개인을 노리는 공격 21% 줄었으나 기업 노리는 공격은 늘어
오래된 취약점 노리는 공격 가장 활발...패치 게을리 하지 말아야

[보안뉴스 문가용 기자] 보안 업체인 카스퍼스키 랩이 지난 주 보고서를 발간해 개인을 겨냥한 사이버 공격이 크게 줄었다는 희소식을 전달했다. 2015년에는 개인 피해자가 전 세계적으로 약 5백 5십만 명이었지만 2016년에는 4백 3십만 명으로, 약 21%나 줄어든 것. 그러나 같은 기간 내 기업을 겨냥한 공격이 2016년 54만 건에서 2016년 69만 건으로 크게 늘어났다.


전체적으로 보면 2016년에는 7억 2백만 건이 넘는 익스플로잇 공격이 있었는데, 이근 2015년에 비해 약 25%나 증가한 것이다. 익스플로잇 공격을 받은 ‘개인’은 2016년 내내 줄어들었지만, 기업이라는 조직의 일원으로서 공격을 받은 횟수는 오히려 늘어났을 수 있다는 뜻이 된다. 많은 사람들이 대부분 특정 조직에 몸을 담고 있다는 걸 생각해보면, ‘개인’에 대한 공격이 줄어들었다는 건 큰 의미가 있지 않다는 뜻도 된다.

“결국 감염된 웹 사이트와 스팸 메시지의 절대 수치 자체는 계속해서 증가해왔다는 뜻이고, 앞으로도 그럴 가능성이 농후하다는 의미가 됩니다.” 카스퍼스키는 보고서에 이러한 결론을 내려놓고 있다. 카스퍼스키의 보안 전문가인 알렉산더 리스킨(Alexander Liskin)은 “기업 사용자가 작년에 더 많은 공격 목표가 된 데에는 이유가 있다”고 설명한다.

“하나는 익스플로잇 킷의 활동이 줄어들었다는 것이고, 두 번째는 버그바운티 프로그램이 크게 증가했다는 것, 그리고 세 번째는 보안 취약점에 대해 심각하게 대처하는 소프트웨어 개발사들이 증가했다는 겁니다. 이 세 현상이 합쳐지니 사이버 범죄자들의 익스플로잇 개발 비용이 올라가고, 그러다보니 개인보다는 공격 효율이 높은 기업 쪽으로 눈을 돌리게 된 것이죠.”

이러한 흐름은 매우 큰 우려를 낳고 있다. “사이버 범죄자들이 머무르는 암시장의 시장원리는 우리가 흔히 알고 있는 양지의 시장원리와 같습니다. 이윤을 남기는 게 가장 큰 목적이라는 점에서는 말이죠. 기업을 노리는 공격이 많아진다는 건, 그들에게서 많은 이윤이 나온다는 것과 다름이 없습니다. 현대의 기업들이 많이 취약하다는 뜻이며, 당분간 기업을 노리는 유행이 지속될 거라는 뜻입니다.”

이번 보고서를 통해 드러난 건 이러한 점만이 아니다. 윈도우 OS의 취약점과 브라우저 취약점을 노리는 익스플로잇 공격이 각각 21.56%와 33.4%로 크게 떨어지기도 했다. 대신 마이크로소프트의 오피스 소프트웨어를 통한 익스플로잇 공격은 103%나 증가했다. 전통의 취약 소프트웨어인 어도비 플래시에 대한 익스플로잇 공격도 증가하긴 했으나, 이전만큼의 성장 추세를 보이지는 못했다(12%). 안드로이드에 대한 공격은 23% 증가했다.

2016년 한 해 동안 가장 많은 공격을 받은 취약점은 스턱스넷 LNK(Stuxnet LNK) 오류로, 스턱스넷이라고 하면 7년 전 이란의 핵 관련 시설물을 공격한 것으로 유명한 멀웨어다. 이에 대한 패치는 2010년에 이미 등장했고, 2015년에도 MS 패치를 통해 다뤄진 적이 있으나, 여전히 공격자들의 사랑을 받고 있다는 뜻.

리스킨은 “스턱스넷 오류가 가장 많이 활용되고 있는 이유를 정확히 알 수는 없었다”고 말하지만, “결국 아직도 윈도우를 패치하지 않은 사용자가 많다고 볼 수 있고, 심지어 해적판 윈도우가 널리 사용되고 있다고 보는 게 타당할 듯 하다”고 추측했다. “또 이 LNK 취약점을 활용한 공격은 스스로 번식하는 유형의 멀웨어 만들기에 매우 좋습니다. 그 점도 작용하는 것으로 보입니다.”

아직 세계 네트워크 여기저기에 LNK 익스플로잇 멀웨어에 노출된 곳이 많다고 리스킨은 설명한다. “특히 엔드포인트에서 LNK 취약점이 자주 발견되는데, 이는 해당 엔드포인트가 속한 기업이나 기관 등 조직 전체에 크나큰 위협이 되죠.”

이렇게 오래됐지만 활용성이 높고 난이도가 낮아 자주 활용되는 취약점은 몇 가지가 더 있다. MS 오피스의 액티브 엑스 관련 취약점인 CVE-2012-0158도 그러한 예다. 번호에서 나타나듯 2012년에 발견된 오류로, 주로 표적형 공격에 활용되며, 패치를 하지 않은 오피스 소프트웨어가 여전히 많이 사용되기 때문에 유효한 공격이라고도 볼 수 있다.

“결국 패치를 제대로 하는 것이 얼마나 중요한지가 드러난 보고서입니다. 취약점만 잘 패치해도 공격자의 리스크와 공격 비용을 높일 수 있습니다. 공격자들은 가장 공격 비용이 낮은 곳을 찾습니다. 그 점이 공략되면 시장 원리에 의해 많은 공격자들을 도태시킬 수 있다는 걸 기억해야 할 것입니다.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>