HACKING

낸시 펠로시 미 하원의장이 대만을 방문하면서 미•중 긴장이 고조됐다. 대만을 둘러싼 물리적 긴장감이 높아진 가운데 사이버 긴장감도 최고조에 달했다. 중국은 러시아를 능가하는 사이버 해킹 조직을 갖췄다. 러시아가 우크라이나를 침략하며 사이버전을 먼저 수행하고 미국 대선을 앞두고 첩보 활동을 벌이며 관심이 집중됐다. 러시아 해킹 조직과 견줄 수 있는 곳이 바로 중국이다. 사이버 보안 기업 크라우드스트라이트(CrowdStrike)에 따르면 2020년 중반부터 2021년 중반 사이 발생한 국가 지원 공격 중 중국이 배후로 추정되는 게 67%에 달한다. 러시아 지원 공격은 1%에 불과 하다. 주요 대만 웹사이트는 8월 3일 펠로시 하원 의장이 도착하기 직전에 사이버 공격을 받기도 했다. 대만 차이잉원 총통, 국방부, 외교부, 타이완 타오위안 국제공항 등 최소 4개 웹사이트에 분산서비스거부(DDoS) 공격이 발생했다. 대만 세븐일레븐 편의점 일부 지점 모니터에서 "전쟁광 펠로시, 대만에서 나가!"라는 문구가 표시되는 사이버 공격이 발생했다. 대만 정부는 중국을 직접 비난하지 않았지만 사이트 운영을 마비시킨 공격이 중국과 러시아 IP에서 시작됐다고 밝혔다.

사이버 공격자는 새로운 보안 취약점 CVE 공개 후 15분 이내 해킹을 시도하는 것으로 드러났다. 보안 담당자가 취약점 업데이트를 할 시간도 없이 바로 해킹 위험에 노출된다. 공개된 보안 취약점을 업데이트할 시간은 수분 이내로 매우 짧다. 팔로알토네트웍스(티커: PANW)의 위협인텔리전스팀 유닛42가 내놓은 '침해사고대응리포트'에 따르면 해커는 취약점이 공개됨과 동시에 사이버 공격을 시작한다. 해커는 기업에 침투하기 위해 새로운 취약점 발표를 지속적으로 모니터링 한다. CVE(Common Vunlerabiliteis and Exposure)는 정보 보안 취약점 표준 코드다. 보안업계는 공개적으로 취약점을 공지하고 패치를 올린다. 보안담당자들이 취약점을 빨리 인식하고 업데이트하게 할 목적으로 만들었다. CVE는 보안 담당자는 물론 해커에게도 많은 정보를 준다. 해커는 힘들여 보안 취약점을 찾을 필요 없이 CVE를 통해 패치가 없는 제로데이 정보를 얻는다. 해커는 기업이나 기관 담당자가 패치를 하기 전에 CVE를 악용해 침투를 감행한다.

미국 바이든 행정부가 사이버 보안 인재 부족을 '국가 안보 과제'로 보고 있다. 러시아는 우크라이나를 침략하며 사이버전을 먼저 시작했다. 러시아는 우크라이나를 지원하는 서방 세계에 물리적 타격이 아닌 사이버 공격을 감행했다. 미국 주요 기반 시설에 사이버 공격을 시도했다. 이미 미국은 여러번 러시아발 해킹 공격을 받았다. 2015년과 2016년 민주당 전국위원회 네트워크 침투 사고가 있었다. 미 상원정보위원회는 2019년 러시아가 당시 대통령 후보였던 도널드 트럼프를 지지하기 위해 2016년 50개 주 선거 시스템을 표적으로 삼았다고 밝혔다. 바이든 정부 취임 직전에는 미 연방 기관을 표적한 러시아발 공격이 감지됐다. 미국 네트워크 솔루션 기업 솔라윈즈 취약점을 이용한 공급망 공격이었다. 올 2월 러시아가 우크라이나를 침공한 이후, 연방 기관은 미국 기업에 대한 잠재적 사이버 공격 경고를 내렸다. 연방수사국(FBI)는 3월 러시아 해커가 5개 미국 에너지 기업의 네트워크를 스캔했다고 밝혔다. 바이든 정부는 사이버 보안을 핵심 국정과제로 삼고 이에 대한 대비책 마련에 집중하고 있다.

