아크로니스 코리아(지사장 고목동 www.acronis.co.kr)는 지난 25일 본사 발표를 인용, 2023년  사이버 위협 전망을 전했다.

칸디드 뷔스트(Candid Wuest) 아크로니스 사이버 보호 리서치 부사장은 “세계는 그 어느 때보다 디지털 의존도가 높다. IT 환경은 점점 더 복잡해지고 있으며 복원력(resilience)이 부족한 조직은 보안 사고나 침해 사태가 발생했을 때 비즈니스를 지속할 수 없는 상황에 이를 수 있다”라고 말했다.

아크로니스가 발표한 2023년에 사이버 보안 위협을 발생시킬 수 있는 10가지 요인들의 주요 내용은 ▲인증(Authentication) 정보 탈취 ▲랜섬웨어(Ransomware) ▲데이터 유출(Data breaches) ▲이메일을 넘어 메시징 서비스 공격 ▲암호화폐 거래, 스마트 계약 ▲서비스 제공기업의 소프트웨어를 통한 침투 ▲브라우저를 통한 공격 ▲API를 통한 공격 ▲비즈니스 프로세스의 약점을 분석해 공격 ▲AI/ML를 이용한 공격 증가 등이다.

◆인증(Authentication)…“정말 당신이 맞습니까?” = 인증 및 ID 액세스 관리(IAM)는 더욱 빈번하게 공격받을 것이다. 많은 공격자가 이미 MFA(다중 팩터 인증, Multi-Factor Authentication) 토큰을 훔치거나 우회하기 시작했다.

예를 들어 MFA 푸시 알림을 계속 보내 상대방을 지치게 만들어 로그인 승인 버튼을 누르게 만드는 공격 ‘MFA 피로 공격(fatigue attacks)’과 같은 다른 상황에서 요청이 많은 대상은 취약성 없이 성공적인 로그인으로 이어질 수 있다.

옥타(Okta, 인증서비스 제공기업) 및 트와일로(Twilio, 클라우드 기업)에 대한 최근의 공격은 이러한 외부 서비스도 침해되고 있음을 보여주었다.

이은 물론 지난 몇 년간 여전히 진행 중인 약하고 재사용된 암호가 문제가 돼 발생했다.

따라서 인증이 작동하는 방식과 누가 데이터에 액세스하고 엑세스하는 방식을 이해하는 것이 매우 중요하다.

◆랜섬웨어(Ransomware)…여전한 최대 보안 위협 요인 = 랜섬웨어 위협은 여전히 강력하며 더욱 치밀하게 진화하고 있다.

우리는 더 많은 데이터 유출을 목격하고 있고, 공격자의 진화를 확인하고 있다.

큰 규모의 해킹 조직들은 공격 대상을 맥(Mac)OS 및 리눅스(Linux) 운영체제로 확장했으며 클라우드 환경도 살펴보고 있다.

고(Go) 및 러스트(Rust)와 같은 새로운 프로그래밍 언어가 점점 보편화되고 있어, 보안 환경 분석 툴도 이에 적합하게 조정 및 추가 도입이 필요하다.

특히 사이버 보험에 가입해 랜섬웨어 공격을 대비하는 기업이 늘어날수록, 수익성이 있다는 것을 파악한 해킹조직의 공격 시도가 계속 증가할 것이다.

공격자는 소프트웨어의 최신 업데이트 버전에 몰래 악성코드를 추가, 보안 툴 제거, 백업 삭제, 재해 복구 계획 비활성화에 집중할 것이다.

특히 롯엘(LotL, Living-off-the Land attack, 타깃 시스템에 미리 설치된 도구를 활용해 공격을 하는 행위) 기술이 핵심적인 역할을 할 것으로 보인다.

◆데이터 유출(Data breaches)…IT 인프라의 복잡성으로 대중의 개인 정보 유출 우려 = 라쿤(Racoon) 및 레드라인(Redline)과 자격 증명 정보를 도용하는 맬웨어는 감염의 표준이 되고 있다. 

도난당한 데이터에는 종종 자격 증명이 포함되며, 이는 초기 액세스 브로커를 통해 추가 공격을 위해 판매된다.

상호 연결된 클라우드 서비스의 복잡성과 결합된 데이터 블롭(blobs, 미가공 데이터)의 수가 증가함에 따라 조직이 데이터를 추적하기가 더 어려워질 것이다.

여러 사용자가 데이터에 액세스하면서 데이터를 암호화하고 보호하는 것이 더욱 어려워지고 있다. 

예를 들어 깃허브(GitHub) 또는 모바일 앱에서 유출된 API 액세스 키로 모든 데이터를 훔칠 수 있다. 나의 개인 사생활이 컴퓨팅으로 연결된 세상에서 보호 받기가 더욱 어려워지고 있다.

◆“이메일을 넘어 메시징 서비스 등으로 피싱 공격 방식이 더욱 정교해져” = 악의적인 이메일과 피싱 공격이 계속해서 수백만건 이상 전송되고 있다.

