사이버 범죄에 대한 처벌이나 위험 거의 없어
돈 목적의 개인보다 국가 지원 받는 해커가 주목돼
워너크라이 사태 통해 기업들 보안 관념 높였어야

[보안뉴스 오다인 기자] 국가적인 사이버 공격과 위협은 사이버 보안 전문가들에게 새로운 소식이 아니지만 점점 더 복잡해지는 양상이라 주목된다. 옛 공격자들을 포함해 신규 공격자들도 준비 안 된 피해자들을 대상으로 공격 수위를 높이는 중이다.


지난 5월 17일, 라스베이거스의 ‘인터롭(Interop) ITX 컨퍼런스’에서 기조발표를 맡은 파이어아이(FireEye) CEO 케빈 맨디아(Kevin Mandia)는 오늘날 전 세계의 지정학적 지형에 집중해 연설했다. 지난 12개월 간 파이어아이가 500건이 넘는 침해에 대해 조사했다고 맨디아는 밝혔다.

파이어아이가 조사한 침해 사례 90%에서, “최초의 피해자”는 스피어 피싱 공격을 당해 악성 링크나 첨부파일을 열어 침해를 겪은 것으로 드러났다. 이런 침해의 50%는 공격자들이 사람들이 매일 사용하는 프로그램의 특징들을 사용한 것이었다고 맨디아는 지적했다.

맨디아는 “공격자들이 인간 신뢰를 익스플로잇하고 있다”고 강조했다. 전 세계의 위협 행위자들이 범죄 행위에 실제 위험이 없다는 걸 깨달았기 때문에 온 사방에서 위협이 나타나는 중이다. 범죄에 대한 처벌이 부족하다는 사실은 사이버 범죄를 더욱 확대시킬 수밖에 없다.

“기업을 해킹하는 데 있어 어떤 위험이나 반작용도 없습니다.” 맨디아는 설명했다. 특정한 공격 대상을 겨냥한 위협이나, 일단 마구 공격을 퍼부은 다음 누군가 걸려들길 바라는 “스프레이 앤 프레이(spray and pray)” 캠페인에도 처벌이 따르지 않는 건 마찬가지다.

오늘날 조직들은 전 세계로부터 위협을 맞이하는 상황에 있다. 파이어아이는 돈이 목적인 범죄자의 공격보다 국가 지원을 받는 공격에 더 대응하고 있다고 맨디아는 설명했다.

사이버 위협 지형의 주요 행위자로는 중동, 동유럽, 중국, 그리고 북한이 있다. 맨디아는 개발도상국들 역시 사이버 행위자로 부상하고 있다고 말했다. 예를 들어, 베트남은 대개 군사적 행위자로 고려되진 않았지만 사이버 영역에서 자신들이 하는 일엔 “사실상 매우 뛰어난” 것으로 나타났다.

공격자가 국가의 지원을 받는지 일반 범죄자인지 구별하는 것은 어렵다. 사이버 공간에서 통용되는 교전수칙이란 것도 정해지지 않았기 때문에 보안 전문가들은 실질적 제재가 전혀 없는 국가 지원 공격에 대응하기 위해 자원을 투자할 수밖에 없는 상황이라고 맨디아는 말했다.

“저희는 골키퍼 역할을 하고 있습니다.” 맨디아는 보안 조직들이 방어를 구축하는 것에 대해 이렇게 말했다. “특정 국가가 침입을 시도하는 건, 마치 웨인 그레츠키(Wayne Gretsky, ‘역사상 가장 위대한 하키 선수’로 불리는 캐나다의 전직 선수)가 페널티 샷(penalty shot)을 날리는 것과 같습니다. 그들이 날리는 퍽(puck, 하키에서 공처럼 치는 고무 원반)은 들어가게 마련입니다.”

지난 주, 대규모의 워너크라이 랜섬웨어 사태가 발생해 경각심을 일으킨 것에 대해, 맨디아는 랜섬웨어가 오늘날 조직들이 현대 사이버 보안 위협에 대응하는 데 기초적인 필수 절차조차 취하지 않았다는 걸 보여줬다고 말했다.

서버 메시지 블록(SMB: Server Message Block) 익스플로잇이 20만 대의 기기에 퍼질 수 있었다는 사실은 “보안 관념이 아직 덜 갖춰진” 신호라고 맨디아는 설명했다.

“워너크라이를 누가 저질렀는지 알아내는 건 반반의 확률 같습니다.” 맨디아는 누가 공격을 저질렀든지 간에 이토록 주목 받길 원하진 않았을 것이라고 말했다. 현재 범인은 공격자로 드러나지 않고 돈을 가져갈 방법이 없다.

“사이버 보안이 지금처럼 중요했던 적은 없었습니다.” 맨디아는 현재 나타나는 위협들을 가리키며 말했다. 만약 회사 네트워크가 완벽하게 끊긴다면 무슨 일이 일어날 수 있는지에 대해 사람들은 제대로 깨닫지 못하고 있다. 사물인터넷(IoT)의 확산, 특히 기술과 생리학을 통합한 스마트 헬스 기기의 확산은 멀웨어 공격이 일단 시작되면 멀리 퍼지게 한다.

사이버 공격은 지금도, 앞으로도 일어날 것이며, 새롭고 예상치 못한 방식으로 회사들을 공격할 것이다. 보안 관련 직업을 가진 사람이라면 최악의 시나리오를 갖고 있어야 하며, 공격자가 자사의 보안 조치를 어떻게 우회할 것인지에 대해서도 생각하고 있어야 한다고 맨디아는 덧붙였다.
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>