북한은 2014년 소니픽처스 해킹 사건 이후 세계 4대 사이버 위협국에 이름을 올렸다. 보안 전문가들은 러시아, 중국, 이란, 북한의 사이버 전술에 주목한다. 북한의 사이버 해킹 능력은 세계 최고 수준이다. 북한은 과거 주로 한국 정부나 기업을 공격했는데 2014년 이후 글로벌 곳곳에서 사이버 전사 활동이 추적됐다. 북한은 2016년 2월 방글라데시 중앙은행이 뉴욕 연방준비은행에 예치하고 있던 1억1000만 달러를 빼돌렸다. 해커들은 방글라데시 중앙은행 서버에 악성코드를 심어 스위프트(SWIFT) 시스템 접속 정보를 빼냈다. 스위프트 시스템은 전세계 은행 공동의 전산망으로 해외 송금에 주로 사용된다. 북한 해커는 방글라데스 중앙은행 명의로 접속하는데 성공한 후 뉴욕 연방준비은행에 필리핀과 스리랑카 은행으로 자금 이체를 요청하는 메시지를 보냈다. 해커는 1억100만 달러를 이체했고 이중 8100만 달러를 빼돌리는데 성공했다. 북한은 핵무기 개발을 막으려는 미국 등 서방의 경제 제재로 외화획득이 어려워지자 사이버 공격능력을 키워 돈을 버는데 집중했다. 북한의 외화 획득 작전은 여전히 진행중이다. 은행까지 직접 털었던 북한은 몇년 전부터 암호화폐 관련 기업을 집중 표적으로 삼았다. 북한은 어떻게 글로벌 암호화폐 기업에 침투할 수 있었을까?

러시아가 우크라이나를 침략한지 4개월이 넘었다. 러시아와 우크라이나의 국력 차이로 발발과 동시에 끝날 수 있다고도 전망된 이번 전쟁은 예상치 못하게 '장기전'으로 흐르고 있다. 전쟁 장기화로 인해 한쪽이 일방적으로 승리하는 '종전' 양상이 아니라 한반도처럼 '휴전'이 될 수 있다는 전망이 나올 정도다. 우크라이나가 러시아의 강력한 침공을 막아낼 수 있었던 이유로 젤렌스키 대통령의 리더십 아래 전 국민이 똘똘뭉쳐 포기하지 않는 강인함을 보여줬으며 동맹국들의 효율적 지원 등이 꼽힌다. 하지만 핵심적 이유 중 하나는 바로 우크라이나가 러시아의 '사이버전'을 방어했던 사실이 꼽히고 있다. 21세기 현대전쟁은 물리적 폭격 이외에 '사이버전'이 동시에 치러진다. 이를 두고 또 다른 '두개의 전쟁'이라고 불린다. 사이버전을 감행해서 사실상 선전포고를 하며 상대 국가의 통신 능력과 인터넷 망을 붕괴시켜 커뮤니케이션을 못하게 하는 것은 전쟁 승리를 위한 기본 전술이기 때문이다. 실제로 러시아는 우크라이나를 물리적으로 침공하기 전 사이버에서 먼저 공격을 감행했다. 지난 2022년 2월 24일 러시아 군이 탱크, 항공기, 미사일을 동원 우크라이나 국경을 넘어서기 전날인 23일, 러시아는 우크라이나 컴퓨터를 대상으로 '폭스 블레이드(Foxblade)' 라는 사이버 무기를 발사, 개전을 선언했다. 이에 앞서 러시아는 이미 개전 며칠전부터 사이버전을 통해 공격 시기를 조율했다는 것이 드러나기도 했다.러시아는 사이버 전쟁 수행 능력이 미국과 함께 세계 최고로 꼽힌다. 해킹 능력은 미국을 능가한 것으로 평가받고 있다. 우크라이나가 사이버전에서 러시아를 방어하는 것은 '불가능'에 가깝다는 의견도 있었다. 하지만 우크라이나는 러시아에 패배하지 않았다. 세계 각국 정부와 기업이 사이버 전장에서 우크라이나 방어에 도움을 줬기 때문이다. 이것이 우크라이나가 당초 예상을 깨고 러시아의 물리적 공격, 사이버 공격 두 개의 전쟁에서 패배하지 않은 이유이기도 하다. 그렇다면 그 비결과 지금까지 얻은 교훈은 무엇일까? 브래드 스미스 마이크로소프트 부회장이 우크라이나 사이버전에서 얻은 교훈을 4가지로 정리했다. 이를 책자 형태로 출간해서 경험을 적극 공유했다. 그는 현대 사이버전에서 왜 인공지능(AI)와 클라우드가 필요하고 국가간 협력이 중요한지 강조했다.