공격자는 이전에 유출된 데이터를 사용하여 공격을 자동화하고 개인화하려고 계속 시도할 것이다. 

BEC(비즈니스 이메일 침해 공격, Business Email Compromise Attacks)은 필터링 및 감지를 피하기 위해 문자 메시지, 슬랙(Slack), 팀즈(Teams) 채팅 등과 같은 다양한 메시징 서비스로 점차 확산될 것이다.

반면에 피싱은 계속해서 프록시를 사용하여 세션 토큰(session tokens)을 캡처하고 MFA 토큰을 훔치고 QR 코드로 위장하는 등 자신을 더욱 숨길 것이다.

◆“암호화폐 거래, 스마트 계약 등을 대상으로 한 정교한 사이버보안 위협 늘어나” = 다양한 블록체인에 대한 암호화폐 거래소 및 스마트 계약에 대한 공격은 계속 이어질 것이다.

공공 기관에 대한 공격을 통해 수억달러의 디지털 통화를 훔치려고 시도한다.

사용자에 대한 고전적인 피싱 및 맬웨어 공격 외에도 스마트 계약, 알고리즘 코인 및 DeFi 솔루션에 대한 보다 정교한 공격이 계속될 것이다.

◆“조직의 외부 서비스 제공 기업들이 설치하는 소프트웨어로 침투해 장기간 머물러” = 서비스 공급기업(SP)은 점점 더 많은 공격을 받고 있다.

공격자는 PSA, RMM 또는 기타 배포 도구와 같은 설치된 도구에 침투하여 몰래 해당 영역에서 오랜 기간 머무르며 공격 시기를 모색한다.

이같은 공격자들은 관리 IT 서비스 제공자일 뿐만 아니라 컨설팅 회사, 연결된 파트너사 등도 공격의 대상으로 삼고 있다.

특히 힘들게 소프트웨어 공급망을 공격하는 방식을 선택하지 않고도 공격에 성공할 수 있다.

◆브라우저를 통한 공격의 증가 = 브라우저를 통해 더 많은 공격이 발생할 수 있다.

거래 대상 주소를 교환하거나 백그라운드에서 암호를 도용하는 악성 브라우저 확장 프로그램.

이같은 도구의 소스 코드를 탈취하고 깃허브(GitHub) 저장소를 통해 백도어를 추가한다.

반면에 웹사이트는 계속해서 자바스크립트를 사용하여 사용자를 추적하고 마케팅 서비스에 대한 HTTP 리퍼러(referrers) 간에 세션 ID를 과도하게 공유할 것이다.

공격자는 작은 추가 스니펫(snippets)이 원래 웹 사이트의 배경에 있는 모든 정보를 훔치는 Formjacking/Magecart 기술을 확장한다.

서버리스 컴퓨팅이 증가함에 따라 이러한 공격에 대한 분석이 더욱 복잡해질 수 있다.

◆“API를 통한 공격으로 클라우드로 연결된 전체 인프라 감염으로 이어져” = 이미 데이터, 프로세스 및 인프라가 클라우드로 상당 부분 이동했다.

이는 서로 다른 서비스 간의 더 많은 자동화로 이어지고 있다. 많은 IoT 기기가 이 대규모 초연결 서비스 클라우드의 일부가 될 것이다.

인터넷에서 많은 API에 액세스할 수 있어 이에 대한 공격이 증가할 것이며, 특히 자동화로 인해 대규모 공격을 유발할 수도 있다.

◆비즈니스 프로세스의 약점을 분석해 공격 = 공격자는 비즈니스 프로세스를 약간씩 수정하는 방법을 사용한다.

예를 들어 조직의 청구(빌링) 시스템 템플릿에서 수신 은행 계좌 세부 정보를 변경하거나 클라우드 버킷(cloud bucket)을 이메일 서버의 백업 대상으로 추가하는 것 등이다.

관련 공격은 종종 맬웨어를 포함하지 않으며 증가하는 내부자 공격과 마찬가지로 사용자 행동에 대한 면밀한 분석을 바탕으로 취약점을 찾아 공격한다.

◆“AI 시대, 허위 정보를 활용한 사기와 AI/ML 모델 자체에 대한 공격 증가” = 이제 AI 및 ML 프로세스는 모든 규모와 산업 분야에서 사용되고 있다.

시뮬레이션이나 기계학습 등으로 생성된 합성 데이터(synthetic data)의 발전으로 딥페이크(허위) 콘텐츠를 사용하는 일부 신원 사기 등이 지속적으로 늘어날 것이다.

더 걱정스러운 추세는 AI 및 ML 모델 자체에 대한 공격이다.

공격자는 모델의 약점을 이용하거나, 데이터 세트에 일부러 편견을 심어주거나, 트리거를 사용하여 IT 운영에 잘못된 경고를 보낼 수 도 있다.

<김동기 기자>kdk@bikorea.net