모바일·클라우드·빅데이터·SNS·APT 등 신종보안위협 증가

[보안뉴스 김태형] 2013년에는 신종보안위협이 IT보안의 주요 키워드로 떠오를 것으로 전망된다. 정보보안/금융IT서비스 전문기업 이니텍(대표이사 변준석)은 3일 2013년 IT보안 분야에서 주목할 만한 7대 키워드를 발표했다.

이니텍이 규정한 7가지 신종보안위협에 대한 키워드는 모바일 보안·클라우드 보안·빅데이터 보안·SNS 보안·크라임웨어·APT 위협·피싱/파밍 등이다.

·모바일 보안

2012년 3분기 인터넷뱅킹이용실적 중 모바일 뱅킹을 이용한 건수와 금액은 전 분기 대비 각각9.9%, 7.7% 증가한 1,330만건, 9,734억원을 기록했다. 모바일 뱅킹은 현재 전체 인터넷 뱅킹 이용건수의 29.1%를 차지하고 있을 만큼 지속적으로 늘어나고 있다. 이용자수와 금액은 꾸준히 늘어나지만 스마트폰을 탈옥하거나 루팅하는 사례 역시 늘어나면서 모바일 보안에 대한 대책이 시급한 상황이다.

현재 금융업계의 모바일 보안 항목들은 다음과 같다.

▲이용자 및 서버 구간에서의 보안 네트워크

▲본인 확인을 위한 공인인증서 또는 2채널 인증

▲운영체제 위변조 검사

▲악성프로그램 검사

▲보안 키패드

▲스마트폰 앱 무결성 검증 등 금융업계는 다양한 모바일 보안 대응책을 마련하고 있다.

향후 신규 모바일 신규 보안 위협에 따라 상기 보안항목들의 지속적인 보완 및 업데이트가 필요할 전망이다.

·클라우드 보안

가용성, 편의성, 경제성을 향상시키는 클라우드 환경 적용에 있어서도 저장된 정보에 대한 보안이 바탕이 되어야 한다. 따라서 데이터 손실 및 유출방지, 데이터 변조 방지를 위한 데이터 보호, 인증 및 권한관리, 시스템 및 네트워크 보안, 시스템 감사 등에 대한 정책 마련과 법령 및 규정의 준수 등 관리적 대응을 위한 보안 대책이 요구된다.

·빅데이터 보안

앞으로 활용 잠재가치가 높은 금융업의 빅데이터는 마케팅 효과 극대화, 고객에게 최적화된 맞춤형 상품 제안, 프로세스 효율화 등을 실현하는 데에 중요한 데이터베이스다. 만약 빅데이터를 보유하고 있는 기업이 데이터를 손실 및 유출할 경우에 사회/경제적인 피해뿐 아니라 개인의 프라이버시를 침해할 수 있다.

따라서 암호키와 암호화 데이터의 분리, 개인식별번호 선별, 전송 데이터 암호화 등의 데이터 보호, 프라이버시 관리, 데이터 백업 등의 현실적인 대안이 필요하다.

·SNS(Social Networking Service) 보안

소셜네트워킹서비스, 즉 SNS는 모바일 환경의 개방성으로 인해 폭발적으로 확산됐다. 이러한 모바일의 개방성은 사용자에게 쉽고 편리한 사용 환경을 제공하지만 한편으로 보안 위협의 원인이 되고 있다.

모바일 환경에서 SNS가 해킹의 수단으로 사용될 수 있다는 점에 주목해야 한다. SNS 상에서 편의를 위해 사용되는 단축 URL이 피싱, 악성코드 유포 수단으로 사용될 수 있기 때문이다. 따라서 소셜 미디어 보안대책 및 가이드라인 수립이 선행되어야 할 것이다.

·크라임웨어(Crimeware)

크라임웨어는 대규모의 금융 범죄를 자동화하기 위해 특별히 설계된 악성코드의 집합체로, 금융 악성코드, 은닉 악성코드, 뱅킹 트로이 목마 등의 이름으로도 불린다. 이 크라임웨어는 2003년 첫 등장 이후 지속적으로 진화하고 있으며 진화를 통해 고도로 민감한 인증 데이터를 대용량으로 수집할 수 있는 효율적인 공격용 툴인 제우스와 스파이아이가 이미 나타난 상태다.

이에 이니텍은 2013년 악성코드 동향으로 타깃형 범죄 증가, 신종 악성코드의 출현, 제거하기 어려운 진화된 악성코드, 크라임웨어로 인한 금전적 피해, 모바일 악성코드의 확산 등을 전망했다.

·APT(Advanced Persistent Threat) 위협

APT는 목표의 특정영역을 탐색해 공격 타깃을 선정해 정밀하고 지능화된 수법으로 공격하는 특징이 있다. ATP는 기업·조직의 취약한 시스템을 이용해 내부에 침투한 후, 장기간 다양한 공격기법을 활용해 피해자도 모르게 주요 정보를 유출하고 시스템을 무력화시킬 수 있다. 따라서 보안 시스템 구축과 함께 조직 내부의 보안의식을 함께 높일 필요성이 있다.

APT공격에 대한 대응 기술은 1980년대부터 2000년대까지 지속적으로 개발되어왔으나 금융회사 관점에서는 좀 더 강화된 대응책이 필요한 시점이다. APT 공격을 대응하기 위해 우선 최신 버전의 보안패치로 업데이트 해야 한다. 또한 중요 시스템 로그인시 multi-factor 인증을 통한 내부 접근 통제 기능을 강화하고 암호화 도입 등의 대응방안을 고려할 필요가 있다.

·피싱/파밍 위협

피싱이란 ‘개인정보를 낚는다’라는 의미의 합성어로 불특정 다수에게 메일을 발송해 위장된 홈페이지로 접속하도록 한 뒤 인터넷 이용자들의 금융정보 등을 빼내거나 파는 사기 수법이다.

또한 파밍이란 공격자가 다양한 공격 기법을 통해 PC또는 네트워크를 장악함으로써 사용자가 웹 브라우저 접속 창에 정상적인 사이트 주소를 입력해 접속하더라도 접속되는 사이트의 DNS를 변조시켜 정상 사이트가 아닌 공격자가 만든 위조된 사이트로 이동하게 하는 공격방법을 말한다.

이렇게 피싱과 파밍의 위협이 늘어나면서 이에 대한 피해를 입지 않기 위한 다양한 대비책이 마련되고 있으나 빠르게 진화하는 피싱/파밍을 항상 주시하고 신속히 대응할 필요가 있다. 이러한 금융사기를 줄이기 위한 금융당국과 경찰의 노력에는 한계가 있을 수 있다. 금융회사들의 자체적인 보안 시스템 체계를 강화할 필요성이 있다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>