 강화하고 있다"면서 "태니엄 AEM은 실시간 데이터 및 글로벌 클라우드 관리 엔드포인트의 변화 분석을 활용해 권장 사항을 제시하고, 변경을 안전하고 안정적으로 자동화해 운영 건전성을 보장한다"고 밝혔다. 이어 "부정적인 IT 결과로 인한 비즈니스 위험을 줄이는 동시에 IT 환경의 보안을 강화한다"고 덧붙였다.

2025.02.18 12:54유혜진

"취약점 먼저 없앤다"...LGU+, '블랙박스 모의해킹' 진행

LG유플러스는 오펜시브 보안 전문업체 엔키화이트햇과 8개월 동안 '블랙박스 모의해킹'을 진행하면서 자사가 운영 중인 모든 서비스의 보안 취약점을 점검하고 있다고 18일 밝혔다. 블랙박스 모의해킹은 점검을 의뢰한 기업이 보안과 관련된 어떠한 정보도 제공하지 않고, 별도의 시나리오 없이 진행되는 것이 특징이다. 일반적인 모의해킹은 업체와 협의해 특정 조건이나 상황에 대해 점검하는 방식으로 이뤄진다. 이번 LG유플러스의 블랙박스 모의해킹은 화이트해커들이 외부 공격자의 관점에서 가능한 모든 방법을 동원해 자사 서비스에 침투를 시도하기 때문에 전체적인 보안 시스템 수준을 파악해 취약점을 보완할 수 있을 것으로 기대된다. LG유플러스는 이미 지난해 11월부터 블랙박스 모의해킹을 진행하고 있다. 올 상반기까지 약 8개월에 거쳐 화이트해커 집단의 점검을 받게 된다. 점검 대상도 특정 영역에 국한하지 않고 인터넷 망을 통해 외부에서 접근이 가능한 LG유플러스의 모든 서비스를 대상으로 한다. LG유플러스는 이러한 역대 최장·최대 모의해킹 프로젝트를 통해 자사 서비스에 잠재된 보안 빈틈을 샅샅이 찾을 방침이다. 구체적으로 LG유플러스가 예상하지 못한 방식으로 해커가 사내망에 접근해 서버를 장악하거나 개인정보, 회사 기밀 등 중요 정보를 빼낼 수 있는지 여부를 파악하는 것이 핵심이다. LG유플러스는 모의해킹 기간 동안 파악된 서비스 취약점에 대해서도 엔키화이트햇과 합동으로 점검·보완에 나설 계획이다. 이를 통해 선제적으로 보안 위협 요소를 제거하고, 실제 사이버 공격 상황을 대응하는 데 중요 역량으로 활용할 예정이다. 홍관희 LG유플러스 정보보안센터장은 “AI 활용이 늘면서 고객들의 보안에 대한 불안감도 점점 커지고 있다”며 “지속적으로 정보보안 역량을 강화해 고객이 가장 안심하고 쓸 수 있는 서비스를 제공하는 회사로 성장해 나가겠다”고 말했다.

2025.02.18 09:00최지연

"클라우드 보안 인증, 현장 평가 5회→2회로 간소화"

클라우드 보안 인증을 받으려는 기업은 현장에서 2회 평가 받고, 나머지 3회는 서면 평가를 받으면 된다. 지난해까지 5회 필요하던 현장 평가가 줄어 기업 부담도 완화될 것으로 보인다. 양승권 한국인터넷진흥원(KISA) 클라우드인증팀 선임연구원은 17일 과학기술정보통신부가 서울 서초구 AT센터에서 개최한 '2025년 클라우드 사업 통합 설명회'에서 이같이 발표했다. 양 연구원은 “클라우드 보안 인증 제도로 공공기관이 민간 클라우드를 안전하게 쓸 수 있게 서비스 안전과 신뢰성을 검증한다”며 “이용자는 보안 걱정을 덜고 공급자는 클라우드 서비스 경쟁력을 높일 수 있다”고 말했다. 인증 범위는 클라우드 서비스에 포함되거나 시스템·설비·시설 등 자산, 정보보호·개발·운영·인사 조직 등이다. 인증 유형은 ▲컴퓨팅 자원(CPU)·스토리지 등 정보 시스템 인프라를 제공하는 서비스(IaaS) ▲인프라(IaaS) 외에 각종 응용프로그램(소프트웨어)을 제공하는 서비스(SaaS) ▲클라우드 서비스를 개발하는 환경(PaaS) ▲행정·공공기관 인터넷망 컴퓨터(PC)를 대체하기 위한 가상 서비스(DaaS)로 나뉜다. 인증 등급은 상·중·하로 구분된다. SaaS 서비스는 클라우드 서비스 보안 인증을 받은 IaaS 환경에서 구축돼야 한다. 여러 기관에 개방된 형태로 소프트웨어를 제공해야 한다. 특정 기관에 맞추면 안 된다는 얘기다. DaaS 서비스는 네트워크와 보안 장비 같은 인프라 영역에 구성돼야 한다. 또 가상 자원 초기화, DaaS 필수인 소프트웨어 설치, 비인가 접속 단말 차단, 접속 구간 암호화 등 요건도 만족해야 한다. 보안 인증을 신청한 날로부터 인증서를 발급하기까지는 3~5개월 걸린다. 양 연구원은 “유효 기간은 5년”이라며 “갱신하면서 사후에도 관리해야 한다”고 설명했다. 최초 현장 평가를 받고서 1년 뒤 서면 평가를 받는다. 사후 2년차 다시 현장 평가를 받고, 3·4년차에 또 서면 평가를 받는다. 서면 평가하는 때에 전년도 인증 범위가 바뀌었거나 양수·도, 침해 사고·장애가 발생했다면 심화 평가할 수 있다. '소프트웨어가 업데이트되면 또 다른 인증을 받아야 하느냐'는 물음에 양 연구원은 “서비스 목적이 바뀌지 않으면 추가 인증 절차는 없고 사후 평가해서 변경 내용을 확인 후 통과시킨다”고 답했다. 양 연구원은 “클라우드 컴퓨팅 기업이 보안 인증을 꼭 받아야 하는 것은 아니다”라면서도 “클라우드컴퓨팅법에 따라 행정기관과 공공기관은 보안 인증을 받은 클라우드 서비스나 국가정보원 보안 인증 기준에 맞게 안전하다고 확인된 클라우드 서비스를 우선 고려할 수 있다”고 강조했다. 보안 인증을 신청하는 기업은 수수료를 1천500만원부터 3천600만원까지 내야 한다. 평가하는 데 쓰이는 인건비와 기술료 등이 포함된다. 기업이 신청한 보안 인증 유형, 자산 규모, 할인 제도 등에 따라 산정된다. 인증을 취득·갱신하거나 인증 유지 공문을 받은 소기업은 수수료를 70%, 중기업은 50%, 중견기업은 30% 지원받을 수 있다.

