경기침체보다 무서운 ‘2023 사이버 위협’들

[중소기업투데이 조민혁 기자] 2023년이 다가오면서 다양한 경제 및 경기전망 못지않게 중요한 것은 사이버 공격과 위협이다. 새해에도 랜섬웨어를 비롯해 인증 취약성 공격, 클라우드나 제로데이의 취약성 공격, 공장 자동화 과정의 IoT취약성 등을 노린 공격이 극성을 부릴 전망이다. 특히 중소기업에겐 사이버 공격이 자칫 치명적일 수 있다. 이에 많은 전문가와 보안 당국이 공통적으로 지목하는 사이버 공격의 유형과 수법에 특히 관심을 갖고 대비해야 한다는 지적이다.

각 전문가 집단마다 조금씩 표현이 다를 수 있으나, 프루프포인트 등 글로벌 보안업체나 사이버린트, 멀웨어바이츠 등 보안 기술과 관련된 매체들이 주로 지목하는 사이버 테러는 주로 멀웨어, 랜섬웨어, 피싱, 그리고 IoT나 다층보안기술을 악용하는 것들이다. 이는 특히 보안의식과 인프라가 허약한 중소기업들로선 자칫 속수무책으로 당할 수 밖에 없는 ‘강적’들이다.

멀웨어는 컴퓨터, 서버, 워크스테이션, 네트워크를 중단시킬 목적으로 네트워크나 시스템에 주입되는 악성 소프트웨어다. 이들 악성 프로그램은 기밀 정보를 추출하고 서비스를 거부하며 시스템에 대한 액세스 권한을 탈취해낸다. 기업으로서도 보안 소프트웨어나 방화벽 기술을 늘 개선하고 최신 업데이트를 유지할 필요가 있지만, 중소기업으로선 쉽지 않은 일이다.

악명높은 랜섬웨어는 새해에도 극성을 부릴 전망이다. 이는 시스템에 대한 액세스를 차단하거나 독점 정보를 게시할 수도 있다. 랜섬웨어 가해자들은 피해 기업들이 시스템 잠금을 해제하거나 정보를 반환하기 위해 현금 몸값을 지불할 것을 요구하곤 한다. 랜섬웨어 공격을 당하면 큰 댓가와 비용을 치러야 한다. 자칫 작은 기업들은 존폐의 위기로까지 몰릴 수도 있다.

피싱 공격 역시 회사 직원이 무심코 가짜 이메일을 여는 순간, 바이러스는 온 사내에 두루 퍼지기 때문에 기업으로선 큰 위협이 아닐 수 없다. 철저한 교육과 보안의식이 강조되는 이유다. IoT는 자율구동과 DX가 가속화되면서 날로 그 취약점을 드러내고 있다. 반면에 IoT 공급업체들은 클라우드 제공업체들과는 달리, 디바이스 보안을 거의 또는 전혀 구현하지 않는 경우가 많아 비판을 받고 있다. “그래서 기업체 IT부서들은 특히 프로세스에서 IoT 공급업체를 사전에 조사하고, 장치에 설치된 IoT 보안 기본값을 회사 표준에 맞게 재설정할 필요가 있다”는게 전문가들의 경고다.

내부 직원이야말로 보안의 가장 큰 ‘구멍’일 수도 있다. 고의로 네트워크를 파괴하거나 지적 재산이나 기업의 독점 정보를 가지고 달아날 수도 있지만, 평소 보안이 몸에 배지 않은 직원들은 실수로 암호를 공유하고, 디바이스를 보호하지 않은채 방치할 수 있다. 이에 관한 사내 교육이 철저히 이뤄져야 함을 다시금 환기시키는 대목이다.

