2018년도 주목해야 할 보안 이슈

1. 암호화폐

2017년 하반기 암호화폐는 열풍을 넘어 광풍 수준이었다. 17년 1월 100만원 정도 였던 비트코인 시세는 올해 12월 2,100 만원 까지 상승했다. 이런 열풍에 따라 암호화폐 거래소와 유사 암호화폐도 우후죽순으로 생겨났다. 현재 암호화폐는 대학생부터 중 · 장년 층까지 연령과 상관없이 관심을 갖는 분야이기 때문에 해커의 주요 공격 표적이됐다. 특히 암호화폐 거래소는 보안 취약점이 노출돼 해킹 등 다수의 보안사고가 발생했다.

작년 6월 국내의 한 암호화폐 거래소는 해킹으로 회원정보 약 3만 건, 고객 계정 약 5천 건이 유출됐다. 또한 12월 모 암호화폐 거래소는 해킹 공격으로 약 170억 원의 피해를 입고
파산했다. 지속적인 피해 발생으로 현장 조사 등 조치를 취하고 있지만, 근본적인 해결 방안이 되지 못한다는 게 현실이다. 2차, 3차 피해 방지를 위해 정부 차원의 제도 개선 뿐 아니라 암호화폐 거래소도 자체적인 보안 강화 노력이 필요하다.

[그림설명 : 비트코인] (출처 – 위키페디아)

2. GDPR (General Data Protection Regulation)

개인정보보호는 이제 선택이 아닌 필수다. 개인정보의 중요성은 국내뿐 아니라 세계적으로 확장됐다. 일본은 2016년 1월 ‘마이넘버 제도’가 시행됨에 따라 개인정보보호 관련 규정이 강화됐다. 일본에 이어 유럽도 올해 유럽연합 개인정보보호 규정(이하 GDPR)이 5월 25일
시행 예정이다.

GDPR 시행 이후 유럽 연합(EU)의 시민 데이터를 활용하는 경우 사용자가 본인의 데이터 처리 관련 사항을 제공 받을 권리, 열람·정정·삭제·처리 제한 요청 권리, 데이터 이동 권리, 처리 거부 요청 권리, 개인정보의 자동 프로파일링 및 활용에 대한 결정 권리를 준수해야 한다. GDPR의 특징은 법 적용 대상이 EU 내 기업뿐 아니라 EU 시민을 대상으로 상품이나 서비스를 제공하는 일정 규모 이상의 전세계 모든 기업이며, 법 위반 시 직전 년도 매출의 2~4% 또는 최대 2 천만 유로(약 250억 원)으로 처벌 규정도 상당히 무겁다. 조항들이 까다로우 며, 적용 개인정보의 범위(기본 신상정보(이름, 주소, ID 등), IP/쿠키, 데이터, RFID 태그 정보, 바이오 정보, 인종 및 민족 정보, 정치적 의견, 성적 취향 등)도넓어 연관된 국내 기업들 대부분이 대응에 어려움을 겪고 있다. 최근 행정안전부, KISA 등 정부 기관은 EU본부와의 현지 간담회 개최(16년 11월) 및 GDPR 대응을 위한 가이드라인과 안내서를 발간했다. 가이드라인과 안내서는 개인정보보호 종합포털(http://www.privacy.go.kr)과 KISA 홈페이지 자료실(http://www.kisa.or.kr)에서 각각 다운로드 받을 수 있다.

[그림설명 : GDPR] (출처 – gdpr.org)

3. 랜섬웨어

2017년 최고의 보안 이슈였던 랜섬웨어가 2018년에도 여전히 기승을 부릴 것으로 전망된다. KISA의 ‘2018년 7대 사이버 공격 전망’ 자료에서 랜섬웨어가 작년보다 더욱 지능화될 것이라 밝혔다. 이미 2017년 하반기에는 Windows 기반의 PC를 대상으로 감염시킨 랜섬웨어가 이제 리눅스 OS가 적용된 서버로까지 확산됐다. 여기에 알려지지 않은 취약점을 이용해 제로데이 공격이나 정상 소프트웨어 내 랜섬웨어를 숨기는 서플라이 체인 공격도 성행할 것으로 예상된다.

또한 금전적인 목적에서 벗어나 사이버테러 목적의 랜섬웨어가 증가할 것으로 보인다. 금전 갈취 목적이 아닌 데이터 암호화 또는 시스템파괴 목적의 공격이 이에 해당한다. 암호화폐의 가치가 지속 상승함에 따라 랜섬웨어의 공격은 더욱 더 강력해지고, 잦아질 것으로 전망된다.

[그림설명 : 랜섬웨어] (출처 – 나무위키)

4. IoT (Internet of things)

최근 보안 담당자 또는 업계 관계자에게 향후 위협이 될 보안 이슈가 무엇인지 물어보면 대부분 IoT 보안을 말한다. KISA에서 발표한 ‘2018년 7대 사이버 공격 전망’에서도 IoT 보안이 꼽힐 정도다. 무선 공유기, 드론, 스마트 가전 등 IoT는 짧은 시간 내에 우리 생활 깊숙이 자리잡았다.

하지만 IoT 기기의 확산에 비해 보안은 거의 전무한 수준이다. 보안에 취약한 IoT 기기가 봇넷의 주요 도구로 활용되는 것은 이미 알려진 지 오래다. IoT 기기가 공격을 받을 경우 정보 유출의 위험뿐만 아니라 웹 사이트를 공격하는 도구로 활용될 수 있기 때문에 더욱 보안에 신경을 써야 한다. 기기 종류가 다양할 뿐만 아니라 기기에 포함된 OS까지 다양하기 때문에 보안 기술을 적용하기가 사실상 어렵다.