2025.02.17 16:59유혜진

FBI-CISA, 버퍼 오버플로 취약점 경고…"용서할 수 없는 결함"

미국 정부 기관이 버퍼오버플로(buffer overflow) 취약점을 '용서할 수 없는 결함(unforgivable flaw)'이라고 규정하며 전 세계 개발자들에게 '보안 중심(Secure-by-Design)' 원칙을 적극 도입할 것을 촉구했다. 미국 연방수사국(FBI)과 국토안보부 산하 사이버보안·인프라보안국(CISA)는 '보안 설계 경고 : 버퍼 오버플로 취약점 제거'라는 보안 지침을 16일 발표했다. 버퍼 오버플로는 애플리케이션이 처리 가능한 메모리 범위를 초과하는 양의 데이터를 입력받아 발생하는 취약점이다. 공격자는 이를 악용해 임의 코드를 실행하거나 관리자 권한을 탈취해 시스템 전반을 장악하는 등 심각한 피해를 유발할 수 있다. 이 문제는 1990년대부터 지적돼 온 고전적인 결함이지만, 현재까지도 C·C++ 등 메모리를 직접 관리하는 언어를 비롯해 다양한 환경에서 빈번하게 발생한다. FBI와 CISA는 이번 공식 발표에서 "단순히 오래된 취약점이 아니라 오늘날에도 공격의 길을 활짝 열어주는 '취약점 중의 취약점'"이라며 그 위험성을 강조했다. 두 기관은 버퍼 오버플로가 이미 수많은 시스템 및 애플리케이션에서 악용된 바 있고 핵심 인프라를 노린 사이버 공격에 활용될 경우 국가 안보 차원의 위협이 된다는 점을 강하게 경고했다. 특히 미국 정부 기관이 버퍼 오버플로를 명시적으로 용서할 수 없는 결함이라고 강하게 비판한 것은 그동안 업계 전반에 널리 알려진 문제임에도 근본적인 개선 조치가 부족했음을 질타한 것으로 풀이된다. FBI와 CISA는 "버퍼 오버플로는 조금만 주의를 기울이면 막을 수 있는 결함이지만, 많은 개발 조직이 여전히 미흡한 보안 관리로 인해 시스템 전체를 심각한 위험에 노출시키고 있다"고 비판했다. 두 기관이 제시하는 핵심 해법은 소프트웨어 개발 라이프사이클 전반에서 보안을 우선적으로 고려하는 '보안 중심 설계'다. 이는 설계 단계부터 보안 요구사항을 명확히 설정하고, 구현 과정에서는 코드 검수와 테스트가 반복적으로 이뤄져야 한다는 뜻이다. FBI와 CISA는 특히 메모리 접근이 까다로운 C·C++ 프로젝트를 계속 사용할 수밖에 없다면, 경계 검사(bounds checking)나 안전 함수(safe function) 활용을 의무화하는 등 개발 조직 차원의 규율이 필수라고 지적했다. 더불어 러스트, 고(Go) 등 메모리 안전성(memory safety)이 강화된 언어로의 전환을 검토해야 한다고도 밝혔다. 이와 함께 자동화된 정적·동적 분석 도구를 활용해 코드 내 잠재적인 오버플로 가능성을 조기에 발견·제거하는 작업이 필수라고 강조했다. 개발 단계에서 상용 보안 툴을 이용해 정적 분석(Static Analysis)을 진행하고, 테스트 환경에서 동적 분석(Dynamic Analysis)을 병행하면 문제점을 훨씬 정확하게 파악할 수 있다는 것이다. BI와 CISA는 "지속적 통합·배포(CI/CD) 파이프라인에 보안 점검 기능을 삽입해 취약점이 발견되면 빌드가 자동으로 차단되는 방식을 전면 도입해야 한다"고 주문했다. 버퍼 오버플로 취약점이 클라우드나 사물인터넷(IoT) 등 분산 환경에서 파급력을 더욱 키울 수 있다는 우려도 제기된다. 물리적으로 연결된 수많은 기기가 하나의 대형 네트워크를 형성하는 상황에서, 단 한 지점의 취약점이 전체 시스템으로 확산될 위험이 존재하기 때문이다. 이에 마이크로소프트, 아마존, 구글 등 주요 글로벌 IT기업들은 이미 기존 시스템에 러스트를 도입하거나, 자체적인 보안 프로세스를 강화하는 방향으로 전환하고 있다. FBI와 CISA는 개발사와 기업에 "상시 모니터링 체계를 구축해 프로세스 이상 여부나 메모리 사용량 패턴 등 거동을 실시간으로 관찰하고 침해사고 발생 시 신속하게 대응할 수 있어야 한다"고 강조했다.

