[정순채 칼럼] 되돌아보는 2019년 정보보안 이슈

정순채의 사이버산책 / 정순채 경희사이버대 객원교수, 박인우 법률사무소 고문 / 2020-01-29 09:09:18
▲ 정순채 경희사이버대 객원교수, 박인우 법률사무소 고문
2019년에는 보안관계자들이 두려워하는 홀수 해였다. 홀수해인 2009. 7. 7. 디도스 공격은 3인간 한국과 미국을 공격했다. 2011. 3. 4. 디도스 공격도 3일간 좀비 PC 10만 여대가 국회와 행정안전부 등 20개에 해당하는 정부기관 홈페이지를 마비시켰다. 같은 해 농협전산망 해킹, 2013. 3. 20. 금융사와 방송망을 대상으로 한 사이버테러, 같은 해 6. 25. 사이버테러는 청와대와 국무조정실 등 정부기관 홈페이지를 해킹했다. 이외 2015년 대학전산망 해킹 등 사회 혼란을 야기하는 대형 사이버테러 공격이 모두 홀수 해에 발생했기 때문이다.


그러나 홀수해인 작년에는 다행히도 이와 같은 사회 혼란을 야기하는 대형 사이버테러 등 공격은 없었다. 그래도 특정한 개인들이나 회사를 목표로 한 스피어피싱(Spear Phishing)을 이용한 사이버공격은 지속적으로 발생했다. 그리고 사용자 컴퓨터를 인질로 잡는 악명 높은 갠드크랩(GandCrab)이라는 램섬웨어(Ransomware)도 공격을 계속한 것으로 보안업계는 분석했다.


이메일을 통해 ‘설 선물’을 내용으로 한 위장한 엑셀파일과 ‘직장인 연말정산’, ‘성유리 이력서’ 등의 제목으로 개인 맞춤형 스피어피싱 메일의 기승으로 랜섬웨어 피해도 큰 것으로 나타났다. 사이버 인질범인 랜섬웨어의 특성상 피해를 당했어도 기업이나 개인의 이미지 손상 등을 우려해 신고하지 않은 건수도 상당함을 예상할 수 있다. 


한국인터넷진흥원(KISA)의 사이버위협 동향보고에 의하면 2017년 545건에 그쳤던 피싱피해 범죄 신고가 2018년 1,978건으로 3배 이상 급증했으며, 작년에는 2,000건 이상으로 나타났다. 이 건수는 신고 접수된 건으로써 실제 피해건수는 2배 이상 많은 것으로 예상된다.


특히 경찰의 분석에 의하면 범죄 수법도 과거보다 현지화하고, 지능화된 것으로 나타났다. 부자연스런 번역형태가 아닌 자연스러운 한글 문체의 메일을 유포하거나 한글문서 파일에 악의적인 프로그램밍 언어를 삽입하는 등 신종수법을 구사한 공격도 발견되었다. 목표 대상인 수신자가 반드시 열어보도록 현혹하는 메일을 보내 공격한 사례도 나타났다.


비트코인 관련 암호화폐 시세가 급등하면서 채굴공격도 다시 고개를 들었다. 2019년 상반기에 다소 소강상태를 보인듯했으나, 특정 서버에 채굴 프로그램이 무단 설치된 것이 알려지면서 업계에서는 주의를 당부했다. 일부 암호화폐 급등과 함께 거래소 직원의 내부 계정 탈취 시도가 이어지는 등 거래소 해킹 발생이 우려되기도 했다.


작년에는 개인정보 관련 이슈도 많았다. 정보보호 최고책임자(CISO) 지정신고제와 개인정보 손해배상책임 보상제도가 시행되었고, 정보보호를 소홀히 한 기관에 대해 과태료 부과 등 다양한 개인정보보호를 다룬 언론보도도 많았다. 5월 2일에는 국내 유명 정보통신 인프라 기업이 해킹으로 인해 고객정보 77,00건이 유출되었다. 공격을 받은 해당 서비스 기업은 사내 직원 계정이 유출되고, 유출된 동일한 정보를 이용하여 사내 시스템에 접근된 것으로 추정했다.


9월 26일에도 국내 유명 유통업체 고객 49,000명의 개인정보가 유출되어 방송통신위원회와 한국인터넷진흥원이 사실조사에 착수했다. 12월에는 수능 성적표 온라인 발급 페이지의 허점을 이용하여 수능 성적을 공개일보다 2일 먼저 알 수 있게 되는 사건도 있었다.


금년에는 본격적인 5G가 서비스로 인한 역기능도 경계해야 한다는 우려도 높다. 빠르게 발전하는 네트워크상에서 사이버 위협에 대응하기 위해서는 보안역량을 고도화해야 한다. 사물인터넷(IoT)과 클라우드(Cloud), 5G 서비스 등 네트워크 환경이 새롭게 변하고 있다. 이에 대한 새로운 사이버보안 접근법도 요구된다. 


금년 초에 국회에서 통과된 빅데이터 3법(개인정보보호법, 신용정보의 이용 및 보호에 관한 법률, 정보통신망 이용촉진 및 정보보호 등에 관한 법률)에 대한 후속 조치도 신속히 이루어져야 한다. 그래야만 이 법 통과로 데이터 유출 등 보안사고의 위험성도 커졌다는 시각과 계속 발생되는 개인정보보호 유출에 적극적으로 대비할 수 있다. 


금년에도 다양한 유형의 사이버공격은 진화해 지속적으로 나타날 것으로 예상된다. 진화해 공격하는 사이버보안 사고는 예측이 어렵다. 자신을 숨기고, 탐지나 발견을 어렵게 하는 우회적인 기법 등으로 침투하는 사이버공격에 대한 창과 방패 싸움은 금년에도 계속될 것이다.

[ⓒ 아시아타임즈. 무단전재-재배포 금지]

정순채 경희사이버대 객원교수, 박인우 법률사무소 고문
정순채 경희사이버대 객원교수, 박인우 법률사무소 고문
이메일 다른기사보기
뉴스댓글 >