연방거래위원회, 에퀴팩스 사고에 드디어 칼을 꺼내들다
구글 플레이 또 뚫어낸 엑스펜시브월 멀웨어, 구글에 문제 있는 듯

[보안뉴스 문가용 기자] 세계의 전쟁, 테러, IT, 보안 소식을 전하는 보안 WITS입니다. 테러 사건으로 이라크에서 60여명이 사망하는 일이 벌어졌습니다. ISIS가 게릴라전으로 전쟁의 양상을 바꾼 듯 합니다. 말레이시아에서는 무슬림의 종교 학교에서 화재가 발생해 23명이 사망하기도 했습니다. 미국은 이란에 대한 제재를 보다 더 강력하게 조정했는데, 여기에 사이버 공격이 이유가 되고 있습니다. 여러 기업들의 사이버 보안 상태가 불량하다며 고소를 진행시킨바 있는 FTC가 에퀴팩스 수사에 나서기도 했습니다.


세계 소식
테러 공격 : ISIS의 자살 폭탄 테러로 이라크에서 약 60명이 사망했습니다. 이라크 정부가 모술 등 주요 ISIS 거점을 확보한 이후 게릴라전이 시작될 거라는 전망이 있었는데, 그것이 이렇게 바로 실현이 됩니다. 이번 테러 공격도 식당가들과 검문소 등에서 발생한 건데요, 테러와의 전쟁이 또 다른 국면에 접어들었습니다.

이건 거의 셀프 테러 : 말레이시아에서는 23명의 학생들과 선생님이 화재로 사망하는 안타까운 일이 벌어졌습니다. 기숙사 꼭대기 층에서 불이 났는데, 입구가 하나밖에 없고 창은 다 막혀 있어서 탈출이 불가능했다고 합니다. 문제는 이 학교가 말레이시아 교육부의 인가가 없이 세워진 무슬림 학교로, 학생들이 글자 그대로 ‘갇혀서’ 쿠란을 외워야 하는 곳이라는 겁니다. 말레이시아 정부는 이번 화재의 원인에 대해 수사하는 한편 전국에 있는 이러한 종류의 학교들에 대한 안전 문제 역시 점검하겠다고 발표했습니다.

이건 거의 셀프 테러 2 : 사실상 독제 체제를 완성시켜 국제 사회의 비판을 받고 있는 베네수엘라의 마두로 대통령이 경제난에 대한 새로운 계획을 발표했습니다. 베네수엘라는 석유 값 폭락 등의 외부적인 요인과 마두로 대통령 집권 등의 내부적인 요인으로 유례없는 경제난을 겪고 있는데요, 이 경제난이 얼마나 심각한지 식량난으로까지 이어지고 있습니다. 국민들이 배를 곯고 있는 때에 마두로 대통령이 세운 계획은 ‘토끼를 먹어라’입니다. 토끼로 충분한 단백질을 공급받으면 미국과 같은 제국주의자들을 이길 수 있을 거라고 합니다.

미국 vs. 이란 : 트럼프 행정부가 “우리는 2015년 이란과의 핵 협약을 지지하지 않는다”는 걸 강력하게 표현했습니다. 이란의 탄도 미사일 실험에 참여한 11개의 기업 및 개인에 대한 추가 제재를 발표한 것입니다. 세계 여러 나라들은 이란 핵 협약이 효과적이었으며 좋은 선례라고 평하는 가운데, 트럼프 행정부가 새로운 시빗거리로 삼은 것이 바로 이 탄도 미사일 실험인데요, 여기에 이란의 미국을 겨냥한 사이버 공격도 포함시켰습니다. 또한 이란이 미국 시민 일부를 가두고 징역살이 시킨 것도 이러한 제재의 이유로 삼고 있습니다.

러시아 vs. 테러리스트 : 러시아가 지중해에서 활동하는 잠수함정인 벨리키 노브고로드(Veliky Novgorod)와 콜피노(Kolpino)로부터 시리아 동부 데이르 엘주르(Deir el-Zour)의 ISIS 거점 지역을 향해 크루즈 미사일 7발을 발사시켰습니다. 그런데 마침 그 지역에서 활동하고 있는 활동가 단체들로부터 ‘광적인 폭발이 일어나 민간인 20명이 사망했다’는 보고가 있었습니다. 활동가들은 7발의 미사일 수준이 아니라며 미국과 러시아를 동시에 지목했는데, 러시아의 크루즈 미사일 발사와 이번 보고의 연관성은 확실하지 않습니다. 러시아는 시리아 내전이 아사드 대통령 측의 승리로 굳어져가면서 해당 지역에서 자신감을 가진 것일까요?