2025.02.16 11:00남혁우

[보안리더] 조영철 KISIA 회장 "보안전문가 경력관리 필요"

"보안 전문가 경력 관리 체계를 만들겠습니다. 신입사원이 어떤 과정을 거치면 정보보호최고책임자(CISO)까지 오를 수 있다는 기준을 알리는 겁니다. 이렇게 CISO 역량을 키우고 정보보호 기업 스스로도 보안 수준을 높이면 국내 정보보호 산업이 국가전략산업으로 자리잡는데도 도움이 될 것입니다." 조영철 한국정보보호산업협회(KISIA) 회장은 최근 서울 송파구 협회에서 열린 지디넷코리아와의 인터뷰에서 "첨단 산업으로 국가경쟁력을 끌어올리려면 정보보호 분야가 뒷받침돼야 한다"며 이같이 밝혔다. 조 회장은 지난해 2월 KISIA 17대 회장으로 취임했다. 서울대 제어계측학과 학·석사에 이어 서울대 전기공학부에서 박사 학위를 받았다. 이후 2000년 파이오링크를 설립해 대표를 맡고 있다. KISIA는 정보보호산업법에 의해 1998년 설립됐다. 조 회장이 대표인 파이오링크가 회장사, 소프트캠프가 수석부회장사다. 이를 포함해 311개 국내 정보보호 기업이 회원사로 활동 중이다. 아래는 조 회장과의 일문일답. -보안 전문가 경력 관리 체계가 왜 필요한가? 보안 전문가 경력 관리 체계는 정보보호 인력이 업계를 벗어나지 않고 기업에서 CISO 역할을 다하도록 경로를 알려주는 체계다. 조직의 정보보호 수준을 강화하려면 보안 전문가 경력 주기를 관리해야 한다. 이 일을 갓 시작한 사람부터 CISO까지 단계마다 경력을 설계할 필요가 있다. 지역별 CISO가 교류하며 성장할 수도 있다. 수도권과 달리 지방에 있는 기업에서 정보보호 인력은 교육 기회가 적다. KISIA는 기술 동향과 법·제도를 안내하고 직무 상담 등을 지원하겠다. -교육 프로그램과 아울러 인력 실태를 조사해야 한다는 지적이 있다 산업 맞춤형 인력을 양성하려면 직무 중심 인력 수급 현황을 제때 파악하는 게 매우 중요하다. 이를 위해 KISIA는 지난해 '사이버 보안 인력 수급 실태 조사'를 국가 승인 통계로 개발했다. 정기적으로 인력 수급 현황을 점검하고, 이를 바탕으로 전략을 보완할 것이다. 조사 결과를 토대로 직무 교육을 하고, 인력 관리 방안을 실행하는 것은 물론이다. -정보보호 기업도 해커 공격을 받는다던데, 해법이 있나? 한국인터넷진흥원(KISA)이 발표한 사이버 위협 동향에 따르면 지난해 침해 사고는 1천887건으로 1년 전보다 48% 늘었다. 중소기업이 주로 피해입은 것으로 나타났다. 해커가 개발 서버를 공격해 악성코드를 심는 경우가 많았다. 국내 많은 보안 기업 역시 일반 중소기업과 마찬가지로 정보보호에 투자해야 하지만 여력이 없다고 미루곤 했다. '스스로 잘하고 있다'고 인식하기도 했다. 이제 반성한다. 정보보호 기업은 고객 내부 서버를 제어하는 권한을 위임받기에 매우 높은 수준의 보안이 요구된다. KISIA는 올해 정보보호자율보안협의체를 꾸리기로 했다. 김진수 트리니티소프트 대표가 협의체 의장을 맡는다. 보안 수칙을 제시하는 한편 우수 사례를 공유해 사회적 차원의 자율 보안을 확보할 것이다. -수출이 한국경제 화두다. 국내 정보보호 산업이 수출산업이 되려면? KISIA는 올해 정보보호 해외진출협의체를 새로 운영할 계획이다. 지난해 운영하던 일본진출협의체를 해외진출협의체로 확대했다. 기업별로 어떻게 해외에 진출하면 좋을지 논의하고 기업 간 협력 방안을 찾을 예정이다. 인도네시아 같은 동남아시아에서 현지 우수 인력 양성 사업(SMTP)을 하고 있는데, 이와 관련된 협의체도 운영하고 있다. 해외에서 인증받으려는 국내 정보보호 기업은 한국 정부로부터 지원받을 수 있다. 미국에서 열리는 세계 최대 정보보호 산업 전시회 'RSAC'를 비롯한 해외 전시회에 KISIA가 한국공동관을 운영하므로 여기 참여해도 좋다. 정보보호 제품은 설계할 때부터 국제 표준을 준수해 만들어지기에 해외에서 경쟁력을 기본적으로 갖췄다고 생각한다.

