​클라우드, IoT, 메타버스 등 신기술 노린 사이버공격이 온다

과기정통부, 2021년 사이버위협 분석과 2022년 전망 발표

올해 가장 큰 침해사고는 랜섬웨어...내년에도 기승

[사진=게티이미지뱅크]

과학기술정보통신부(과기정통부)와 한국인터넷진흥원(KISA)이 지능화·고도화되는 사이버위협을 선제적으로 예방하고, 대비태세를 강화하기 위해 올 한 해 사이버위협 분석과 2022년 사이버위협 전망을 발표했다.

올해 가장 위협적인 침해사고로 랜섬웨어 공격을 꼽을 수 있다. 해외에서는 에너지, 식료품 공급 등 기반시설을 대상으로 한 랜섬웨어 공격으로 대규모 피해가 발생했으며, 국내에서도 중소·지역 기업 등 업종과 지역을 가리지 않고 랜섬웨어 공격이 지속 발생했다. 피해 발생 분포를 살펴보면 보안에 취약한 중소기업이 93%, 서울 외 지역이 63%로 나타났으며, 특히 백업을 하지 않아 랜섬웨어 피해복구가 어려운 경우가 65%로 나타났다.

코로나19 지속으로 원격교육, 재택근무 등 비대면 서비스 확산에 따라 이를 노린 사이버위협도 증가했다. 비대면 서비스 필수 솔루션인 원격보안접속 프로그램, 이메일, VPN 솔루션 등의 취약점 악용한 해킹사고가 빈번하게 발생했다.

IoT 기기가 보편화되면서 국내 다수의 아파트 월패드가 해킹된 사례도 있다. 사생활 영상이 해커에 유출, 다크웹에 판매 등 사이버위협이 우리 일상까지 파고든 셈이다. 그간 사이버위협이 기업 등 일부 한정된 범위 내에서 공격과 피해가 발생했다면, 앞으로는 우리의 안전까지 위협하는 형태로 진화할 전망이다.

2022년에는 로그4j 취약점 문제가 광범위하게 발생할 것으로 보인다. 올해 12월 전 세계를 강타한 로그4j 취약점은 널리 쓰이고, 식별이 어려우며, 서드파티 제품 업데이트 지연 등으로 인해 해결에 상당 기간이 소요될 것으로 예상된다. 이 사태로 소프트웨어 공급망 보안 중요성이 부각되면서, 소프트웨어 개발부터 유지관리까지 소프트웨어 전반적인 사용주기에 보안 강화 필요성이 커졌다.

월패드 등 IoT 기기를 노린 공격이 끊임없이 이어지고 있는 가운데, 잠재적 위협을 가진 보안에 취약한 IoT 기기로 인한 사이버위협이 증가할 것으로 전망된다. 인공지능 스피커, 스마트 TV, IP 카메라 등 알려진 IoT 기기 외에도 드론, 스마트카 등 새로운 연결기기에 대한 보안위협이 현실로 다가오고 있는 상황이다. 이처럼 IoT 기기가 취약할 경우 사생활 정보유출, DDoS 공격 등 사이버공격 수단으로 악용될 수 있어 IoT 기기에 대한 점검과 보안취약점 조치 강화가 필요하다.

추적이 어려운 가상자산 활성화와 서비스형 랜섬웨어(RaaS, 랜섬웨어 개발·유포·관리 등이 분업화된 형태) 등장은 랜섬웨어 범죄 생태계 성장을 촉진하고 끊임없이 우리를 위협할 것으로 예측된다. 기업 재무제표나 뉴스 검색으로 자금여력이 있거나 대규모 영업 손실이 발생할 수 있는 기업을 노리는 표적형 공격이 증가하고, 백업 등 기업의 방어 체계를 무력화하기 위한 시도도 이어질 전망이다. 범죄 수익으로는 추적이 어려운 가상자산을 요구할 것으로 보인다.

디지털 전환의 핵심 인프라인 클라우드에 대해서도 위협이 증가할 전망이다. 최근 서비스, 플랫폼, 인프라 등 다양한 정보통신환경이 클라우드로 옮겨가고 있는 추세다. 클라우드컴퓨팅은 자원공유, 가상화 등의 특성으로 보안 위협을 내재하고 있으며, IT 자원이나 사용자 정보가 집적돼 있기 때문에 해킹, DDoS 공격의 표적이 되기 쉽다. 피해 발생 시 사고 규모도 크다.

본격적으로 신규 ICT 시장을 창출하고 있는 메타버스, NFT, AI 등 신기술 대상 취약점을 악용한 새로운 유형의 신종 사이버위협이 발생할 것으로 예상된다. 메타버스 이용자 정보탈취, 시스템 마비 등을 노리는 공격과 자본이 몰리고 있는 NFT 관련해 권한 탈취 후 부정 판매와 인공지능을 접목하는 서비스가 급증하면서 인공지능의 학습을 방해하거나 오판‧오인식을 유도하는 공격이 발생할 우려가 있다.

코로나19 지속, 정치적 상황 등 사회적 이슈를 악용한 스미싱, 해킹메일 유포를 통해 개인정보를 탈취하고 탈취 정보를 바탕으로 지능화된 보이스 피싱 등 전기통신금융사기가 지속될 것으로 전망된다. 특히 탈취한 개인정보를 분석해 수신자로 하여금 의심을 갖지 않도록 교묘하게 속이는 지능화된 '스피어피싱'이 증가할 것으로 예측된다.

홍진배 과기정통부 정보보호네트워크정책관은 "로그4j 취약점 해결이 장기화될 조짐과 사회적 이슈를 악용한 스미싱 범죄의 지속, 메타버스 등 신기술을 대상으로 한 신종 위협의 출현 등 사이버환경은 더욱 악화될 것"이라며, "기업은 보안내재화를 필수적으로 고려하고, 일반인도 정보보호 실천 수칙 준수를 생활화해 보다 안전한 디지털 세상을 만드는 데 함께하기를 바란다"고 말했다. 

아울러 "정부도 진화하는 사이버위협에 선제적으로 대응하기 위해 K-사이버방역 추진전략 시행과 랜섬웨어 대응 강화 방안 추진 등 노력으로 사이버위협으로부터 안전한 디지털 세상을 만들기 위해 최선을 다하겠다"고 덧붙였다.