아시아의 두 경제 대국이 만나 : 과거가 찬란했던 경제 대국 일본과 미래가 창창한 경제 대국 인도의 두 총리가 만나 인도 최초의 고속 기차 프로젝트를 공동으로 진행하기로 했습니다. 물론 경제 및 국방 분야에서도 서로 협력하기로 했습니다. 하지만 사실 두 나라는 노골적으로 커져가는 중국의 영향력에 대항하려는 공동의 목표를 가지고 있습니다. 고속철도는 앞으로 약 6년 동안 진행될 계획인데, 지금 인도의 기차 시스템으로 7~8시간 가야할 거리가 3시간 미만으로 줄어든다고 합니다. 또한 잦은 철도 사고에 대한 대비책이 될 것도 기대됩니다.

또 다른 폭풍 : 미국과 카리브 해 지역에 하비와 어마가 지나갔는데, 근처 멕시코에도 또 다른 폭풍이 몰려오고 있습니다. 바로 맥스(Max)라는 이름을 가진 허리케인입니다. 멕시코의 남태평양 방향 해안에 진입한 맥스는 내륙 방향으로 이동 중이라고 하며, 현지 시각으로 오후 4시 15분 당시 풍속 130km/h를 유지하고 있다고 합니다. 진행 속도는 약 13km/h라고 합니다. 휴양지로 유명한 아카풀코 쪽으로 이 무시무시한 바람 덩어리가 가고 있습니다.

보안 소식
에퀴팩스 유출 사고 후속 : 미국 사회에 커다란 충격을 주고 있는 에퀴팩스의 정보 유출 사고에 대한 소식이 연일 해외 매체 헤드라인을 장식하고 있습니다. 그런 가운데 연방거래위원회(FTC)가 드디어 수사에 착수했습니다. 특히 이번 수사는 에퀴팩스 측의 아파치 스트러츠(Apache Struts) 취약점 관리 실패로 인한 사고였다는 게 확인되면서 결정된 것이라고 합니다. 한국에서는 공정거래위원회와 비슷한 역할을 하는 미국 FTC는 기업들의 보안 실태를 사실상 관리하는 힘까지 가지고 있어, 이번 수사 결과에 따라 에퀴팩스는 FTC의 강력한 벌금형에 처할 수도 있게 되었습니다. 미국이 말하는 ‘공정한 거래’의 정의에 사이버 보안도 포함되어 있다는 게 부럽기도 합니다.

한편 에퀴팩스 사고가 최초에는 최근 패치가 완료된 CVE-2017-9805 취약점에 대한 익스플로잇의 결과라고 의심됐었는데요(왜냐하면 이 취약점을 노리는 해킹 공격이 계속해서 증가 추세였던 타이밍에 에퀴팩스 사고가 일어났기 때문입니다), 수사를 진행할수록 CVE-2017-5638가 의심된다고 합니다. CVE-2017-5638이 취약점은 지난 3월 발견되고 패치된 것으로 당시에도 해커들의 적극적인 익스플로잇이 이뤄졌습니다.

여기에 보안 전문 블로거인 브라이언 크렙스(Brian Krebs)는 최근 아르헨티나의 에퀴팩스 지부에서도 직원용 포탈이 해킹을 당해 약 1만 4천 건의 기록이 유출됐다고 밝혔습니다. 여기에는 직원들의 크리덴셜과 소비자 민원들도 포함되어 있다고 합니다. 에퀴팩스 조직 내 만연한 ‘기본 보안 수칙 엄수 실패’가 날마다 공개되고 있는 모양새입니다.

엑스펜시브월 트로이목마, 구글 플레이 침투 : 구글 플레이 침투에 성공한 또 다른 멀웨어가 발견됐습니다. 이름은 엑스펜시브월(ExpensiveWall)로 구글 플랫폼에서 발생한 멀웨어 사고 중 규모가 역사상 두 번째로 크다고 합니다. 월페이퍼 앱 50여개를 통해 퍼지는 엑스펜시브월 멀웨어에 최대 2천 1백 1십만 명의 사용자가 감염된 것으로 보인다고 보안 업체 체크포인트(Checkpoint)가 밝혔으며, 이 피해자들은 자신도 모르게 고급 SMS 서비스에 대한 비용을 청구 받았다고 합니다. 문제는 이 멀웨어는 올해 초 구글 플레이에서 발견되고, 구글의 조치도 취해진 바가 있었는데, 공격이 재차 일어났다는 겁니다. 구글 플레이의 보안에 치명적인 약점이 있는 것으로 보입니다.

세계의 백신 실험 결과 : 백신 실험 단체인 AV_Test Institute에서 윈도우 10 클라이언트 백신 제품을 실험했습니다. 보호, 성능, 사용성의 3개 항목에서 실험이 진행됐는데, 카스퍼스키의 엔드포인트 시큐리티 10.3과 스몰 오피스 시큐리티 5, 시만텍 엔드포인트 프로텍션 14.0, 엔드포인트 프로텍션 클라우드 22.9, 트렌드 마이크로 오피스 스캔 12가 세 개 부문 모두에서 좋은 성적을 거뒀습니다. 카스퍼스키 제품이 특히 좋은 성적을 거뒀는데, 미국 정부는 이를 빼버릴 수밖에 없어서 안타깝습니다. 결과 전부는 여기에서 열람이 가능합니다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>