2025.02.15 13:37유혜진

스틸리언, 인도네시아 법인 5배로 키운 비결은···"될 때까지 부딪혀"

2015년 만들어진 정보보호 전문 기업 스틸리언은 설립 5년차(2020년)에 인도네시아에 법인을 세웠다. 이후 5년 만인 현재는 직원을 설립 당시보다 5배, 한 해 매출도 5배 늘었다. 어떻게 이런 성과를 거뒀을까. 홍혁재 스틸리언 인도네시아법인장은 13일 지디넷코리아와 서면 인터뷰에서 “과거 나에게 조언을 할 수 있다면 '조금 더 현지 문화와 시장 상황을 익히도록 노력하라'고 조언하고 싶다”고 말했다. 그러면서 “인도네시아에서 14년을 보냈기에 이 나라를 충분히 안다고 생각했다”며 “안 되면 될 때까지 직접 부딪히니 시간이 많이 걸렸다”고 돌아봤다. 박 대표도 지난주 서울 용산구 본사에서 열린 창립 10주년 기념 기자간담회에서 “인도네시아에서는 갑자기 우리 상품을 사겠다는 한편 오래 고민하는 경우가 있어 때마다 다르게 대응한다”며 “인도네시아 금융사 아디라파이낸스와 계약하기까지 1년 넘게 걸렸다”고 설명했다. 스틸리언은 인도네시아 반둥시 모바일 앱을 모의 해킹해 약점을 분석하고 해법을 제시한다. 반둥시 비대면 행정 앱에 스틸리언의 모바일 앱 보안 솔루션 '앱수트(AppSuit)'를 적용하고 있다. 인도네시아에서 가장 큰 금융사로 꼽히는 아디라파이낸스에도 앱수트를 공급한다. 스틸리언은 반둥시·아디라파이낸스와의 거래를 교훈 삼아 공신력을 갖췄다. 인도네시아 사이버암호원(BSSN)에 화이트리스트로 등록했다. 인도네시아 산업부로부터 사이버보안업 인증도 획득했다. '인도네시아 보안 규정과 요구 사항을 충족하는 정보보호 기업'이라고 인정받았다는 뜻이다. 인증을 획득하는 데에도 1년 넘게 걸렸다. 홍 법인장은 “인도네시아에서 종종 불가능한 조건을 내밀 때가 있다”며 “왜 이런 규정이 생겼는지 이해하니 기관에 이를 대체할 방법을 제안할 수 있었다”고 전했다. 이어 “경쟁사보다 믿음을 주기 위해 인증을 신경 썼다”며 “조금씩 발전해 사기업뿐만 아니라 기관·부처와의 사업도 준비 중”이라고 덧붙였다. 스틸리언은 올해 인도네시아 국가정보원·정보통신부·과학기술부·금융분석원·마약청 등을 새로운 고객으로 추진하고 있다.

2025.02.13 23:17유혜진

포티넷코리아 "올해 매출 20% 성장…OS 하나로 보호"

미국 정보보호 기업 포티넷 한국지사가 올해 매출을 지난해보다 20% 늘리겠다고 나섰다. 보안운영(SecOps)을 쉽게 지원하는 하나의 운영체제(OS)를 무기로 내세웠다. 지난해 포티넷 한국지사 매출은 1년 전보다 17% 늘었다. 체리 펑 포티넷 북아시아 대표는 11일 서울 강남구 포티넷 한국지사에서 열린 기자간담회에서 “포티넷은 '보안 패브릭'이라는 플랫폼을 중심으로 보안 제품을 통합하고 있다”며 “고객은 단일 환경에서 자동화된 보안운영으로 정보기술(IT)부터 운영기술(OT)까지 여러 환경을 보호할 수 있다”고 말했다. 그러면서 “하나의 운영 체제를 제공하는 회사는 포티넷이 유일하다”고 강조했다. 보안 패브릭은 단일 운영체제 '포티(Forti)OS'를 기반으로 모든 제품을 같은 환경에서 관리한다. 위협을 알아채고 대응하는 과정을 중간에 멈추지 않고 이어간다. 조원균 포티넷 한국지사장은 “국내 환경에 알맞은 보안 해법을 내놓겠다”고 밝혔다. 공공 부문과 별도로 기술·금융·건강·교육 등 산업별로 다른 해결책을 제안한다. 조 지사장은 “지난해 삼성중공업을 비롯한 주요 기업과 손잡았다”며 “해양·선박 OT 보안 시장에서 입지를 키웠다”고 언급했다. 한국에 데이터센터를 세울 가능성도 있다. 펑 대표는 “포티넷은 데이터센터를 중시한다”며 “새로운 데이터센터가 생길 곳으로 한국도 선택지 중 하나”라고 제시했다. 이어 “인수팀이 여러 가치와 위치를 살펴본다”며 “기존 데이터센터 건물 전체를 사들일지 몇개층만 살지 등을 검토한다”고 덧붙였다. 인공지능(AI) 역시 뺄 수 없다. 박현희 포티넷 한국지사 상무는 “유행하기 전부터 AI 도구를 써왔다”며 “생성형AI로 쉽게 분석하고 빅데이터AI로는 끊임없이 터지는 새로운 위협을 알아챈다”고 설명했다. 포티넷 한국지사는 기술 인력에 투자해 한국 기업이 사이버 위협을 미리 막도록 돕겠다는 방침이다. 올해 초 포티넷보안연구소 '포티가드랩' 한국 담당자를 선임했다. 지난해에는 인력을 15% 이상 늘렸다. 포티넷은 지난해 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP) 전문 업체 '레이스워크', 내부자 위험과 정보 보호 전문 기업 '넥스트DLP', 협업·이메일 보안 회사 '퍼셉션포인트'를 인수했다. 또 보안 운영 체제 '포티OS 7.6'을 기반으로 와이파이(Wi-Fi)7이 통합된 보안 네트워킹 솔루션과 AI 기반 '레이스워크 포티CNAPP', 차세대 데이터 손실 방지(DLP)와 내부자 위험 관리(IRM) 솔루션 '포티DLP', 새로운 클라우드 기반 플랫폼 '포티AppSec 클라우드' 등 신제품을 선보였다. '포티NDR 클라우드'와 '레이스워크 포티CNAPP' 등 7가지 제품에는 '포티AI'를 더해 보안 과정을 간소화했다.