이에 KISA는 지난 12월부터 IoT 보안 인증제를 시행키로 했다. IoT 보안 인증제를 통해 기기 제조 업체는 제품을 인증 받아 안정성을 확보하고, 소비자는 안전한 기기를 구매해 정보 유출 등 피해를 사전에 예방할 수 있다.

[그림설명 : IoT] (출처 – 산업통상자원부 블로그)

5. 사회적 이슈를 노린 공격

2018년 우리나라에서는 평창 동계올림픽(2월), 지방선거(4월) 등 나라 안팎으로 다양한 행사가 있을 예정이다. 특히 올림픽 등 중요 국제 행사의 경우 해커의 주요 공격 타겟이 된다. 이에 전문가들은 사회적 이슈를 이용해 해킹, 디도스(분산서비스 거부) 등 다양한 사이버 공격이 발생 것으로 예상한다.

실제로 리우 올림픽과 런던 올림픽의 경우 각각 약 2천만 회, 2억 회에 이르는 홈페이지 디도스 공격이 발생했다. 평창올림픽조직위원회는 사이버 공격대응을 위해 이달 3일 강원도 강릉에 정보통신운영센터를 개소했다. 정보통신운영센터에서는 사이버 공격대 대응 뿐아니라 올림픽 전 베뉴를 연결하는 통신망 운영, 첨단 기술 융합을 통한 지능화된 서비스 제공, 각종 IT 장비 구축 및 운영 등 올림픽 전반의 정보통신 관련 모든 서비스를 제공할 예정이다.

지방선거도 마찬가지로 홍보 및 정보 탈취 목적의 사이버 공격의 발생할 것으로 보인다. 특히 선거 정보 제공 및 홍보 목적의 e메일에 악성코드를 포함해 배포하는 사례가 발생할 수 있어 인터넷과 이메일 이용자들의 각별한 주의가 필요하다.

[그림설명 : 평창올림픽로고] (출처 – 평창올림픽조직위원회)

6. CPU 보안 취약점

2018년 현재 보안업계의 가장 큰 화두는 단연 CPU 보안 취약점이다. 지난 3일 구글 프로젝트 제로팀의 CPU 취약점에 관한 보고서 공개로 전 세계가 충격에 빠졌다. 특히 취약점이 발견된 CPU가 인텔, AMD, ARM사의 제품으로 밝혀지면서 보안 위협에 대한 불안이 고조되고 있다. 이번에 발견된 취약점은 멜트다운과 스펙터 취약점이다.

멜트다운은 대부분의 인텔 CPU와 ARM의 일부 CPU에서 발생한 보안 취약점으로 마이크로프로세서가 컴퓨터의 메모리 전체를 확인하도록 프로그램 접속을 허용하며, 이로 인해 전체 컴퓨터의 내용에 접근이 가능하다. 스펙터는 인텔 뿐 아니라 AMD, ARM 프로세서도 발견됐으며, 동작 방식은 멜트다운과 유사하다.

현재 인텔, AMD, ARM 등 CPU 제조사부터 마이크로소프트(Windows), 레드햇(Linux), Vmware, 애플(MacOS, iOS), 구글(Android) 등 OS 제조사까지 보안 패치를 제작, 배포 중이다. 일부 보안 패치의 경우 CPU 성능 저하 등 결함이 발견되면서 보안 취약점 해결은 상당 기간 지속될 것으로 보인다. CPU의 보안 취약점 문제는 9페이지 ‘CPU 버그, 그것이 알고 싶다’에서 자세히 다루었다.

참고자료
[ITWORLD] 가트너, 2018년 10대 전략 기술 트렌드 발표 2017-10-17
[보안뉴스] 꼭 봐야할 2018년 보안위협 동향 5가지 2017-11-15
[보안뉴스] 가상화폐 거래소 유빗(구 야피존), 또 해킹당해 파산 선언 2017-12-19
[SBS] ‘제2의 유빗 파산 사태’ 언제든 가능…허술한 보안체계 2017-12-21
[브릿지경제] 가상화폐 거래소, 사이버범죄 새 타깃으로 떠올라 2017-12-21
[한국정보통신기술협회] 용어사전 (개인정보보호 규정)
[한국인터넷진흥원] KISA, ‘우리 기업을 위한 GDPR 가이드라인’ 발간 2017-12-11
[디지털데일리] IP카메라부터 커넥티드카까지, 보안 잘 한 IoT기기 KISA에서 인증서 부여 2017-10-17
[전자신문] IoT 보안인증제 어떻게 준비하나 2017-11-27
[DATANET] 내년 사이버 보안 키워드 ‘취약점·IoT·랜섬웨어’ 2017-12-11
[아이뉴스24] 평창올림픽 사이버 공격 시작되나 2017-12-18
[평창올림픽조직위원회] 평창올림픽 정보통신 컨트롤타워 ‘정보통신운영센터’ 운영 돌입 2018-01-03
[한겨례] 새해부터 시끌시끌 ‘인텔 CPU 사태’ 무엇이 문제인가? 2018-01-12
[위키백과] 멜트다운 (버그)
[위키백과] 스펙터 (버그)