박용규 KISA 본부장 "해커, 다크웹서 계정 구매 공격 활용"
"예스24가 랜섬웨어 공격을 두 차례 당한 이후 공격이 추가적으로 없었을 거라 생각하면 오산입니다. 3차, 4차 공격은 당한 티가 나지 않을 정도로 빠르게 복구했기 때문입니다. 이처럼 최근에는 공격을 당한 이후 빠르게 회복하는 것이 더욱 중요해지고 있습니다" 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장은 한국침해사고대응팀협의회(CONCERT)가 20일 개최한 '2026 기업 정보보호 이슈 전망' 세미나에서 이같이 밝혔다. 그는 지난해 발생한 침해사고를 타임라인별로 요약하며 최근 공격자들이 기업을 어떤 방식으로 공격하는지 동향을 면밀히 분석해 발표했다. 이어 공격자의 공격에 대응, 빠르게 회복하기 위해 '드웰타임(Dwell Time, 공격자가 침투해 머무는 시간)'을 최소화하는 노력이 중요하다고 강조했다. 박 본부장은 최근 공격자들이 노리는 기업의 취약점으로 10가지를 제시했다. 구체적으로 ▲경계망 관리 취약점 ▲단말 관리 취약점 ▲공급망 관리 취약점 ▲계정관리 취약점 ▲데이터 관리 취약점 ▲백업데이터 관리 미흡 ▲로그 관리 취약점 ▲공격 전(全) 단계에 걸친 악성코드 활용 고도화 ▲인공지능(AI) 악용 ▲포털사이트 검색을 활용한 악성코드 유포 등이다. 박 본부장은 "최근 해커 등 공격자들은 다크웹 등에서 구매한 계정을 공격에 활용한다"고 전했다. 탈취한 계정으로 끊임없는 크리덴셜스터핑 공격을 하고 있다는 것이다. 크리덴셜스터핑 공격은 탈취한 계정정보를 여러 웹사이트에 무차별적으로 대입, 내부망이나 데이터에 접근을 시도하는 유형이다. 또 보안 인증 소프트웨어 취약점도 활발히 활용하는 것으로 나타났다. 취약한 소프트웨어가 설치된 단말의 사용자가 워터링홀 사이트 접속 시 감염되는 방식이다. 그는 여전히 이런 공격이 두드러지고 있다고 밝혔다. 중앙관리솔루션이나 비교적 보안이 취약한 협력사를 타깃으로 한 공격도 성행하는 것으로 조사됐다. 박 본부장은 중앙관리솔루션의 가장 핵심 구성요소 중 하나는 업데이트인데, 업데이트 과정에서 악성코드를 삽입하거나 피싱사이트로 리디렉션(웹 브라우저가 요청한 인터넷주소를 서버가 다른 URL로 변경해 요청을 재지정하는 것) 시킨다고 강조했다. 또 임직원의 허술한 보안 인식도 약점으로 작용한다. 바탕화면 등에 주요 시스템의 접속 계정 정보를 저장해두면 해커가 침투 시 이를 적극 악용한다는 것이다. 이에 인수인계 등을 위해 계정정보가 포함된 파일을 저장해두면 피해가 더욱 커질 수 있다고 우려했다. 박 본부장은 암호화 저장관리가 미흡한 점도 공격자가 노리는 기업의 약점이라고 진단했다. 그는 비밀번호만 암호화했다고 보안에 대한 책임을 다하고 있다고 생각하면 큰 오산이며, 보안 원칙은 전체 데이터베이스(DB)를 전부 암호화하는 것이 중요하다고 강조했다. 랜섬웨어(Ransomware) 공격자들이 시스템을 마비시키거나 데이터를 탈취하면 이를 복구하기 위한 백업 데이터 관리도 미흡한 것으로 나타났다. 백업에 소홀한 기업들이 랜섬웨어 공격을 당하면 서비스 중단, 유출된 데이터 공개로 이미지 실추, 신뢰도 하락 등 기업 가치에 큰 훼손을 입히기 때문에 백업의 필요성도 중요하다고 역설했다. 랜섬웨어 공격자들이 백업 데이터도 함께 공격하는 경향을 보이는 만큼 이중·삼중으로 데이터를 백업하는 것이 필요하다. 주요 시스템의 로그 삭제로 침해사고 분석을 어렵게 하는 점도 주요 공격 포인트로 지목됐다. 파일 시간 조작, 안티포렉신 실행 이력 흔적 등 로그나 프로세스 관련 정보를 유심히 살펴야 한다. AI를 활용한 공격 자동화 역시 주목할 공격 포인트라고 짚었다. 박 본부장은 "최근 공격자들이 클로드 기반의 자율공격 프레임워크 구축, 공격 모든 단계에서 스스로 판단·수행하는 AI 활용 등 실제 공격을 수행하는 AI의 자동화 엔진을 적극 활용하고 있다"고 경고했다. 정상 사이트인 것처럼 위장해 포털 사이트에 피싱 사이트가 노출되도록 유도하고, 개발자 등 회사 내부 직원이 피싱사이트에 접근하도록 덫을 놓는 공격도 부상했다. 그는 많은 개발자들이 '깃허브(Github)' 등 오픈소스 플랫폼에서 코드, 정보 등을 다운로드해서 사용하고 있는데, 사용자가 육한으로 식별하지 못할 정도로 유사하게 웹페이지를 위장하고, 포털을 통해 피싱 사이트에 접근하면 공격을 실행하는 대목도 주의해야 한다고 강조했다. 끝으로 그는 "공격자의 목적 달성 전에 어떻게 공격 행위를 찾아서 위협을 제거할 것인지 끊임없는 고민이 필요하다"며 "드웰타임을 최소화하고 최초 침투부터 정보 유출까지 모든 구간에 걸쳐 방어 체계를 확립해야 한다"고 밝혔다. 이어 "KISA는 침해사고 조사 및 원인분석 지원, '내서버 돌보미' 원격 점검 서비스 등 서비스를 열어두고 피해 기업을 적극 지원하고 있다"며 "이 외에도 KISA 해킹진단도구, 피싱 의심 서비스를 확인할 수 있는 '보호나라' 등의 도구도 언제든지 이용이 가능하다"고 강조했다.