2025.02.11 14:39유혜진

시큐아이 "PC 보안 약점 한눈에 확인해 클릭하세요"

시큐아이는 10일 블루맥스(BLUEMAX) 엔드포인트 보안 플랫폼(ESP) '내PC지키미'를 조달청 디지털서비스몰에 등록했다. 사용자는 내PC지키미로 컴퓨터 보안 취약점을 확인하고 바로 이어지는 '개선 버튼'을 눌러 조치하면 된다. 윈도우와 리눅스, 맥OS 등 운영체계에서 작동된다. 각 기업 환경에 알맞은 항목을 관리자가 설정할 수도 있다. 특정 파일과 프로그램 버전, 존재 여부 등을 점검할 수 있다. 정삼용 시큐아이 대표는 “블루맥스 ESP는 보안 점수를 기반으로 보안 상태가 취약한 PC 통신을 막고 보안소켓계층 가상사설망(SSL VPN) 사용을 제한한다”며 “외부 공격자가 기업 PC로 중요한 정보에 접근하지 못하게 한다”고 말했다.

2025.02.10 17:01유혜진

메신저·AI·배달앱서 암호화폐 빼낸다…악성코드 발견

러시아 정보보호 기업 카스퍼스키는 10일 애플 앱스토어와 구글 플레이에서 새로운 악성코드(트로이 목마) '스파크캣'을 발견했다고 밝혔다. 카스퍼스키에 따르면 스파크캣은 스마트폰 사용자에게 사진첩 접근 권한을 요청해 광학 문자 인식(OCR) 기능으로 암호화폐 지갑의 복구 문구가 포함된 스크린샷을 탈취한다. 해커는 암호화폐 지갑의 복구 문구를 악용해 돈을 빼돌릴 수 있다. 이미지에서 비밀번호 같은 민감한 정보도 뽑아낸다. 암호화폐 관련 앱은 물론이고 메신저, 인공지능(AI) 비서, 음식 배달 앱도 감염된 것으로 나타났다. 메신저 '애니GPT'와 음식 배달 앱 '컴컴' 등이 감염됐다. 이들 앱은 구글 플레이에서만 24만회 넘게 다운로드됐다. 카스퍼스키는 이들 악성 앱을 애플과 구글에 보고했다. 카스퍼스키는 앱이 감염됐다는 사실을 알았다면 즉시 지우고 악성 기능이 없는 업데이트 앱이 나올 때까지 쓰지 말아야 한다고 당부했다. 암호화폐 지갑 복구 문구처럼 민감한 정보가 포함된 스크린샷을 사진첩에 저장해도 안 된다.

2025.02.10 16:35유혜진

[보안 초짜기자 해킹 체험기] 누구나 해킹?···"아무나 못해"