‘데이터 중독’도 보안의 적이다. 실제로 IBM이 2022년 실시한 연구에 따르면 조사 대상 기업의 35%가 비즈니스에 AI를 사용하고 있으며, 42%가 AI를 탐색하고 있는 것으로 나타났다. 공격자들은 이같은 데이터 중독을 악용하여 AI 조회 결과를 왜곡하기 위해 AI 시스템에 손상된 데이터를 주입하는 수법을 즐겨쓴다. 결과적으로 거짓되거나 잘못된 AI 결과를 토대로 마케팅과 생산관리, 인사와 재무관리, 포트폴리오 등의 의사결정을 하게 됨으로써 결국은 치명적인 피해를 입게 되는 것이다. 이를 방지하기 위해선 기업 의사결정 과정에서 도출된 AI 결과를 지속적으로 모니터링하는 것이다. 만약 그 결과가 지금까지 보여주었던 것과 크게 다른 경향을 보이는 경우, 데이터의 무결성 여부를 다시 점검해야 하는 것이다.

소위 ‘신기술’로 인정되어 회사에 도입되는 시스템은 특히 주의해야 한다. 신기술은 IT부문이나 기술과 접목된 경험이 적거나, 아예 없는 경우가 많다. 또 하나의 ‘구멍’인 셈이다. 이에 신기술을 도입하거나, 구매 계약을 체결하기 전에 해당 기술을 개발한 업체 등과 긴밀한 협의를 하거나, 꼼꼼히 분석해볼 필요가 있다는 조언이다.

다층 보안 시스템도 때론 구멍이 뚫릴 수 있다. 흔히 네트워크에 방화벽을 설치하고, 보안 모니터링과 차단 소프트웨어를 설치하고, 서버를 보호하며, 직원에게 다중 요소 식별 ‘사인온’을 발급하고, 데이터 암호화를 구현하는게 보통이다. 그러나 서버가 포함된 물리적 시설을 잠그는 것을 깜빡 잊어버리거나, 스마트폰에 최신 보안 업데이트를 설치하는 것을 게을리하는 사례도 적지 않다. 그래서 “워크플로우의 모든 보안 위반 지점에 대한 체크리스트를 작성하는 등 보안을 강화해야 한다”는 지적이 나오는 것이다.

이 밖에도 한국인터넷진흥원도 26일 “러시아, 우크라이나 전쟁의 지속 및 국 간 갈등이 심화됨에 따라, 국가의 지원을 받는 해킹 조직의 공격이 빈번해 질 것으로 예상된다”면서 ▲ 국가배후 해킹 조직의 사이버 안보 위협 고조를 경고했다. 또 ▲랜섬웨어 변종이 지속적으로 유포되고, 특정 기업이나 조직을 겨냥한 지속적이고 지능적인 공격(APT), ▲ 디지털 신분증이나 전자문서의 보편화를 악용한 개인정보 탈취 공격을 우려했다.

최근의 추세에 맞게 ▲ 가상자산을 노린 사이버 공격도 극성을 부릴 전망이다. 특히 “가상 자산 투자에 참여하는 참여자와 NFT 발생을 돕는 플랫폼의 증가는 공격자들에게 더 큰 공격 기회를 만들어 주고 있다”며 주의를 당부했다. 또한 우려를 더하는 것은 ▲ 제로데이( Zero-Day)와 앤데이(N-Day) 취약점을 악용한 공격이 늘어날 것이란 점이다. 미처 보안 패치나 업데이트가 이뤄지지 않은 ‘제로데이’와 ‘엔데이’의 취약성을 노려 집중 공격에 나서는 것이다.

국내 보안업체 이스트시큐리티는 이에 “기술적으론 무엇보다 다중인증과 클라우드 보안, IoT보안을 위한 데이터 검증, 그리고 수시로 보안패치를 업그레이드하는 등 부지런함이 중요하다”면서 “특히 사내 구성원이나 직원들을 대상으로 철저한 보안의식을 심어줘야 하며, 제로데, 엔데이의 취약성을 커버할 태세를 갖추는 등 주의가 필요하다”고 강조했다.