기업 보안 담당자는 직원들이 안전하게 사내 시스템에 접속하고 사이버 위협에 노출되지 않게 노력한다. 팬데믹으로 재택과 원격 근무가 늘어나면서 보안 담당자 고민은 더 커졌다. 회사에 출근해 내부 네트워크에 접속하던 직원들이 집에서 기업 중요 데이터에 접근하기 때문이다. 사이버 범죄자는 이런 틈을 노린다. 피싱, 악성코드, 자격 증명 도용, 랜섬웨어 등 다양한 위협을 시도한다. 사이버 범죄자는 가짜 웹사이트를 만들어 악성코드를 숨긴다. 해당 사이트에 방문하는 사람 PC 등 단말기에 악성코드를 감염시키고 중요 사이트 접속 정보(ID와 비밀번호) 등을 빼돌린다. 사이버 범죄자는 사회공학기법으로 표적이 관심있어할 만한 문서 등을 첨부해 클릭을 유도한다. 이 같은 사이버 공격의 최전선이 바로 웹이다. 글로벌 보안 기업은 웹을 통한 사이버 공격을 최소화할 수 있는 방법으로 '원격 브라우저 격리(RBI: Remote Browser Isolation)'에 주목한다. 코로나 바이러스에 감염된 환자를 격리해 더 이상의 확산을 막는 것처럼 악성코드에 감염 됐을 가능성이 높은 사이트를 아예 별도 웹 브라우저에서 실행한다.

기업이 비즈니스를 클라우드에서 운영하면서 관련 데이터 침해가 급증하고 있다. 해커는 데이터가 모이는 곳을 표적으로 삼는다. RSAC2022에 참여한 기업은 '클라우드를 안전하게 보호하는 기술'에 집중했다. 사이버 공격자는 퍼블릭 클라우드 서비스를 공격 인프라로 활용해 활동하고 있다. 기업 보안 담당자는 정상적인 클라우드 서비스를 쓰는 악의적인 행위를 찾아 내기 힘들다. 보안담당자는 하이브리드와 멀티 클라우드 환경의 복잡성 속에서 정상 트래픽으로 접근하는 사이버 공격자 대응에 고군분투하고 있다. 글로벌 사이버 보안 기업은 클라우드 위협을 막을 수 있는 다양한 서비스를 내놓으며 시장에 대응 중이다. 사이버 보안 제품 역시 클라우드 앱 형태로 제공된다. 보안 제품의 유통과 서비스 형태도 클라우드로 대 전환했다.

