시만텍이 26일 주요 사이버 범죄 및 보안 위협 동향을 분석한 연간 보고서 ‘시만텍 ‘인터넷 보안 위협 보고서(ISTR)’ 제22호를 발표했다.

이번 시만텍 ‘인터넷 보안 위협 보고서 제22호’에 따르면 ▲정치적 동기를 가진 사보타주 및 체제 전복을 위한 사이버 공격 급증 ▲전세계 금융권 겨냥 대규모 사이버 절도 성공 ▲일반 IT 툴의 무기화를 통한 ‘자력형 공격’ 증가 ▲전세계 랜섬웨어 공격 36% 증가 ▲클라우드 환경의 균열을 노리는 사이버 범죄 등이 주요 보안 위협 동향으로 조사됐다.

◆표적 공격, 산업 스파이 활동에서 정치적 동기로 변화 = 표적 공격이 산업 스파이 활동에서 정치적 동기에 의한 사보타주 미 체제 전복 캠페인으로 변화하고 있다.

사이버 범죄자들은 새로운 그룹을 표적으로 삼고 이들을 무력화시키고자 정치적 파급력이 매우 큰 공격을 감행하고 있다. 2016년 1월 우크라이나 발전소를 겨냥한 사이바 공격, 6월 미국 민주당 중앙위로부터 유출된 데이터가 온라인에 배포된 사건, 12월 우크라이나 정전 사태 등이 대표적이다.

사보타주 형태의 사이버 공격이 과거에 없었던 것은 아니지만 2016년에는 미 선거를 겨냥한 공격 캠페인이나 디스크를 지우는 악성코드인 샤문(Shamoon) 공격 등 몇몇 캠페인이 성공해 사이버 범죄자들이 다른 국가의 정치에 영향을 주고 불화를 유도하려는 시도가 점차 증가하고 있음을 보여줬다.

◆전세계 금융권 겨냥 대규모 사이버 은행 절도 성공 = 2016년에는 실제 은행을 겨냥한 사이버 은행 절도 사건이 성공했다.

북한 사이버 공격 집단은 10억달러를 목표로 한 공격으로 9400만 달러(한화 약 1,060억원)를 탈취했으며, 방글라데시 은행은 8100만달러를 필리핀으로 이체했다.

사이버 은행 절도에 사용된 악성 코드는 ‘Trojan.Banswift’ 였다. 이 악성코드는 SWIFT 인증 정보를 갈취해 자금 이체를 요청했는데 공격자들이 SWIFT에 대한 해박한 지식을 갖고 있음을 입증했다.

Trojan.Banswift는 2015년 베트남, 에콰도르에 이어 2016년 필리핀, 폴란드 등 1년 동안 30여개 104개 은행을 공격했다. 시만텍은 Trojan.Banswift가 북한이 배후에 있는 라자러스(Lazarus) 조직과 연관성이 있다는 증거를 발견했다.

◆이메일은 공격자들이 가장 선호하는 수단 = 2016년에 주목할 만한 또 다른 양상은 사이버 범죄자들이 공격을 목적으로 제로데이 취약점이나 익스플로잇, 전문화된 악성코드를 이용하는 것이 아니라, 쉽게 이용할 수 있는 IT 자원을 동원해 공격 캠페인에 복합적으로 활용하는 ‘자력형 공격’이 늘고 있다는 점이다.

일례로, 지난해 시만텍은 사이버 범죄자들이 PC에 설치되는 일반적인 스크립트 언어인 파워쉘(PowerShell)이나 흔히 사용하는 MS 오피스 파일을 무기로 활용해 공격한 사례를 확인했다.

시스템 관리자들이 일상적인 관리 업무에 사용하는 IT 툴을 이용하면 공격의 흔적을 덜 남길 수 있고 눈에 잘 띄지 않는다는 점을 노렸다. 실제로 시만텍이 여러 곳에서 확인한 파워쉘 파일의 95%는 악성으로 확인됐다.

2016년에 등장한 악성 코드는 4억100만개였는데 이 가운데 89%가 2016년에 처음 발견됐다. 매일 100만개의 악성 코드가 생성되고 있는 셈이다.