"유튜브 보고 따라하면 일반인도 범죄용 인공지능(AI)으로 얼마든지 해킹할 수 있다." 미국 정보보호 기업 팔로알토네트웍스의 박상규 한국지사장은 얼마 전 한 언론 매체와의 인터뷰에서 이같이 밝혔다. 해킹은 컴퓨터 프로그래밍에 능숙한 전문가들이 할 수 있는 것 같지만, AI 기술이 발전하면서 일반인도 손쉽게 악성코드나 랜섬웨어를 만들 수 있다는 것이다. 실제 그럴까. 사실이면 정말 큰일이다. 정보보호(보안) 전문가가 아니어도 별다른 장비 없이 유튜브만 보고 해커가 된다면 세상은 해커 지옥이 되는 것 아닐까. 기자는 서울의 한 대학에서 문과를 다녔고, 보안 기술을 하나도 모른다. 여기에 최근 회사 인사 발령으로 보안을 맡았고, 그야말로 완전 보안 초보 기자다. 이런 기자도 해킹할 수 있을까? '보안'의 '보'자도 모르는 기자가 7일 한나절 동안 직접 해킹을 시도해봤다. 참고로 기자는 영어와 숫자의 조합을 아주 싫어한다. 해킹 시도에 앞서 먼저 해킹이 무엇인지부터 알아야 했다. 이 정도로 기자는 해킹에 '무개념'이다. 찾아보니, 프로그램을 제작자 의도와 다르게 바꾸는 모든 행위를 해킹이라고 한다. 해킹 자체가 범죄는 아니지만, 나쁜 의도로 보안을 뚫어 바꾸거나 정보를 탈취하면 범죄가 된다. 해킹 도구를 검색하니 '웜GPT'라는 게 있었다. '이게 맞나?' 싶어 국내 정보보호 기업 스틸리언에 기사 기획 의도를 설명하고 물어보니 스틸리언은 기자 체험용으로 '웜GPT'와 '핵스GPT(Hacx GPT)'를 알려줬다. 스틸리언은 '화이트 해커'로 유명한 박찬암 대표가 세운 회사다. 일반적으로 해커는 나쁜 이미지로 알려졌지만, 화이트 해커는 서버 취약점을 연구해 해킹을 막는 착한 해커다. 기자는 해킹이 차라리 안 되길 바라면서 핵스GPT로 보이는 홈페이지에 처음 접속했다. 속으로 '이걸 하다 내 컴퓨터가 망가지면 어쩌지'하는 걱정도 들었다. '회사 일하다 회사 컴퓨터 망가진 거니 회사가 책임지겠지'라는 생각도 했다. 혹시 몰라 '카카오톡' 같은 메신저와 회사 이메일 등 프로그램은 모두 끄고 인터넷 창만 켰다. 먼저 영어로 된 사이트가 나왔다. 홈페이지를 한국어로 자동 번역해주는 기능을 이용해 한국말로 바꿔 읽었다. '핵스GPT는 웜GPT의 강력하고 사악한 형제입니다.'라는 말이 떴다. 기사 의도에 맞게 잘 찾아온 듯했다. 참고로, 핵스GPT'는 웜GPT에서 영감을 받아 개발한 프로그램이다. 이어 '망가진 AI: 당신이 원하는 것은 무엇이든 할 수 있다!'는 문구가 따라왔다. 해킹을 부추기는 건가? 지금 내가 있는 밝은 사무실이 순간적으로 어두운 방이 된 듯한 느낌을 받았다. 이어 '핵스GPT의 오픈 소스 버전이지 실제 핵스GPT가 아닙니다'라고 쓰인 글의 옆 링크를 누르자 먹통 화면이 나왔다. '어, 안 되는 건가? 내가 못 찾은 건가?' 걱정이 되면서 반면 안도했다. 해킹 시도가 처음이다보니 드는 생각이다. 세계에서 가장 큰 검색 사이트 '구글'에 다시 웜GPT를 검색했다. 여러 페이지를 눌러보다 '웜GPT.exe'라는 파일을 찾아 손쉽게 설치했다. '와, 이번엔 진짜 되나?' 떨리는 마음으로 실행했다. 검은 화면에 빨간 글씨가 주르륵 쏟아졌다. 정말 악마 같다. 놀이공원에 있는 귀신의집에 들어가는 기분이다. 웜GPT가 나한테 물었다. '무엇을 선택하시겠습니까: 1. 웹사이트를 공격합니다. 2. Osint 사람들과 전화, 이메일... 3. 주입 SQL. 4. 암호화하고 파일을 해독합니다. 5. 악성 파일을 만듭니다. 6. 닫기. 고르세요:' '웜GPT가 내 말을 알아들으려나?' 의심하며 '1'에 이어 자판에서 '입력(Enter)'을 눌렀다. 화면에 '웹사이트 URL 입력:'이 나오면서 웜GPT가 공격할 웹사이트 주소를 쓰라고 했다. '아, 진짜 해킹이 되는 건가? 이러다 잡혀가는 건 아니겠지?' 