사이버 공격자는 방어자보다 항상 빠르다. 때로는 아주 창의적인 방법으로 기업과 정부 네트워크에 침입한다. SANS연구소는 글로벌 보안 교육기관으로 매년 RSAC에서 올해의 가장 위험한 공격 기법을 발표한다. SANS연구소는 8일 샌프란시스코 모스콘센터에서 열린 RSAC2022에서 최근 사이버 공격자는 클라우드, 다단계인증(MFA), 백업, 위성 등에 위협 수위를 높이고 있다고 밝혔다. 올해의 가장 위험한 5가지 공격 기술을 무엇인지 정리했다.

사이버 보안 전문가 브루스 슈나이어(Bruce Schneier) 하버드 케네디 스쿨 교수가 인공지능(AI) 해커의 위험성을 경고했다. 슈나이어 교수는 사회 시스템, 금융시장, 법률, 세금 코드 규칙을 해킹할 수 있는 방법을 연구해왔다. 그는 AI가 사회에 미칠 수 있는 의도하지 않은 잠재적인 결과를 연구했다. 슈나이어 교수는 AI가 설계자 의도와 관계 없이 사회 시스템을 남용하고 진화하는 것에 대해 관심이 높다. 그는 7일 미국 샌프란시스코 모스콘 센터에서 열린 RSAC2022 기조연설에서 "AI 해커로 가득찬 세상은 공상과학 소설이었지만 현실화되고 있다"고 말했다. 슈나이어 교수는 보안업계 대부, 그루(Guru) 등 다양한 호칭을 보유한 전문가다. 그는 시스템이 허용하지만 설계자가 예상치 못한 것을 '해킹'이라고 정의했다. 시스템의 규칙을 무너트리는 영리한 착취를 '해킹'으로 봤다.

'QR코드를 무작정 스캔하지 마라.'QR코드 스캠이 늘고 있어 주의가 요구된다. QR코드는 스마트폰 카메라로 스캔하고 읽을 수 있는 정사각형 바코드다. 특정 웹사이트에 대한 빠른 접속을 제공한다. 애플리케이션 다운로드 경로도 안내한다. QR코드는 1990년대 도요타의 자회사가 자동차와 부품을 추적하기 위해 고안했다. 기업은 팬데믹 동안 편리한 비접촉 접속을 제공하기 위해 QR코드 사용을 늘렸다. QR코드는 메뉴판에서 티켓, 브로셔, 패키지 추적, 탑승권 등을 대체한다. 지난 2월 미국 슈퍼볼 기간 나온 광고 하나가 눈길을 끌었다. 바로 암호화폐거래소 코인베이스(티커: COIN)이 주인공. 코인베이스는 슈퍼볼 광고에 QR코드만 나오는 화면을 송출했다. 스마트폰으로 QR코드를 스캔하면 바로 코인베이스 사이트로 이동하게 만들었다. 코인베이스는 이 광고로 웹사이트 트래픽이 증가해 암호화폐거래소가 마비됐다. 유명 연예인이 나오며 수십억원이 들어간 광고보다 QR코드만 떠다닌 코인베이스 광고가 훨씬 주목을 끌었다. 불행히도 코인베이스 광고에 고객만 관심을 가진게 아니다. 사이버 범죄자 눈에도 QR코드 광고는 큰 영감을 줬다. 사이버 범죄자들은 QR코드를 활용한 사기를 벌이기 시작했다. 이제 QR코드도 주의를 기울여 스캔해야 하는 시대다.