이밖에 지난 해에 공격자들이 선호하는 공격 수단으로 이메일 사용이 급증하면서, 일반 사용자들에게는 더 큰 위협이 되고 있다.

이메일 131건 당 1건의 이메일에 악성 링크 또는 악성 첨부문서가 포함된 것으로 나타나 최근 5년 중 가장 높은 수치를 기록했다. 또한 정교한 스피어피싱 이메일에 의존하는 ‘업무 송금 유도 이메일 사기(BEC, Business Email Compromise scam)’를 통해 지난 3년간 기업에서 빼낸 금액이 30억 달러(한화 약 3조3795억원)에 이르며, 매일 400개 이상의 기업이 표적이 되고 있다.

◆클라우드 환경의 균열을 노리는 사이버 범죄 = 기업들의 클라우드 서비스 의존도가 증가함에 따라 공격 위협에 대한 노출도 증가하고 있다.

지난해 한 서비스 사업자는 인증시스템이 구동되지 않은 상태에서 사용자들이 과거의 DB를 인터넷 상에 올리는 바람에 수십만 개의 클라우드 데이터베이스가 장악되었고, 금전요구를 받은 사례가 있었다.

시만텍의 데이터에 따르면, CIO들이 조직 내에서 얼마나 많은 클라우드 앱이 사용되고 있는지 제대로 파악하지 못하고 있는 것으로 나타났다. CIO들은 평균적으로 최대 40여 개의 클라우드 앱을 사용하고 있을 것이라고 응답했으나, 실제 기업들이 사용하고 있는 클라우드 앱은 평균 1,000개에 육박했다.

이러한 인식과 현실간의 차이는 클라우드 서비스 접속과 관련한 기업의 정책 및 절차의 부재로 이어질 수 있으며, 더 나아가 클라우드 앱이 위험한 환경에 놓일 수 있다.

클라우드 환경에서 발생하는 균열은 점차 구체화되고 있다. CIO가 조직에서 사용하고 있는 클라우드 앱을 철저하게 관리하지 못할 경우, 새로운 방식으로 위협이 들어오게 될 가능성도 늘어난다.

◆ IoT, 인터넷 연결 후 2분내 감염 = IoT 디바이스는 상대적으로 보안이 취약해 공격자에게 손쉬운 표적이 되면서 공격이 본격화되고 있다.

2016년에는 IoT를 겨냥한 최초의 대형 보안 사고가 발생했다. 라우터, 보안 카메라 등 IoT 디바이스로 구성된 미라이(Mirai) 봇넷이 사상 최대 규모의 디도스(DDoS) 공격을 감행했다.

시만텍의 분석에 따르면, 2016년에 IoT 디바이스에 대한 공격 시도가 2배나 증가했으며, 또한 공격 시도가 최고로 활발한 때에는 평균적인 IoT 디바이스의 경우 2분마다 한 번씩 공격을 받은 것으로 조사됐다.

또 2004년 PC를 인터넷에 연결한 후 공격을 받기 까지 걸린 시간이 4분 미만이었는데 IoT는 2분내로 공격받는 것으로 나타났다.

◆전세계 랜섬웨어 공격 36% 증가…평균 122만원 요구 = 랜섬웨어(ransomware)는 전세계적인 문제가 되고 있고, 범죄자들에게는 여전히 수익성이 높은 비즈니스로 이용되고 있다.

시만텍은 2016년 한 해 100개 이상의 신규 랜섬웨어 패밀리(동일한 범주로 구분한 변종 악성코드의 집합)를 발견했다. 전세계 랜섬웨어 공격은 36%나 증가했다.

공격자들이 랜섬웨어 공격 대상으로 삼은 국가 1위는 ‘미국’으로 나타났다. 시만텍이 랜섬웨어 피해자가 금전 요구에 지불할 용의가 있는지 파악한 결과, 전세계 평균이 34%인 것에 비해 미국인은 64%가 금전 요구에 지불할 용의가 있다고 답변했다.

2016년 랜섬웨어 범죄자들이 평균적으로 요구한 금액은 평균 1,077달러(한화 약 122만원)로 2015년 294달러(한화 약 33만원)에서 약 3.7배 수준으로 증가했다.

<박시현 기자> pcsw@bikorea.net