공정제어 시스템·모바일기기, 해커의 공격 루트로 떠올라

[보안뉴스 온기홍=중국 베이징] 중국내 대다수 인터넷 업체들도 지난해 ▲침투 테스트 ▲취약점 스캐닝 ▲내부 네트워크 구조 분석 등의 보안사고를 겪었다. 이 가운데 해커가 일정한 권한 획득에 성공한 업체는 전체의 80% 가량을 차지했다. 루이싱의 테스트에 따르면, 방문량이 하루 1만 IP를 넘은 웹사이트 가운데 10개 이상의 심각한 취약점이 발견된 웹사이트는 75%에 달했다.

특히, 지난 한해 중국 기업이 직면한 온라인 보안 위협은 다양화하고 수위도 높아졌다. 지난해 12월 발생한 중국 최대 소프트웨어(S/W) 개발자 온라인 커뮤니티 ‘중국 소프트웨어 개발 네트워크(CSDN)’, 토론 커뮤니티 사이트 ‘톈야(Tianya) 스취’ 등 유명 웹사이트들에 대한 ‘데이터베이스 유출’ 공격을 비롯해 중국 기업(특히 이용자 정보저장 기업)들은 심각한 보안위협에 직면했다.

온라인게임과 온라인쇼핑 업계에서도 보안조치가 충분하지 못해 이용자 정보가 유출되는 상황이 발생했다. 지난해 12월 베이징 공안은 온라인게임 서버 데이터를 왜곡해 불법적으로 천만 위안의 게임 머니를 훔친 6명을 체포하고 820만여 위안을 추징했다. 유사한 사례가 온라인게임 업계에서 여러 차례 발생했다.

“중국 온라인 보안 위험 다양화하고 수위 높아져”
전통적 기업들의 경우, 절대 다수의 내부 네트워크에서 보안 사고가 발생했다. 그 중 악성 코드(바이러스와 트로이목마 등)가 침입한 비율은 전체의 50%에 달했다. 이어 해커 공격과 침투는 35%, 피싱사이트 공격과 기타 방식의 보안 사건은 10%를 차지했다.

루이싱은 “CSDN, 텐야 등과 같은 전문적 웹사이트에서도 이용자 정보 관리, 보안 프로그램 상에서 여러 문제가 존재하는 상황인 것을 보면, 다른 일반 기업들의 보안 수준이 어느 정도인지는 충분히 가늠할 수 있다”고 분석했다.

이런 가운데 경쟁업체를 겨냥한 해커 공격도 지난해 증가세를 띠었다. 기업 간의 악성 경쟁에 해커가 고용되기 시작한 것. 대표적으로 베이징에 본사를 둔 결혼·연애 정보 사이트인 바이허망(baihe.com)은 경쟁업체가 고용한 해커 공격을 받았다. 경쟁업체는 해커를 고용해 바이허망에 대해 디도스 공격을 벌였다. 이 때문에 바이허망은 한 동안 정상적으로 접속할 수 없었고, 112만 위안 상당의 경제 손실을 겪었다.

공안은 바이허망을 공격한 2명의 해커 외에 고용자를 체포했다. 베이징에서 지난해 공안이 적발한 온라인 위법 범죄 사건은 2,600여 건에 달했다. 범죄 단체는 15개였고, 범죄 혐의자는 2,600여명이었다.

아울러 지난해 중국 내 해커들이 교육 과학연구, 정부, 매체 사이트에 ‘악성 링크 코드’를 침투시켜 이득을 챙기는 사례도 잇달았다. 지난해 1월 2명의 해커는 중국 최고검찰원 웹사이트를 공격해 사회적 파장을 일으켰다. 이들은 백도어 프로그램을 통해 최고검찰원 사이트에 진입해 웹페이지에 악성 링크 코드를 추가했다.

이를 통해 다른 웹사이트의 검색 순위를 올려 돈을 벌 목적이었다. 두 명의 해커는 동일한 수법을 써서 창샤 질량기술검찰국, 푸슌정무공개망 등 8개 정부 사이트와 3개 기업 사이트에 침입해 악성코드를 추가함으로써 6000여 위안을 벌었다.

한편, 데이터베이스 유출과 같은 공격 외에 태블릿PC 아이패드(iPad), 안드로이드 기반 스마트 단말기를 겨냥한 공격, 각종 자동 공정제어 시스템에 대한 공격, 비밀 관련 네트워크에 대한 공격도 끊임없이 나타나고 있다. 이 가운데 자동 공정제어 시스템와 인쇄기 등 지능 설비는 해커가 기업을 공격하는 새로운 경로가 됐다.

루이싱은 “국내외에서 신종 컴퓨터 바이러스 ‘스턱스넷(Stuxnet)’ 출현 이후 해커와 바이러스의 자동공정제어 시스템에 대한 위협이 이어지고 있다”고 분석했다. 루이싱은 “이들 시스템은 전통적으로 인터넷과 끊어진 부분에 속했기 때문에 보안상에서 거의 관심을 받지 않고 있지만, 일단 보안 문제가 나타나면 수습할 수 없게 된다”고 지적했다.

“중국 기업들 보안 조치 미흡”

현재 중국내 온라인 보안 상황은 낙관할 수 없는 환경인데도 불구하고 대다수 기업은 보안상 취약점과 위협을 중시하지 않고 있다는 지적이다.

루이싱은 “중국 보안업체가 일반 기업들에 보안상 취약점을 보고할 때, 해당 기업 책임자의 피드백을 거의 받지 못하고 있으며, 심지어 일부 기업은 취약점 경고를 받았다는 이유로 악담으로 대응한다”고 지적했다. 이에 따라 보안업계와 일반 기업 사이에는 순조로운 상호작용이 이뤄지지 않고 있고, 이 때문에 중국의 보안 상황이 외국과 큰 차이를 보이고 있다고 루이싱은 강조했다.

루이싱은 또 중국의 많은 보안 분야 관계자들은 정당한 경로를 통해서는 이익을 얻을 수 없기 때문에 어쩔 수 없이 불법적·부정적 수입에 의존하고 있는 상황이라고 지적했다. 루이싱은 “보안상 문제를 가진 기업이 투자를 하지 않아 보안업체는 돈을 벌지 못해 더 좋은 제품과 서비스를 제공할 수 없게 된다”며 “이 때문에 일반 기업의 보안상 문제는 더 많아지게 되고 결국 ‘보안 폭탄’이 터지는 악순환에 빠지게 된다”고 지적했다.

[중국 베이징 / 온기홍 특파원 onkihong@yahoo.co.kr]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>