기업 데이터는 잘 지키는 직원, 모바일만 잡으면 ‘허술’
피싱 공격은 대부분 사용자가 보안 솔루션 통과시켜줘서 발생하는 일

[보안뉴스 문가용 기자] 모바일 사용자는 멀웨어 공격보다 피싱 공격에 훨씬 많이 노출되어 있다고 한다. 피싱 공격에 당할 가능성이 멀웨어의 그것보다 무려 18배나 높다고 보안 업체 완데라(Wandera)가 발표했다.


현대의 인터넷 사용자들이라면 자기가 속한 조직이나 업체들로부터 지속적인 교육을 받는다. 수상한 링크를 클릭하지 말고, 미심쩍은 파일이라면 열지 말라는 것이다. 그리고 이를 지키는 이들도 점점 늘어나고 있는 게 사실이다. 사이버 공간에 서식하는 수상한 행위들에 대해 경계심도 높아지고 있다.

그러나 그런 사람들을 문자 메시지, 스카이프, 왓츠앱, 소셜 게임, SNS라는 환경으로 옮겨 놓으면 갑자기 자세가 흐트러지기 시작한다고 한다. “현대인들은 소통의 많은 부분을 모바일 기기에 담당시킵니다. 그것도 단순 통화가 아닌 다양한 방법을 통해서 하죠. 문자를 보내기도 하고, SNS라는 공간 속에서 나눔을 갖기도 하며, 텍스트나 말뿐 아니라 그림이나 영상도 동원합니다.”

문제는 이러한 사실을 아직 조직들이 자꾸 잊어버린다는 것이다. “다양한 형태의 소통이 모바일이라는 작은 기기 안에서 끊임없이 발생하고 있다는 걸 인지하는 것부터가 모바일 보안의 시작입니다.” 완데라의 부회장 마이클 코빙턴(Michael Covington)의 설명이다.

“조직 입장에서 모바일 기기란 직원들의 개인적인 정보와 기업의 지적재산 및 민감한 정보들이 한데 뒤엉킬 수밖에 없게 하는 기술적 집약체입니다. 해커들 입장에서는 맛있는 걸 죄다 모아준 고마운 장소인 것이죠. 사람들은 기업의 정보는 신경 써서 지키지만 개인정보에 있어서는 조금 허술해요. 개인정보 지키는 식으로 모바일을 보호하니, 그 안의 기업 정보가 느슨하게 관리되는 것이고, 이것 역시 해커들에겐 고마운 일이죠.”

이는 교육만으로 해결이 어렵다고 코빙턴은 설명한다. “사이버 공격에 주의하라고 계속해서 강조해도 소용이 없을 때가 많습니다. 아니, 그런 교육 효과는 회사 공간 안에서만 유효하죠. 다시 모바일로 돌아와서 개인적인 소통을 즐기다보면, 그런 교육 내용 따위 온데간데없어지기 일쑤니까요. 뭔가 차원이 다른 대책이 필요합니다.”

그것도 빨리 필요하다. 완데라의 모바일 피싱 보고서에 의하면 “평균 iOS 사용자는 모바일 기기 한 대에 14개의 계정을 보유”하고 있다. 아마존, 페이팔, 에어비엔비 등의 서비스가 주로 이용되고 있으며, 이런 앱들은 대부분 iOS 사용자들의 모바일 기기에 설치되어 있다.

안드로이드의 경우는 어떨까? 보고서에 의하면 사용자 한 명의 평균 계정 보유량은 20개다. 14개와 20개 모두, 해커들에게 있어서 공격 표면이라는 뜻이 된다. 그리고 이는 작년에 비해 100% 가까이 증가한 숫자들이다. 줄어들 기미가 없다.

원래 피싱 공격자들은 이메일을 가장 선호해왔다. 그리고 지금도 그것은 마찬가지다. “하지만 공격 효율이 급격히 떨어지고 있습니다. 이메일 보안 솔루션이 발전하고 있고, 사용자들의 인식도 높아지고 있거든요. 공격자들로서는 다른 방법을 강구해야만 하는 상황이 오는 겁니다. 그런 와중에 모바일이 등장해 사용자들과 정보를 결집시키고 있으니 반갑지 않을 수 없죠.”

버라이즌이 발표한 2018 데이터 유출 사고 보고서(DBIR)에 의하면 사이버 공격의 90%가 피싱으로부터 시작한다. 코빙턴은 “이런 수치가 나오는 데에는 이유가 있다”고 말한다. “기기 제조사들이 허술한 걸까요? 모바일 기기 자체는, 솔직히 말해서, 보안성을 충분히 갖추고 있습니다. 문제가 없다거나, 이미 완벽한 상태라는 건 아닙니다. 90%가 피싱 공격으로부터 시작할 만큼 허술하지 않다는 뜻이죠.”

그렇다면 사이버 공격자들이 거의 천편일률적으로 피싱 공격으로부터 자신들의 악성 행위를 시작하게 되는 이유는 무엇일까? “피싱 공격이 성립하는 건, 사용자가 보안 장치들을 피해갈 수 있도록 안내해주기 때문입니다. 모바일에 피싱 공격이 증가하고 있다는 건, 그러한 사용자들이 많아지고 있다는 뜻이 되고요.”

이런 보고서들에 관심을 가진 업체들 중 일부는 “임직원들의 앱 설치를 완전히 제한하기도 한다.” 그러나 이는 효율적인 방법이 아니라고 코빙턴은 강조한다. “세상 거의 모든 통신 관련 앱들에서 피싱 공격이 일어납니다. 스카이프에도 피싱 공격이 있고, QQ에도 있고, 위챗에서도 있고 바이퍼에도 있고 킥에도 있습니다. 그러니 앱 일부 설치 못하게 한다고 해서 해결되는 문제가 아니라는 겁니다.”

코빙턴은 “모바일 피싱 공격이 지금 대세라는 건 모바일 사용자의 안일함을 증명하는 것”이라며 “기업과 조직들은 이 문제를 제대로 들여다보지 않음으로써 더욱 크게 만들고 있다”고 설명한다. “GDPR 준비 때문에 기업들이 데이터 보안에 더 큰 신경을 쓰고 있지만, 모바일 보안에 대한 고민이 아직 부족한 것 같아 아쉽습니다. 현실은 공격자들의 가장 좋은 먹잇감이 바로 모바일인데 말이죠.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>