개인정보보호 - ’22년 사이버 보안 위협 분석 및 ’23년 전망 발표

과학기술정보통신부(이하 '과기정통부')와 한국인터넷진흥원(이하 'KISA')은 사이버 위협 인텔리전스 네트워크와 함께 사이버 위협에 대한 선제적 예방 및 대응체계 강화를 위해 "'22년 사이버 보안 위협 분석과 '23년 사이버 보안 위협 전망"을 지난 12월 26일 발표하였다.

사이버 위협 인텔리전스 네트워크란? 사이버 보안 위협 정보공유 및 침해사고 공동 대응을 위해 'KISA'와 국내·외 보안업체가 운영하고 있는 협력 연결망이다.

• (국내) 안랩, 이스트시큐리티, 이글루코퍼레이션, NSHC, S2W
• (해외) Kaspersky, Mandiant, Microsoft, Splunk, Trend Micro

'22년 사이버 보안 위협으로는 ▲국가·사회 혼란을 야기하는 사이버 공격, ▲재택근무와 인터넷기반 자원공유(클라우드) 전환 등 정보기술환경 변화를 악용한 공격, ▲디지털 사회를 마비시키는 금품요구악성프로그램(랜섬웨어) 및 분산서비스거부(디도스) 공격이 분석되었다.

이어 '23년 사이버 보안 위협으로는 ▲국가·산업 보안을 위협하는 국제 해킹 조직의 공격 증가, ▲재난·장애 등 민감한 사회적 현안을 악용한 사이버 공격 지속, ▲지능형 지속 공격 및 다중협박으로 무장한 금품요구악성프로그램 진화, ▲디지털 시대 인터넷기반자원공유 전환에 따른 위협 증가, ▲갈수록 복잡해지는 기업의 소프트웨어 공급망과 위협 증가가 전망되었다.

'과기정통부'와 'KISA'에서 발표한 '22년 사이버 보안 위협 분석 및 '23년 전망의 내용과 대응 전략을 정리하여 소개하고자 한다.

1. '22년 사이버 보안 위협 분석

1) 국가·사회 혼란을 야기하는 사이버 공격

'22년에는 전 세계적으로 랩서스(LAPSUS$), 친러시아 성향의 해킹조직인 킬넷(Killnet) 등 국제 해킹그룹에 의한 지속적 사이버 공격으로 국제기업과 정부기관 등에 피해가 발생하였다.

＜ 주요 사고 사례 ＞

• 엔비디아, 삼성전자, LG전자, Microsoft, 옥타, 티-모바일 등 랩서스 해킹 사건(2~4월)
• 킬넷, 이탈리아 기업(5월)·일본 정부(9월)·미국 공항, 재무부(10, 11월) 등 공격

국내에서는 데이터센터 화재로 인한 카카오 장애 이후 카카오톡 갱신(업데이트) 파일로 위장한 악성코드가 발견되었으며, 이태원 사고와 관련된 공문서로 위장한 공격이 확인되었다. 또한 정부나 방송사의 공식 유튜브 채널 계정을 탈취하여 가상자산 관련 영상을 게재하거나 정부기관을 사칭한 해킹메일을 유포하는 등, 대형사고로 이어질 수 있는 공격이 발생하고 있다.

2) 재택근무, 인터넷기반자원공유 전환 등 정보기술환경 변화를 악용한 공격

코로나19 이후 비대면 원격근무로 환경이 변화하면서, 재택근무 등 보안에 취약할 수 있는 지점을 노려 기업 내부에 침투해 중요 정보가 유출되는 사고가 발생하였다.

해외에서는 원격근무가 보편화되면서 기업의 인터넷기반자원공유 활용이 늘어나고 주요 시스템이 인터넷기반자원공유로 전환되는 가운데, 인터넷기반자원공유 기반의 악성코드가 발견되고 설정 오류로 인한 공항 데이터 유출, 10억 명의 개인정보 유출 등 관련 보안사고가 점차 확대되었다.

＜ 해외 사고 사례 ＞

• 아마존 인터넷기반자원공유(클라우드)에서 가상자산 채굴 악성코드 발견(4월)
• 아마존 인터넷기반자원공유(클라우드) 설정 오류, 3TB의 공항 데이터 유출(7월)
• 알리바바 인터넷기반자원공유(클라우드) 해킹으로 약 10억 명의 개인정보 유출(7월)
• 잘못된 데이터베이스 설정으로 인한 마이크로소프트 데이터 유출(10월)

3) 디지털 사회를 마비시키는 금품요구악성프로그램, 분산서비스거부 공격

디지털 사회가 가속화되면서 정보기술을 이용한 생활 밀접 서비스가 증가하였고, 금품요구악성프로그램과 분산서비스거부 공격으로 인한 대국민 서비스 중단은 사회·경제적 불편을 넘어 일상생활의 마비로 이어지기도 하였다.