하는 불안한 마음이 들어 해킹 취재 기사를 지시한 선배 기자에게 물었다. "선배, 제가 해킹 도구 써보고 있는데요. 제가 '웹사이트 공격하자'니까 이게 '웹사이트 주소 쓰라'고 하네요. 지디넷코리아 홈페이지 주소 쓸까요? 여기서 그만둘까요? 저는 워낙 초보라서 뭔가 진짜 되는 게 아닌지 떨립니다."고 묻자, "계속 해보라"는 답이 돌아왔다. 물 한 모금을 꿀꺽 마시고 자세를 가다듬었다. 이어 해킹할 웹사이트 주소로 'zdnet.co.kr'을 썼다. 그런데, 갑자기 웜GPT가 꺼졌다. 흰 글씨 영어로 뭐라고 몇 줄 쓰였는데 순식간에 사라져 읽지를 못했다. 얼른 지디넷코리아 홈페이지를 확인했다. 멀쩡하다. '새로고침'해도 멀쩡하다. 스마트폰으로 봐도 멀쩡하다. 괜한 걱정을 했나? 웜GPT를 다시 켰다. 또 선택하라기에 이번엔 '웹사이트를 공격합니다(Attack The Website.)'라고 썼다. '잘못 입력되었습니다. 다시 시도하십시오.'라는 글이 떴다. 이어 아래와 같은 문구가 나왔다. '무엇을 선택하시겠습니까: 1. 웹사이트를 공격합니다. 2. Osint 사람들과 전화, 이메일... 3. 주입 SQL. 4. 암호화하고 파일을 해독합니다. 5. 악성 파일을 만듭니다. 6. 닫기. 고르세요:' 속으로 '잘못된 입력은 해킹하기 쉽게 만든 너다, 이놈아'라고 코웃음치며 다시 '1'을 썼다. 또 웹사이트 주소를 쓰라기에 'zdnet.co.kr' 입력하길 되풀이했다. 영어로 흰 글씨가 또 뭐라고 몇 줄 쓰였으나 역시 순식간에 웜GPT가 꺼져 못 읽었다. 다행인지 불행인지 지디넷코리아 홈페이지는 여전히 멀쩡했다. 웜GPT를 또 다시 켰다. 다른 홈페이지 주소를 써보고 싶었지만 진짜 잘못될 수도 있다는 생각에 그러질 못했다. 그럼 이번엔 악성 파일을 만들어볼까? 설마 만들자마자 이 컴퓨터를 망가뜨리지는 않겠지. 선택지에서 악성 파일을 만든다는 '5'를 골랐다. 잘못 입력했다고 다시 하라는 응답이 나왔다. 다시 '5'를 입력했다. 또 잘못 입력했다고 한다. 이상하다, 내가 뭘 잘못한 거지? 웹사이트를 공격하려고 '1'을 썼을 땐 바로 웹사이트 주소를 물었는데, 악성 파일을 만들려고 '5'를 입력하니 자꾸 잘못했다는 응답만 나왔다. '글로 써주면 알아들을까?' 해서 '악성 파일을 만듭니다(create a malicious file)'라고 입력했다. 하지만 허사였다. 또 잘못 입력했다는 말이 떴다. 방향을 바꿨다. 다시 선택하라고 해서 이번에는 파일을 암호화하고 해독한다는 '4'를 입력했다. 소용없었다. '4'라고 여러 번 눌렀지만 컴퓨터가 못 알아듣었다. 자꾸 선택하라고만 했다. 그래서 다시 '파일을 암호화하고 해독하자(encrypt, decript files)'고 입력했다. 역시, 또 내가 잘못 입력했다며 다시 시도하라고 한다. 2번과 3번 선택지도 있었지만, 이건 내가 전혀 모르는 말이라 명령(입력)하지 못하고 포기했다. '결국 실패한 건가? 내가 사용한 게 순수한 업무용 컴퓨터라 안 되나? 운용체계(OS)를 어둠의 경로로 바꿔놓으면 되려나?' 여러 생각이 들었다. 마지막으로 '6번(닫기)'을 입력했다. '프로그램 종료(Exiting the program)'라는 말과 함께 꺼졌고, 기자는 웜GPT에 답장하지 못했다. 해킹 프로그램 설치까지는 쉬웠지만 계속 진행은 어려웠다. 기자가 한나절 체험해보니 박상규 팔로알토네트웍스 한국지사장 말과 달리 누구나 해킹할 수 있는 건 아닌 것 같다. '아무나 할 수 있지만 누구나 할 수 없다'는 말이 있는데, 해킹도 그런 것 같다. 기자의 해킹 실패가 한편으로는 다행이라고 생각한다. 혹시 기자처럼 '해킹'의 '해'자도 모르는 독자가 해킹에 성공했다면 제보해 주시라. 기자가 기사로 고발해 경각심을 일으키겠다. 참, 이미 설치한 웜GPT가 나중에라도 잘못될 지 모르니 기자는 컴퓨터에서 웜GPT.exe를 삭제하고 컴퓨터를 다시 시작했다.

