취미로 해킹? 이젠 옛말…“먹잇감 노려”

보안 업데이트 하다 감염 빈번

최근 해킹 기술이 발달하고 방법이 고도화 되면서 기업과 개인이 해킹 피해를 당하는 사례가 급격히 증가하고 있다.

지난해에는 세계 95개국에서 6만3천건 이상의 보안 침해가 보고 됐지만, 이처럼 일반적으로 알려진 것은 '빙산의 일각'이란 것이 보안 전문가들의 지적이다.

지난 달 30일 일본의 웹 미디어인 무한대(Mugendai)는 사이버 보안 국방 연구소에서 근무하는 보안 전문가의 말을 인용해 “취미나 흥미 위주의 해킹에서 목적의식을 가진 해킹이 증가했다”고 밝혔다.

보안 전문가 토시오 씨에 따르면 최근 특정인을 겨냥한 고급 표적 공격이 늘고 있다. 이것은 기밀 정보나 지적 재산권 등의 정보를 얻기 위해 대상과 가까운 인물이나 보안 대책들을 단계적으로 침입해 나가는 방식이다.

대표적인 수법으로는 메일 첨부 파일을 열도록 유도해서 단말기를 악성 코드에 감염시켜 기존의 보안 대책 바이러스 탐지를 교묘하게 피한 뒤, 뒷단에서 다른 악성 코드를 인터넷에서 다운로드 하는 방식이 있다. 이것은 특정 정보를 공격자에게 전송하도록 프로그래밍 돼 있기 때문에 중요한 비밀번호와 인터넷 뱅킹의 인증에 필요한 정보들이 빼내진다.

또한 예상치 못한 경로로 악성 바이러스에 감염되는 경우도 있다.

최근 기업에서 보안 패치 관리 업데이트 서버를 이용하는 사례가 늘고 있는데, OS 및 소프트웨어 업데이트는 구멍 난 보안을 보완하기 위해 자주 이뤄진다. 이에 사용자가 이용하는 단말기는 자동으로 업데이트 서버에 접속한다.

여기에 주목한 공격자는 사전에 업데이트 서버를 해킹한 뒤 내부에 잠복한다. 그리고 대상이 업데이트 시점에 건너올 때 가짜 업데이트 프로그램을 배포해 악성 코드를 자동으로 감염시켜버린다. 이것은 마치 물을 마시러 온 사냥감을 노리는 야수의 행동과 유사한 방식이다.

이런 공격을 방지하기 위해 다양한 대책이 있을 수 있지만, 기술적인 대책뿐만 아니라 정보 유출을 방지하기 위해 조직의 규칙을 철저히 하는 것으로 예방하자는 것이 토시오 씨의 조언이다. ‘니드 투 노우 ’(Need To Know) 원칙이라는 규칙은 “알 필요가 있는 사람에게만 정보를 전하고 알 필요가 없는 사람에게는 정보를 전달하지 않는 것”이다.

정보를 접속할 수 있는 사람을 제한하는 간단한 것이지만, 보안을 위한 대책으로 효과적일 수 있다는 것. 정보 접근을 엄격하게 관리하자는 뜻이다.

토시오 씨는 “사이버 공격의 목적은 경제적 이득, 정치적 의도, 원한에 의한 범행 테러, 스파이, 청부 해킹, 흥미 목적의 엿보기 등 다방면에 걸쳐 국가 차원의 사이버 전쟁도 한층 심화되고 있다”며 “규모 면에서도 안전 보장과 관련된 대규모 것에서부터 개인 해킹까지 모두 본격화되고 있다”고 말했다.

또 “고도의 실력을 지닌 해커들은 자금이나 자원을 지원받기 때문에 공격 대상을 주의 깊게 관찰하면서 취약점을 찾아 치밀하게 전략을 가다듬는다”며 “이들은 상대에게 들키지 않도록 타이밍을 가늠하고 주도면밀하게 공격을 하는데, 그 성공 확률 또한 점차 높아질 것”이라고 경고했다.