＜ 주요 사고 사례 ＞

• 콜택시 중계 서비스 제공사 금품요구악성프로그램 감염 사고(7월) — 전국 콜택시 마비
• 배달대행업체 분산서비스거부 공격(10월) — 자영업자, 배달기사 피해, 배달 마비

4) 침해사고 신고 현황으로 본 피해 분포

'22년 'KISA'에 접수된 침해사고 신고를 분석해보면 전년 대비 약 1.6배 증가하였다. 전체 신고의 약 29%가 금품요구악성프로그램 사고였으며, 피해 발생 분포로 보면 규모별로는 중소기업이 88.5%, 업종별로는 제조업이 40.3%로 가장 큰 비중을 차지한 것으로 나타났다.

［ 규모별 금품요구악성프로그램 신고비율 ］ ('22.11월 기준)

구분	비율
중소기업	88.5%
비영리	9.2%
대기업	2.3%

［ 업종별 금품요구악성프로그램 신고비율 ］ ('22.11월 기준)

업종	비율
제조업	40.3%
기타	25.4%
정보통신업	14.2%
도매 및 소매업	12.5%
협회 및 단체	7.6%

특히 금품요구악성프로그램 피해 중소기업을 보면, 백업률은 정부의 데이터 금고 지원 사업 등의 효과로 35.6%('21년)에서 41.8%('22년)로 증가한 것으로 나타났다. 그러나 여전히 백업이 없는 중소기업에 대한 지원 확대와 기업의 보안투자를 통해 데이터 복구 신뢰성을 확보할 필요가 있을 것으로 보인다.

［ 금품요구악성프로그램 피해 중소기업 백업 보유 비율 ］

연도	백업 보유 비율
'21년	35.6%
'22년(~11월)	41.8%

분산서비스거부 공격도 지속적으로 증가하고 있으며, 공격에 악용된 기기 대부분이 사물인터넷(IoT) 악성코드에 감염된 영상저장장치, 셋톱박스 등으로 확인되었다. 감염된 다수의 사물인터넷기기로 이루어진 봇넷을 통해 대량의 분산서비스거부 공격을 발생시키는 것으로 보인다.

［ 디도스 공격 대응 건수(개) ］

분기	대응 건수	전분기 대비
'21년 4분기	9	—
'22년 1분기	18	2배 증가
'22년 2분기	30	1.7배 증가
'22년 3분기	48	1.6배 증가

2. '23년 사이버 보안 위협 전망

1) 국가·산업 보안을 위협하는 국제 해킹 조직의 공격 증가

• 국가 지원형 공격 대응을 위한 준비 태세 강화 필요
• 비국가적, 비조직화된 해킹 집단에 의한 공격도 증가
• 수익 극대화에 적합한 대상 선택형 공격 및 가상자산 목표형 공격 증가

우크라이나 사태 장기화에 따라 '23년에도 국제 해킹 조직의 활동은 증가할 것이며, 주요 기반시설과 국제 기업을 대상으로 한 대규모 사이버공격 시도가 지속될 것으로 전망된다. 누리소통망(SNS)을 통해 공격행위를 공개하는 등 사이버 범죄 조직의 대담한 활동이 예측되면서, 랩서스와 같은 비국가적·비조직적 공격자에 의한 침해사고도 우려된다.

공격자는 공격 대상의 규모, 대외 신뢰도, 피해 파급력, 데이터 민감도 등을 조사하여 피해 기관·기업이 그 사실을 대외에 공개하기 어렵거나 신속한 복구가 필요한 곳을 목표로 선정하여 공격할 가능성이 높다. 아울러 직접적 수익 창출을 위해 가상거래소, 전자지갑, 탈중앙화 금융(DeFi, Decentralized Finance, 디파이) 등을 겨냥한 가상자산 목표형 공격도 활발해질 것으로 예상된다.

2) 재난, 장애 등 민감한 사회적 현안을 악용한 사이버 공격 지속

• 사회적 현안을 악용한 전자금융사기, 문자결제사기, 해킹메일 유포 및 지능형 지속 공격(APT) 등 예상
• 정교한 가짜뉴스 등 신뢰도 및 사회에 영향을 미치는 공격 주의
• 전자우편 및 누리소통망(SNS) 등 개인화된 채널을 활용한 공격 증가

전자금융사기, 문자결제사기, 해킹메일 유포 등 지능형 지속 공격(APT, Advanced Persistent Threat)이 나타날 것으로 예상된다. 사회공학적 기법을 통해 악성코드가 지속적으로 유포될 것이며, 전자우편뿐만 아니라 누리소통망 등 개인화된 채널을 활용한 공격도 증가될 것이다.

3) 지능형 지속 공격 및 다중협박으로 무장한 금품요구악성프로그램 진화

• 단순범죄에서 지능형 지속 공격(APT) 형태로 진화
• 내부망에 백업용 저장장치 검색·훼손 주의
• 암호화 파일 복구, 유출 데이터 공개, 분산서비스거부 공격, 고객 직접 협박 등 다중협박 형태로 진화

금품요구악성프로그램 공격은 지능형 지속 공격(APT, Advanced Persistent Threat) 형태로 계속 진화하고 있다. 공격자는 백업용 저장장치를 찾아 훼손하여 데이터 복구를 어렵게 하고, 피해 시스템의 이벤트 로그나 메모리 증적을 없애 추적을 회피하고 있다.