2025.02.08 22:14유혜진

'세계 3대 해커'라 불렸던 그들, 지금 뭐하고 있나

10여년 전, 한국에 세계 3대 해커라 불린 이들이 있었다. 모두 1980년대생으로, 해킹방어대회를 역대 가장 어린 나이에 우승하거나 연속 우승하면서 천재급으로 주목받았다. 이들은 지금 무엇을 하고 있을까. 근황을 살펴보니 여전히 정보보호 전문가로 선한 영향력을 끼치는가 하면 누군가는 기억에서 잊힌 사람도 있었다. 정보보호 전문 기업 스틸리언 설립자인 박찬암 대표도 3대 천재 해커 중 한 명이었다. 3인 중 가장 활발히 활동하고 있다. 지난 3일에는 서울 용산 본사에서 설립 10주년 기념식도 열었다. 박 대표는 화이트 해커답게 수사기관을 도와 나쁜 해커 잡는데도 열심이다. 2017년부터 경찰청 사이버위협정보전문가 모임과 서울동부지방검찰청 사이버범죄중점수사자문위원회 위원으로 일하고 있다. 이런 공로로 2020년 존경받는 기업인 중소벤처기업부 장관 표창과 지난해 정보보호 유공 대통령 표창을 받았다. 2018년에는 미국 경제지 포브스가 '아시아의 영향력 있는 30세 이하 30인'으로 뽑기도 했다. 화이트 해커는 착한 해커다. 서버 취약점을 연구해 해킹을 막을 법을 찾는다. 나쁜 의도로 해킹해 돈을 요구하는 블랙 해커와 반대된다. 박 대표는 10년 넘게 정보보호 기업 스틸리언을 경영하고 있다. 26세 학생이던 박 대표가 2015년 창업한 스틸리언은 지난 1일 설립 10주년을 맞았다. 5명이 시작해 10년 만에 직원 100명, 연 매출 100억원을 눈앞에 둔 회사로 성장했다. 박 대표는 아직 스틸리언을 상장할 계획이 없다. 외부 투자자 눈치 보느라 신사업을 만들어 덩치를 키우기보다 내실을 다지겠다는 입장이다. 그저 어릴 적부터 컴퓨터와 외계인을 좋아해 이 길로 들어선 사람답다. 박 대표는 1989년 부산에서 태어나 인하대 컴퓨터공학과를 졸업했다. 회사 이름은 '외계인 기술을 훔친다'는 뜻으로 훔치다(Steal)와 외계인(Alien)을 합해 '스틸리언'이라 지었다. 또 다른 3대 세계적 해커는 홍민표 에스이웍스 대표다. 2000년대 해킹대회에서 우승하며 '세계 3대 해커'로 불렸다. 홍 대표 역시 컴퓨터 게임이 재미있어 보여 컴퓨터 세계에 빠졌다. 그의 첫 번째 해킹은 중학교 2학년 때로, 외산 소프트웨어(SW) 정품 고유 번호(serial number)를 풀어냈다. 이를 불법으로 인식하지 않던 시절이라 돈 없던 학생의 수확으로 여겼다. 이후 산업기능요원으로 같이 대체복무하던 친구들과 한국과학기술원(KAIST) 주최 해킹대회에서 우승했다. 홍 대표 역시 화이트 해커가 돼 2010년 행정안전부 장관 표창 등을 받았다. 고려대 대학원에서 정보보호학 박사 과정을 밟았다. 홍 대표는 에스이웍스를 차리기 앞서 2008년 쉬프트웍스를 설립해 안드로이드 스마트폰 백신을 개발하기도 했다. 2009년 7월 디도스(DDoS·분산서비스거부) 공격 사태가 터져 온 나라가 난리났을 때, 국가정보원은 북한을 의심했지만 홍 대표가 공격자 서버가 미국에 있음을 밝혀 일약 유명해졌다. 그의 실력을 보여주는 대표적인 사례는 2000년 카이스트가 주최한 세계해킹대회에서 세계에서 온 수백 명의 해커를 이기고 우승을 차지한 것이다. 당시 상금이 2만 달러(약 2400만원)였다. 이후에도 후배 해커들을 위해 만든 '와우해커 그룹(WOWHACKER GROUP)' 회원들과 함께 해커월드컵인 데프콘(DEFCON)에 7번 참여해 5번 본선에 연속 진출, 단일팀으로 최고 기록을 세웠다. 에스이웍스 전에 두 번의 보안 관련 스타트업을 창업했고, 투자금 회수에 성공했다. 주산을 잘했던 홍 대표는 초등학교 4학년 때 어머니 손에 이끌려 컴퓨터 학원에 등록했고, 이것이 인생을 결정했다고 밝힌 바 있다. 2011년 쉬프트웍스를 매각하고, 이듬해인 2012년 현재의 에스이웍스를 세웠다. 에스이웍스는 모바일 앱을 외부인이 분석하지 못하게 막는 '앱솔리드'를 내놨다. 또 보수 경영을 펼치는 스틸리언과 달리 투자도 받았다. 일본 투자 회사 소프트뱅크가 15억원, 미국 반도체 기업 퀄컴이 5억원을 각각 투자했다. 이후 홍 대표는 미국에도 법인을 세우고 에스이웍스 본사를 샌프란시스코로 옮겼다. 3대 해커 가운데 나머지 1명은 1989년생 구사무엘이 꼽힌다. 그는 고등학교 3학년이던 2007년 정보통신부 해킹대회 본선에 진출했고, 같은 해 고교생 해킹 보안 챔피언십에서 2위를 차지했다. 2008년 건국대 경영학과에 입학했고, 메이킹이라는 팀으로 제5회 KISA 해킹방어대회에 참가해 1위를 차지했다. 이렇게 유명해지자 주요 언론에 소개됐고, 여러 기업과 공공기관에서 강연하기도 했다. 이후 소식은 들리지 않는다. 구씨가 해커가 된 계기는 고등학교 때 컴퓨터 프로그래밍에 재미를 느꼈고, 고등학생 최초로 해킹대회에 출전한 일이다. 오래 전 그는 어느 인터뷰에서 "해킹은 '불가능'을 '가능'으로 만드는 기쁨 자체"라며 "이미 알려진 해킹 기법을 사용하는 것에는 흥미가 없다. 기존 기술 답습이 아닌 새로운 유형의 기술을 끊임없이 발굴하는 해커가 되고 싶다"고 밝힌 바 있다. 대학 전공은 컴퓨터가 아닌 경영을 택했는데, 컴퓨터를 넘어 보다 넓은 시야를 갖고 싶어서였다.

2025.02.05 19:32유혜진

Prev 1 2 3 4 5 6 7 8 9 10 Next