​

[디지털데일리 홍하나기자]  2019년 상반기, A사는 해커의 공격으로 자사 운영서버 70여 대 중 다량의 서버정보가 탈취됐다. 복호화를 조건으로 해커는 A사에 5만달러를 요구하며, 응하지 않을 경우 회사가 폐업할 때까지 공격을 감행하겠다고 협박했다. 

같은 시기, B사의 메일함에 있는 프로젝트 내용물이 해커의 공격으로 인해 제3자에게 유출됐다. 

이재광 한국인터넷진흥원(KISA) 침해사고분석 팀장은 최근 국내 사이버 침해사고 동향과 사례를 소개하며, ”기업 내부에서 어떤 행위가 일어나는지 평상시에 지켜보는 것이 중요하다”고 기업들의 사이버 위협에 대한 관심을 촉구했다.

KISA는 현재 기업에게 위협이 되고 있는 사안을 중심으로, 상반기 주요 위협 3가지를 소개했다.

1. 악성 이메일

2. 공급망 위협

3. 망분리가 그것이다.

이 팀장은 악성 이메일에 대해 “여전히 좋은 공격수단”이라며 “기업이 방어하기에는 한계가 있다”고 말했다.

해킹 메일 공격기법에는 두 가지 특징이 있다.

1. 메일 본문에 링크

2. 첨부파일을 삽입하는 방식이다. 

공격은 교묘하게 이뤄진다. 링크를 클릭할 경우 가짜 메일 로그인 창이 뜬다. 사용자가 평소 구글 메일을 자주 사용하면 구글 로그인 화면이 뜬다. 아이디와 비밀번호를 기존 메일 서비스와 다르게 입력할 경우 오류창이 뜬다. 이 점은 사용자의 신뢰성을 높여주는 해커들의 교묘한 공격 장치다. 이렇게 탈취한 계정으로 해커는 피해자 메일함에 접속해 여러 사람의 주소로 메일을 보낸다.

또 메일 본문에 삽입된 첨부파일을 클릭할 경우, 악성코드가 설치된다. 주로 기업에 사용되는 공격 방식이며, 해커는 기업의 AD를 장악해 모든 PC에 악성코드를 설치한다. AD는 액티브 디텍토리로, 보통 기업에서 사용하는 수백대의 PC를 연결하는 중앙관리서버와 비슷한 개념이다. 해커는 장악된 기업의 모든 PC를 모니터링할 수 있다.  

[공급망 공격]

주로 파트너사와 고객사가 많은 IT서비스 운영사, 솔루션 개발사 등이 먹잇감이다. 해커는 결국 이 기업에서 만든 제품을 사용하는 고객사를 노린다. 일타다(多)피인 셈이다. 이 팀장은 “해커는 개발사, 운영사 등을 해킹한 뒤 이들이 유지보수하는 고객정보, 호스팅 정보(계정)를 본다”며 “제품의 소스코드를 탈취한 뒤 취약점을 찾고, 이를 공격에 이용한다”고 설명했다.  

[망분리]
망분리도 안전지대가 아니다.  “사람들이 안전하다는 인식을 가진 망 분리의 가장 큰 문제는 관리”라며 “완벽하게 관리를 하지 못하는 것이 문제”라고 지적했다.

대표적으로 폐쇄망 작업은 외부 위협으로부터 가장 조심해야 하는 부분이다. 보통은 폐쇄망 내부 서버를 내부 관리시스템 페이지로 연결되도록 정책을 임의 변경하면서 문제가 발생한다. 이 경우 내외부 망간 접점이 생성돼 해커가 인터넷망을 통해 폐쇄망을 침투할 수 있다.

이 팀장은 “많은 기업들은 사이버 위협에 대해 최초단계와 최종단계 모니터링에만 집중한다”며 “해커는 해킹 과정에서 여러 거점을 만들어 놓는다. 기업들은 악성코드가 확인될 경우 조치 외에도 식별, 추적, 사후 모니터링 등의 과정을 반복적으로 거쳐야 한다”고 당부했다.

결론적으로 기업들은 많은 보안투자를 통하여 기술적인 보안조치를 기업들이 완벽하게 했다고 하더라도 "관리부재"로 인하여 보안사고는 계속 발생을 할 수 밖에 없을 것이다. 일부 기업들은 보안을 위해서 보안솔루션을 도입하였지만, 업무 과다 등으로

운영을 하지 않는 사례가 빈번하다.    

<홍하나 기자>hhn0626@ddaily.co.kr 

원본출처 :  http://www.ddaily.co.kr/news/article/?no=184027