SK텔레콤, 롯데카드, 쿠팡, KT, 티빙, 예스24, 듀오, 강남언니, 국립외교원, 정보통신기획평가원 등 사기업과 공공기관을 가리지 않고 줄줄이 뚫렸다. 일련의 해킹 사태의 조사 결과를 들여다보면 공통점이 있다. AI가 만든 고도화된 공격이 원인이 아니라, 담당자조차 잊고 있던 ‘사소한 기본 위반’에서 해킹이 시작됐다는 점이다.
쿠팡을 뚫은 건 대체 인증 시스템을 직접 개발했던 전직 직원이었다. 그가 퇴사한 뒤에도 서명키를 갱신하거나 폐기하지 않은 게 화근이 됐다. SKT는 외부 인터넷과 연결된 서버에 아이디와 비밀번호를 암호화 없이 그대로(평문) 저장해뒀다가 코어망까지 내줬다. 티빙은 개발자의 접속키를 탈취당했는데, 애초에 그 접속키를 소스코드에 그대로 넣어둔 게 문제였다.
|
이데일리는 각기 다른 자리에서 보안을 들여다보는 전문가 6인을 인터뷰해 이른바 보안 잘하는 기업, 보안을 잘하고 싶은 기업이 준비하고, 실천해야 할 것들에 대해 조언을 들었다.
전문가 6인은 실제 침해사고를 조사하고 위협을 추적하는 안랩(053800) 사이버시큐리티센터(ACSC)의 박태환 본부장, 네트워크 흐름으로 공격자의 흔적을 쫓는 보안기업 나루시큐리티의 김혁준 대표, 화이트해커를 이끌고 기업에 직접 모의침투를 시도하는 라온시큐어(042510) 화이트햇센터의 김동민 팀장, 기업이 인터넷에 무엇을 열어놨는지 감시하는 공격표면 관리(ASM) 전문기업 AI스페라의 강병탁 대표, 클라우드와 게임 등 대규모 서비스를 직접 운영하며 사내 정보보호 정책과 개발 보안을 총괄하는 조성민 NHN(181710) 이사(정보보호정책실장), 기업 보안 컨설팅을 하는 티오리의 박관순 최고정보보호책임자(CISO) 등이다.
이들이 한목소리로 강조한 것은 “보안 제품의 개수가 아니라, 자기 내부를 얼마나 정확히 보고 얼마나 빨리 닫느냐”였다.
AI로 빨라진 공격속도...“서버 등 모든 IT 자산 챙겨야”
박관순 CISO는 최근 발생한 대형 개인정보 유출사고의 발단을 “화려한 해킹 기술이 아니라 사소한 기본 수칙 위반과 누적된 보안 부채”라고 규정했다.
그는 AI의 고도화의 사례로 과거 몇 주씩 걸리던 리눅스 커널급 고위험 취약점 분석이 지금은 AI 덕에 몇 시간에서 하루 단위로 줄었다는 점을 예로 들었다.
강병탁 대표도 같은 진단을 내놨다. 그는 “공격자는 정문이 아니라, 뒤쪽 창문 하나가 열려 있으면 그쪽으로 들어온다”며 “AI가 무서운 건 담당자조차 잊고 있던 이런 작은 구멍을 훨씬 빨리 찾아내기 때문”이라고 설명했다.
전문가들이 첫 단추로 꼽은 건 공격표면 관리(ASM)다.
강 대표는 “많은 기업이 자기 회사가 인터넷에 무엇을 열어놓고 있는지 정확히 모른다”고 지적했다. 흥미로운 건 이게 대기업만의 숙제가 아니라는 점이다.
그는 “예산이 부담되는 중소기업이라면 한국인터넷진흥원(KISA)이 무료로 제공하는 ASM 기반 점검 지원사업부터 이용하라”고 조언했다.
박관순 CISO도 “최초 침투는 대부분 담당자조차 존재를 잊은 방치된 자산에서 시작된다”고 했다.
인증정보 관리는 ‘절대 안 새게’를 넘어 ‘새는 순간 바로 찾아내기’로 가야 한다는 데도 의견이 모였다.
조성민 이사는 NHN이 소스코드 저장소를 아예 사내에 구축해 외부 접근을 원천 차단하고, 코드가 올라가기 전 인증키가 섞여 있는지 자동으로 걸러내는 통제를 구축 중이라고 밝혔다. 특히 AI가 코드를 대신 짜주는 ‘바이브 코딩’이 늘면서, AI에게도 인증정보를 직접 적어 넣지 말라고 가르치는 개발 보안 가이드를 회사가 자체 제작해 배포했다고 전했다.
김동민 팀장도 “키는 발급부터 폐기까지 이력을 남기고 짧은 주기로 교체해야 하며, 유출이 의심되면 즉시 폐기할 수 있어야 한다”고 강조했다.
|
해커의 침입 이후에도 다른 방으로 못 넘어가도록 서버 등 자산을 분리 해야한다는 점도 전문가들의 공통 의견이다.