또한 수익 극대화를 위해 암호화 파일 복구와 유출 데이터 공개, 분산서비스거부 공격과 함께 기업 고객을 협박하는 등 다중협박(Multi Extortion) 형태로 진화하고 있다. 피해 기업이 데이터 복구보다 금품요구악성프로그램 피해가 공개되어 브랜드 이미지가 손상되는 것을 더욱 우려한다는 점을 노려, 금전을 요구하면서 협박 수단으로 피해 기업의 시스템에서 갈취한 민감 정보를 일부 공개하는 사례가 지속될 것이다.

4) 디지털 시대 인터넷기반자원공유 전환에 따른 위협 증가

• 인터넷기반자원공유로 전환 시 보안 설계 및 전략 미흡으로 인한 위협 증가
• 계정관리의 과잉권한 부여 및 잘못된 설정 등으로 데이터 유출 사고 증가
• '하이브리드 인터넷기반자원공유', '멀티 인터넷기반자원공유' 등 운영 형태에 맞는 보안대책 수립 필요

물리적 위치에 제한이 없고 업무 확장이 용이한 클라우드의 장점 때문에 기업들이 온프레미스 환경에서 인터넷기반자원공유 환경으로 전환하는 추세이다. 여기서 온프레미스란 기업이 자체 시설에서 보유하고 직접 유지 관리하는 내부 데이터 센터를 말한다.

인터넷기반자원공유 전환 과정에서는 새로운 보안 취약점이 드러나고, 향후 클라우드 전환 증가에 따른 보안 구조와 보안전략 미흡으로 위협이 증가할 것이다. 특히 계정관리 실수 및 과잉 권한으로 위협이 증가하고 데이터 유출로 이어질 가능성이 있다. 따라서 접근 통제를 위한 인증과 접근 절차 도입 등 '보안을 고려한 인터넷기반자원공유 관리 전략'을 수립하고, '하이브리드 인터넷기반자원공유', '멀티 인터넷기반자원공유' 등 각 기업의 업무 특성을 반영한 보안대책을 수립하여야 한다.

5) 갈수록 복잡해지는 기업의 소프트웨어 공급망과 위협 증가

• 소프트웨어(SW) 개발 공유 사이트를 통한 공급망 공격 증가
• 개방형소스 등 써드파티 코드에 의한 취약점 노출 및 악성코드 감염 우려
• 최신화 서버 및 소스코드 변조, 인증서 탈취를 통한 공급망 공격 증가

개발자들이 깃허브(GitHub) 등 소스코드 개발 공유사이트를 이용하는 점을 노려 악성코드를 삽입하거나 소스코드를 탈취하는 공격이 증가할 것으로 예상된다. 개방형소스 사용이 늘어남에 따라 로그4j 등 오픈 소스의 취약점을 악용하거나 라이브러리에 악성코드를 삽입하는 등 광범위한 보안문제가 발생할 것으로 예상된다.

아울러 소프트웨어 개발업체에 침투하여 최신화 서버 변조를 통해 악성코드를 유포하거나, 소스코드에 악성기능을 추가하고 기업의 정상 인증서를 탈취한 뒤 위조 서명된 악성코드 등을 유포하는 공급망 공격 시도가 나타날 것으로 전망된다.

3. '23년 사이버 보안 대응 전략

• 경계형 보안에서 제로트러스트 보안으로 전환 필요
• 개방형소스 등 소프트웨어 안전성을 확보할 수 있는 공급망 보안체계 도입 필요

비대면 원격근무의 확산과 인터넷기반자원공유 전환으로 직원의 계정과 권한을 탈취한 해커에 의해 내부망의 자료가 유출되는 사고사례가 증가하고 있다. 이러한 문제 해결을 위해 모든 대상에 대한 잠재적인 위협을 미리 식별하고, 새로운 접근에 대해 거듭 확인하여 적절한 권한을 부여하는 '제로트러스트'가 주목받고 있다.

소프트웨어 개발과 운영, 유지보수 등 공급 전단계가 복잡해지고 구성요소도 많아지면서 공급망의 보안 위협을 줄이고 위험성을 관리해야 할 필요성도 커지고 있다. 미국 정부도 국가 사이버보안 개선에 대한 행정명령(EO14028, '21.5)을 발표하여 제로트러스트 구조를 연방정부에서 구현하도록 하고, 소프트웨어내장 제품 납품 시 에스비오엠(SBOM) 제출을 의무화하는 등 공급망 보안 강화에 집중하고 있다. SBOM(Software Bill of Materials)은 소프트웨어의 구성요소를 식별하기 위한 명세서를 뜻한다.

• 사이버 공격에 효과적으로 대응하기 위한 사이버 레질리언스 대응체계 전환 필요

고도화된 방어체계에도 불구하고 예측 불가능한 침해사고가 발생하기 때문에, 조직은 방어에만 치중하기보다 조기에 대응하고 회복하는 대응체계를 갖추는 것이 중요하다.