보안 전문 기업 이스트시큐리티(대표 정진일)가 2023년 보안 이슈 회고 및 2024년 보안 위협 전망을 발표했다.

이스트시큐리티는 2024년에 주의해야 할 보안 위협으로 ▲제로데이 취약점을 악용한 SW 공급망 공격의 증가 ▲모바일 타깃 공격의 지속 및 고도화 ▲사이버 공격자들의 생성형 AI 활용 증가 ▲정치적 목적을 가진 핵티비즘의 증가 ▲IoT/OT 시스템 타깃 보안 위협 증가를 꼽았다. 

제로데이 취약점 악용 SW 공급망 공격 증가

제로데이 취약점을 이용한 SW 공급망 공격이 증가할 것으로 예상된다. SW 공급망은 하나의 취약점이 전체 공급망에 영향을 미치며, 신뢰 기반으로 진행되기에  탐지가 어렵다. 또한 제로데이 취약점의 경우 패치가 존재하지 않아 일단 공격에 성공하면 대규모 공격이 가능하다.

올해 발생한 3CX 공급망 공격으로 전 세계 여러 기업과 기관이 피해를 입었으며, 국내에서도 보안인증 SW 취약점을 이용한 대규모 공격 시도가 발견되어 보안 권고문이 공개되었다.

2024년도에는 공급망의 제로데이 취약점을 악용하는 공격의 빈도와 수위가 한층 더 높아질 것으로 예상되는 만큼, 기업 및 기관에서는 소프트웨어 재료 명세서(SBoM) 작성, 주기적인 취약점 점검 등을 통해 공급망 보안을 강화해야 한다.

모바일 타깃 공격의 지속 및 고도화

모바일 환경을 타깃으로 한 공격이 지속 및 고도화될 것으로 예상된다. 공격자들은 부고, 쓰레기 무단투기 등과 같은 새로운 스미싱 키워드들을 지속적으로 발굴하고 있다. 또한 공격자가 설정해 놓은 특정 조건에 부합해야 악성 앱이 다운로드 되는 등 백신사 및 통신사들의 탐지를 우회하는 공격 방식의 다변화가 지속될 것이다.

모바일 사용자들의 개인정보 탈취를 시도하는 웹 기반 피싱과 정상 앱에 악성코드를 삽입한 리패키지 앱들처럼 고도화된 방식들을 이용한 위협도 증가할 것으로 예상된다.

안전한 모바일 사용 환경을 위해 메시지 내 링크 클릭을 지양하고 반드시 공식 앱 스토어를 통해 앱을 설치해야 한다. 또한 실수로 악성 앱을 설치하더라도 삭제할 수 있게 알약M과 같은 모바일 백신을 설치하는 것이 좋다.

생성AI 악용 증가

생성AI에 대한 관심과 활용이 급증하는 가운데 사이버 공격자들 역시 생성AI 기술을 악용하고 있다. 올해 생성AI를 탐색하고 습득했다면 2024년은 실제 공격에 적용하고 활용하는 해가 될 것이다.

스크립트 키디(Script Kiddie)들은 생성AI를 통해 악성코드 제작, 취약점 검색 등을 시도할 것이며, 피싱 공격자들을 다국어를 자연스럽게 구사하는 피싱 메일을 전 세계에 유포할 수도 있다. 뿐만 아니라 해커들만을 대상으로 서비스를 진행하는 생성형 AI도 다수 공개될 수도 있다.

생성AI를 활용한 해킹 공격이 증가할 것으로 예상되는 만큼 기업에서는 정보 보안에 각별한 신경을 쓰고, 주기적인 보안 교육을 통해 임직원들의 보안의식을 향상하고 보안 위협에 대응할 수 있도록 노력해야 한다.

정치적 목적을 가진 핵티비즘의 증가

핵티비즘(hacktivism)은 정치·사회적 목적으로 이루기 위해 해킹하거나 목표물인 서버 컴퓨터를 무력화하고 이런 기술을 만드는 운동을 말한다. 

2024년은 역대 최대 규모의 글로벌 선거 시즌이다. 글로벌 질서에 상당한 영향을 미치는 미국을 포함한 70여 개의 국가에서 선거가 이루어질 전망이며, 특정 그룹이나 후보자 지지하기 위해 선거 과정 개입을 목적으로 하는 해킹 공격이 증가할 것으로 예상된다.

우리나라도 총선이 예정되어 있어 북한의 사이버 공격과 공작 활동의 위협이 증가할 것으로 보이는 만큼 핵티비즘에 철저히 대비하는 한 해가 되어야 할 것이다.

IoT/OT 시스템 타깃 보안 위협 증가

IoT/OT 시스템을 타깃으로 하는 보안 위협이 증가할 것으로 예상된다. 산업 분야에 대한 자동화 요구가 증가 함에 따라, 생산성 효율 향상과 효과적인 운영 및 제어를 위해 OT 시스템과 IT 기술이 결합된 스마트팩토리 및 산업자동화로 변화하고 있다. 그뿐만 아니라 우리 주변에 흔히 볼 수 있는 IoT 기기들은 우리 생활에 편리함과 실용성을 더해주고 있다.

IoT/OT 시스템은 생산성과 실용성 중심으로 설계되다 보니 상대적으로 보안에 취약한 편이다. 때문에 취약점이 발견되어도 실제 패치가 적용되는 경우는 매우 드물어 공격자들에게 좋은 공격 대상이다.

기업 및 기관들은 제로 트러스트 도입, 위협 가시화 및 통제 방안 등 IoT/OT 시스템 보안 강화를 위한 보안 정책을 수립하고 대책을 모색해야 한다.

한편 이스트시큐리티는 2023년을 달군 보안 이슈로 ▲북한 해킹 조직, 글로벌 공격 지속 ▲제로데이, n-day 취약점을 악용한 공격 증가 ▲불안한 국제정세 속 사이버전 확산 ▲악의적인 목적의 생성형 AI 등장 ▲피싱 공격의 정교화를 꼽았다.

이스트시큐리티 ESRC 관계자는 “24년도에는 다양한 산업 분야의 공급망, OT 시스템 등을 타깃으로 한 해킹 공격이 증가할 것으로 전망된다. 기술적인 대책 뿐 아니라 관리적인 대책도 중요한 만큼, 보안 담당자들은 기업의 특성과 운영 환경을 고려한 종합적인 보안 정책을 마련하여 기업의 정보자산을 효과적으로 보호해야 한다."고 밝혔다.