박관순 CISO는 이를 ‘가드레일’이라 부르며 “사람은 언제든 실수할 수 있다는 전제 아래, 임직원의 실수가 시스템 전체 사고로 번지지 않게 막는 기술적 통제를 갖춘 기업이 공격자에게 가장 까다롭다”고 했다.
김동민 팀장은 실제 모의해킹 경험에서 가장 뚫기 어려운 사례로 “메인 페이지만 있고 서비스가 없는 기업이 가장 뚫기 어렵다. 기능 자체가 없으니 침투할 문도 없기 때문”이라고 예를 들었다.
이어 김 팀장은 “그다음으로 어려운 건 한 지점이 뚫려도 다음 단계로 넘어가기 어렵고, 작은 이상행위에도 조직이 빠르게 반응하는 기업”이라고 했다. 중요 시스템은 관리 단말과 다중인증을 거쳐야 하며, 개발·운영 환경이 분리돼 외부 전송도 제한되는 구조다.
김혁준 대표는 “공격자가 내부 환경을 파악하는 수준이 방어자의 가시성을 넘어서는 순간, 공격 행위는 방어자의 레이더에서 완전히 사라진다”며 “이를 막기 위해 평소 정상적인 업무 범위를 데이터로 정의해두라”고 조언했다.
어떤 서버가 평소 어디와 통신하는지 기준이 있어야, 낯선 외부 주소로 통신하거나 업무상 이유 없이 고객 정보를 대량 조회하는 순간을 곧바로 이상행위로 걸러낼 수 있다는 것이다.
박태환 안랩 본부장도 “고객 정보를 한 서버에 몰아 저장하지 말고 목적과 중요도에 따라 분리해야 한다”며 “다중인증 체계가 적용된 기업은 공격자가 온라인에서 확인한 정보만으로 침입하기 쉽지 않다”고 덧붙였다.
“침입 발견 후 대처 골든타임 중요...침입자는 기다려주지 않는다”
대부분 해킹 사례가 보여주듯 정보보호 관리체계(ISMS) 등 정부 보안 인증은 최소한의 의무라고 볼 수 있다.
박관순 CISO는 “인증은 컴플라이언스 기준점일 뿐 실시간으로 진화하는 침투를 막는 실전 방화벽이 아니다”라며 “1년에 한두 번 받는 정기 점검은 특정 시점의 상태만 보는데, 지금 공격은 초 단위인 ‘기계의 속도’로 움직인다”고 말했다.
조성민 이사는 “사고 이력보다 정부 정보보호 공시 수치의 추세가 훨씬 객관적인 지표”라며 “경영진은 이 숫자가 자신에게 정기적으로 보고되는 체계가 있는지, 보안 조직이 사업 부서 눈치를 보지 않고 문제를 제기할 수 있는 위치에 있는지부터 확인해야 한다”고 말했다.
강 대표는 진짜 방어 능력이 갈리는 지점을 시간으로 봤다.
그는 “취약점이 발견돼도 담당 부서 확인과 일정 협의로 몇 주씩 흘려보내는 기업이 있는 반면, 잘하는 기업은 일단 차단하고 바로 조치한다”며 “공격자는 그 몇 주를 기다려주지 않는다”고 말했다.
김 팀장도 “제품 수나 예산 총액보다 위험을 얼마나 빨리 발견하고 줄이는지에 대한 속도 지표가 중요하다”며 “발견부터 조치까지 걸리는 기간과 기한 초과 건수를 경영진이 직접 챙겨야 한다”고 했다.
전문가들은 같은 결론에 이르렀지만, 주요하게 보는 지점은 조금씩 달랐다.
박태환 본부장은 실제 사고를 대응해 온 경험에서 다중인증과 정보 분산 저장 같은 ‘기본기’를, 김혁준 대표는 침해 흔적을 추적한 현장 경험에서 공격자보다 넓은 ‘가시성’을 확보하는 것을, 김동민 팀장은 모의해킹을 해온 화이트해커의 시선에서 뚫린 뒤 확산을 막는 ‘내부 통제’를 각각 가장 중요하게 짚었다.
강병탁 대표는 공격표면 관리 전문가답게 ‘노출 자산 파악’과 ‘조치 속도’를 시종일관 강조했고, 조성민 이사는 실제 서비스를 운영하는 기업 내부자로서 개발 단계의 ‘사전 예방’과 경영진이 볼 수 있는 ‘정보보호 공시’ 같은 제도적 지표를 앞세웠다. 박관순 CISO는 보안 컨설팅과 공익 취약점 신고 활동을 함께 해온 경험에서 ‘보안 부채’라는 개념과, 사람의 실수를 전제로 한 ‘가드레일’ 설계를 가장 강하게 밀었다.
