2013년 대규모 보안사고 '팡팡' 스미싱에 '어질'

[김국배기자] 올 한 해는 '3·20'과 '6·25'로 명명되는 대규모 보안 위협이 두 차례나 발생하며 보안 위협이 고도화되는 경향을 나타냈고 국제적 지능형지속위협(APT) 공격 그룹의 국내 진출도 현실화됐다. 더불어 스미싱 관련 모바일 악성코드는 폭발적으로 증가한 것으로 나타났다.

안랩(대표 권치중)이 18일 발표한 '2013년 7대 보안 위협 이슈'로는 ▲보안 위협의 고도화 및 대규모화 ▲국제적 APT 공격그룹의 국내 진출 현실화 ▲스미싱 모바일 악성코드의 폭발적 증가 ▲관리자 계정정보를 직접 노리는 악성코드 변형 확산 ▲국지화되는 소프트웨어 취약점 악용 ▲진화하는 인터넷 뱅킹 악성코드 ▲랜섬웨어 고도화 등이 꼽혔다.

특히 지난 3월 20일 금융·방송사를 대상으로 발생한 대규모 보안사고와 6월 25일에 일어난 정부와 공공기관에 대한 하드디스크 파괴 및 디도스(DDoS) 공격을 병행한 보안 위협은 단순 좀비 PC를 사용한 2009년 7·7 디도스, 2011년 3·4 디도스와 달리 APT 공격이 국내 기반 시설에 동시다발적 피해를 준 사례였다.

특히 불특정 다수에 대한 무차별적 악성코드 유포와 달리 이들 대규모 보안 사고들은 특정 프로그램의 업데이트 기능 취약점, 웹 취약점, 스피어피싱(표적형 악성메일) 등을 통해 내부 침투 이후 장기간 분석 과정을 거쳤으며 각 피해 사의 내부 인프라를 악용한 공격도 수행했다.

2013년은 국제 APT 공격그룹의 국내활동도 활발한 해였다. 안랩에 따르면 국내 국방기술과 제조 관련 기업의 첨단기술 유출을 목적으로 하는 공격그룹과 2011년부터 지속적으로 게임머니 상승과 게임 인프라 구축 기술 유출을 목적으로 하는 공격 그룹 등의 활동이 보고됐다.

국내에서 활동이 보고된 APT 공격그룹은 다양한 공격 방법과 치밀한 침투 시나리오, 표적별로 특화된 악성코드를 사용하는 특징을 나타냈다.

이처럼 고도화된 공격 기법을 사용하는 국제적 사이버 산업스파이 그룹은 공격 목적에 따라 국가 및 군사 기관과 범죄 집단의 지원을 받고 있는 것으로 추정된다.

또한 올해는 스미싱 모바일 악성코드가 폭발적 증가했다. 지난해 30여 건에 불과했던 스미싱 악성코드는 2013년에는 11월까지만 4천 600여 건이 확인됐다. 초기에는 소액결제 시 인증 문자를 유출하는 기능으로 시작했으나 최근에는 스마트폰에 설치된 은행 앱의 종류를 식별하고 설치된 은행 앱을 악성 앱으로 교체해 사용자가 스스로 금융정보를 입력하도록 유도하는 파밍 형태가 많이 발견되는 추세다.

올해 초부터 발견된 '관리자 계정정보 유출 악성코드'의 변형이 인터넷 익스플로러(IE) 제로데이 취약점(CVE-2013-3897)을 통해 올 여름 급속히 국내에 유포되기도 했다. 사용자가 해당 취약점이 존재하는 IE를 사용하는 PC로 악성코드를 유포하는 웹사이트에 접속하기만 해도 감염되는 방식이다.

교회와 학교, 관공서, 호텔, 택배, 웹하드 등 사람들이 손쉽게 접근하는 다수의 국내 온라인 사이트들도 악성코드 배포처로 이용됐다. 프로그래밍 언어인 자바(Java)와 마이크로소프트(MS)사의 인터넷 익스플로러(IE), 플래시파일 재생 도구인 플래시 플레이어(Flash Player)와 같은 프로그램의 취약점을 악용하는 공격사례가 많았다.

전자금융사기수법은 피싱, 파밍, 보이스 피싱, 스미싱, 메모리 해킹 등 PC와 모바일을 가리지 않고 매우 다양해졌다. 특히 올해 6월과 9월에 발견된 온라인 게임핵 악성코드(온라임 게임계정 탈취 기능)에서 기존에 없었던 국내 인터넷 뱅킹 사이트 대한 정보유출 기능이 확인되기도 했다. 보안모듈의 메모리를 해킹(수정)해 정상 작동 과정에서 정보를 유출하는 '메모리 해킹을 통한 보안모듈 무력화' 악성코드가 대표적이다.

이와 함께 전 세계 여러 나라에서 랜섬웨어(Ransomeware) 피해가 발생하고 국내에서도 랜섬웨어가 새로운 보안 위협으로 등장했다. 랜섬웨어는 PC 부팅 시 암호를 요구하거나 PC 내 파일을 암호화해 시스템을 정상적으로 사용하지 못하게 하고 돈을 요구하는 악성코드다.

안랩 시큐리티대응센터 이호웅 센터장은 "보안은 어느 한 주체의 책임이나 의무가 아니다"라며 "더욱 강력한 사이버 보안을 위해 개인, 기업, 기관 모두 다각적이고 입체적인 대응을 해나가야 한다"고 강조했다.

김국배 기자의 다른 기사 보기

• 늘어나는 스미싱, 이통사도 고객 보호 '안간힘'

• '문자 오면 일단 의심' 스미싱 노이로제