이란 원심분리기를 마비시킨 스턱스넷(STUXENT), 인더스트로이어(INDUSTROYER), 트리톤(TRITON)에 이어 산업제어시스템(ICS) 파괴를 노린 고도의 악성코드가 등장했다. 미국 에너지부(DOE), 사이버 보안 및 기반시설국(CISA), 국가안보국(NSA), 연방수사국(FBI)는 공동으로 ICS/SCADA 시스템에 대한 사이버 위협 경보를 내렸다. 미국의 사이버 안보 관계 기관은 에너지 시설 등 주요 산업제어시스템(ICS)와 감독제어 및 데이터수집(SCADA) 시스템을 표적한 공격에 주의를 요청했다. 러시아가 우크라이나를 침공하며 유가가 불안한 가운데 전력 시설 등을 노린 사이버 공격까지 기승을 부려 대응책 마련이 시급하다고 밝힌 것. 사이버 공격자는 슈나이더 일렉트릭 모디콘(MODICON)과 모니콘 나노 프로그래머블 로직 컨트롤러(PLC), 옴론(Omron) 시스맥(Sysmac) NJ와 NX PLC를 겨냥한 공격 도구를 만들었다. 개방형 커뮤티케이션 통합 아치텍쳐(OPC UA) 서버도 포함된다. 슈나이더 일렉트릭 모디콘과 PLC, OPC UA 등은 미국 전역의 주요 산업 시설에서 널리 쓰이는 시스템이다. 공장이나 발전소, 수도 시설 등을 운영할 때 주로 쓴다. 해커가 운영기술(OT) 네트워크에 접속하게 되면 위의 시스템을 사용하는 장치를 검색하고 침투할 수 있다. 해커가 ICS/SCADA 시스템에 침투하면 시설을 망가트리거나 운영을 중단 시킬 수 있다. 발전소나 공장, 수도 시스템 운영이 중단되면 사회 혼란을 피할 수 없다.

각 기업에서 해킹 및 보안 사고가 빈번하게 나타나고 있다. 그에 따른 피해도 막대하다. 기업들이 '보안' 사고가 많이 발생하는 분야 중 하나는 바로 '접근 관리(Access Control)'다. 개인 인증 방식을 도용하면 개인의 계좌나 기업의 비밀 정보에 접근하는 '열쇠'가 된다.그러나 문제는 가장 기본적이지만 대부분의 조직이 가장 어려움을 겪는 분야가 바로 접근 관리란 점이다. 일반적으로 시스템 접근 관리를 위해 가장 보편적으로 사용하는 방식은 아이디(ID)와 패스워드(Password)이다. 하지만 아이디, 패스워드 유출 등 보안 사고가 빈번해 접근 관리에 어려움을 겪자 최근에는 많은 조직이 멀티 팩터 인증(MFA: Multi Factor Authentication) 방식을 활용한다. MFA는 사용자가 시스템에 접근 시 기존 프로세스에 일회성 인증번호를 발급을 추가해 기존의 아이디, 패스워드 접근 방식의 리스크 줄이고자 한다. 하지만 MFA도 아이디, 패스워드를 사용하기 때문에 개인정보의 유출, 도용 문제 그리고 사용자 스마트폰 분실 등 타인의 부적절한 시스템 접근을 완벽하게 차단할 수 없다.또 조직의 규모가 수천, 수만 명 단위로 커지고 다양한 종류의 클라우드 소프트웨어 (SaaS)를 활용하기 시작하면서 접근 권한 관리는 더욱 복잡해지고 있고 운영상 문제도 속출한다. 예를 들어 보안 감사 또는 보안 진단 때 나오는 가장 많은 지적 사항은 바로 퇴사자 또는 계약직원의 접근 계정 삭제가 즉시 이뤄지지 않는 다는 점이다. 네트워크 접근은 차단되었더라도 특정 회사 시스템에는 여전히 부적절한 개인의 권한이 부여 돼 있는 경우도 많다. 이렇듯 사이버 공격 등 개인 정보 유출로 인한 조직의 IT리스크가 커지고 있는 상황에서 등장한 기술이 바로 계정접근관리(IAM : Identity Access Management)다. 어스아이디.ai(authID.ai)는 최근 폭발적으로 성장하는 계정접근관리(IAM: Identity Access Management) 분야의 뜨는 스타트업이다. 생체 인식 정보로 시스템 인증 및 접근 권한 관리 서비스를 제공한다.