서버 해킹, 최근 4년 계속 증가···작년 1057건
중소기업 웹 취약점을 악용한 서버 해킹이 최근 4년간 계속 증가세인 것으로 나타났다. 한국인터넷진흥원(KISA, 원장 이상중)에 따르면 작년 서버 해킹 신고 건수는 1057건으로 전년(583건)보다 180% 증가했다. 2022년은 585건, 2021년은 168건으로 3년만에 6.3배 늘었다. 침해사고 신고도 최근 4년새 계속 증가했다. 작년 1887건으로 전년(1277건)보다 600건 이상 많았다. 2022년엔 1142건, 2021년 640건으로 최근 4년간 약 2.9배 증가했다. 램섬웨어는 2022년 이후 감소세로 돌아섰지만 제조 및 중소기업의 피해는 여전히 심각했다. 랜섬웨어 신고는 2022년 325건으로 피크를 찍은 후 2023년 258건으로 줄었고 작년에도 195건으로 감소했다. 김광연 KISA 종합분석팀장은 6일 서울 학여울역 근처 세텍(SETEC)에서 열린 정보보호최고책임자(CISO) 대상 설명회에서 '최근 사이버 위협 동향 및 대응 방안'을 주제로 발표, 이 같은 사실을 소개했다. 김 팀장은 침해사고 특징으로 더욱 더 은밀한 APT(Advanced Persistent Threat) 공격 전략을 꼽으며 "게이트웨이 장비, 보안인증 SW, 중앙관리솔루션 취약점을 적극 활용하고 있는 추세"라고 짚었다. 실제, 해커는 최초 침투시 기업 내부로 접속할 수 있는 게이트웨이(VPN 등) 장비 취약점을 적극 활용했다. 최근 3년 VPN 취약점 증가율은 2023년 133건으로 직전 2년 평균 91건에 비해 47% 늘었다. 국내 화학 제조기업과 SI기업, 항공사와 미 통신사가 이 수법에 당했다. 김 팀장에 따르면, 게이트웨이 장비 외에 보안인증 SW도 APT 공격의 타겟이 됐는데, KISA와 보호나라 보안 공지에는 라온시큐어, 예티소프트, 드림시큐리티, 이니텍 등의 제품이 보안 SW 취약점으로 꼽혀 업데이트를 권고를 받았다. 또 중앙관리솔루션 취약점의 경우 이스트시큐리티, 오피스키퍼, 엠엘소프트, 닥터소프트, 휴네시온 제품, 지니언스 제품이 업데이트 권고를 받았다. 김 팀장은 서버에 설치된 정상 프로그램을 악용하는 공격 기법인 LotL(Living off the Land)과 정상 프로그램 실행시 악성코드(DLL)를 함께 동작시키는 DLL 사이드 로딩(Side Loading) 공격 기법도 소개했다. 또 침해사고 특징으로 "생성AI를 활용한 해킹 공격이 본격화하고 있다"면서 "AI모델(서비스와 프롬프트) 취약점 공격 시도 보다 공격 대상 정보 수집과 피싱, 해킹도구 개발, 가짜 뉴스 생성 등에 더 중점둬 이뤄졌다"고 짚었다. 서민 경제를 위협하는 사이버 사기도 기승부리고 있다면서 알뜰폰 비대면 개통 과정의 취약점을 악용한 개인 금융 자산 해킹을 언급했다.이와 더불어 문자발송시스템을 해킹하는 스미싱 유포도 함께 거론했다. 국제해킹 조직의 위협 증가 역시 침해사고 특징으로 진단했다. 사이버 위협 대응 방안의 변화 추세도 설명했다. 대응 중심에서 억지 중심으로 변했다는 것이다. "사이버 보안의 새로운 전략 접근 방식이 '사이버 억지'"라며 "이는 공격자가 공격에 소요되는 비용을 늘리고 얻는 이익은 줄이는 것"이라면서 "선제적 방어 전략인 '디펜드 포워드(Defend Forward)'가 이의 방법"이라고 말했다. 이어 김 팀장은 "공격자를 파악하고 이해하자"면서 자체 대응과 외부 인텔리전스 네트워크를 활용한 대응 역량 강화를 주문했다. 특히 그는 무엇을 해야 하는가? 물으며 "중요한 것은 보안 정책을 일관되게 가져가는 것"이라면서 "고위 임직원들이 업무효율을 중시한 보안 대책을 선택할 경우 이에 대한 최소한의 보안 대책을 반드시 마련하고 지속 관리해야 한다"고 제언했다. 무엇을 더 해야 하는가? 물으며 "선제적 방어를 위한 '위협 헌팅(Threat Hunting)' 노력을 해야 한다"고 짚었다. '위협 헌팅'은 방어자 네트워크에서 적을 식별하기 위한 집중적이고 반복적인 접근 방식을 말한다. 이의 목적은 세 가지로 첫째, 공격자의 목적이 달성하기 전 이를 찾아내고 무력화하기 위해서고 둘째, 새로운 침해사고 지표와 공격자의 전술, 기법, 절차를 탐지, 대응에 활용하며 셋째, 중요한 자산과 가능한 공격 경로를 식별하기 위해서다. 김 팀장은 이의 실제 사례로 본인이 근무하고 있는 KISA를 소개했다.
