"해킹 공격도 경제적 원칙 따라"

[김국배기자] 해킹 공격에도 공식이 있다?

해킹 공격은 기회가 많고 공격이 쉬운 곳에서 발생한다. 성공한 제품, 널리 보급된 서비스가 공격의 대상이 되기 쉽다. 물고기가 많은 곳에서 낚시를 즐기는 것과 같은 이치다.

안랩 김기영 실장은 6일 서울 역삼동 포스코 P&S 타워에서 열린 '2014 SW 산업 이슈별 시장·기술 전망 세미나'에서 'IT 기술트렌드에 따른 보안 위협 전망'에 관해 발표하며 "해킹 공격도 절대적으로 경제적 원칙을 따른다"고 강조했다. '공격 받을 가능성=가치(돈, 정치적 목적 등)x공격 기회x공격의 용이성'이라는 공식을 따른다는 것.

가치를 논외로 했을 때 공격 기회가 많으려면 그만큼 많은 사람들이 쓰는 제품과 서비스를 대상으로 해야 한다. 국내에서 안드로이드폰이 쉽게 공격 대상이 되는 이유다. '삼성인데 공격을 당하느냐가 아니라 삼성이니까 공격을 받는다'는 게 기본적 속성인 셈이다.

그는 "소비자의 트렌드가 반영된 제품, 서비스 등이 컨슈머라이제이션(Consumerization) 상태가 되면 공격의 대상이 되는 것"이라고 설명했다.

다른 하나는 공격의 용이성이다. 그는 "'철옹성'이라면 (공격을) 포기한다"며 "물론 다 두드려야 보겠지만 그래도 해결이 안 된다면 두 번째로 유명한 데로 갈 가능성이 큰 편"이라고 말했다.

◆스미싱 계속 진화, 이젠 '숨바꼭질'…기술처럼 해킹 공격도 융합

김기영 실장은 최근 이슈가 되고 있는 스미싱 공격에 대해서도 설명했다.

그는 "처음에는 공짜 쿠폰으로 유혹하고 경찰·검찰 기관을 사칭하다가 돌잔치, 결혼식을 가장했다"며 "이제는 개인정보가 많이 유출돼 이름까지 정확히 언급하는 식으로 '개인화'되기에 이르렀다"고 말했다.

특히 최근에는 문자 메시지에 포함된 URL에 악성코드를 미리 심어놓지 않는다는 게 그의 말이다. 처음부터 악성코드를 올려놔 발각되기보다는 2~3일씩 뒤에 '살짝' 올려 놓는 식의 기발한 방법까지 쓴다는 것이다.

그는 "URL에 당연히 있어야 할 악성코드가 없어 스미싱 방지 앱이 못 잡는 경우도 나오고 있다"고 말했다.

최근 보안 위협의 흐름에 대해서는 "기술이 융합으로 가듯 공격도 융합으로 가고 있다"는 진단이다.

최근 카드 3사 신용정보 유출 사태 이후 '고객정보 유출 여부를 확인하라'는 유의 문자 메시지(SMS) 발송이 늘어난 것이 대표적이다. 카드사 정보 유출 사고가 발생하고 얼마 지나지 않아 이를 악용한 스미싱 공격이 곧바로 나타난 셈이다.

그는 "최근 신용카드 정보 유출 사건 역시 가장 널리 사용되는 신용카드, 즉 컨슈머라이제이션으로 인해 공격 대상이 된 사례라고 할 수 있을 것"이라고 말했다.

김국배 기자의 다른 기사 보기

• "제로데이 취약점 가치 갈수록 높아져"

• '문자 오면 일단 의심' 스미싱 노이로제