"Log4j 문제 해결 쉽지 않아…내년 사이버환경 악화 전망"

과기정통부·KISA, 사이버위협 관련
'2021년 분석·2022년 전망' 자료 발표
기업 보안내재화 필수…개인도 주의해야

[이미지출처=연합뉴스]

[아시아경제 차민영 기자] 2021년은 전세계적으로 사이버위협이 급증한 해였다. 해외에서는 에너지·식료품 공급망 등 인프라 시설을 겨냥한 랜섬웨어 공격이 발생했고 국내서는 한국원자력연구원, 한국항공우주산업(KAI)을 비롯한 기관·기업들이 해킹 공경을 당했다. 국내 아파트 월패드를 해킹해 확보한 개인 사생활이 담긴 영상이 다크웹에서 거래됐으며 Log4j 취약점 문제도 드러났다. 정부는 "내년 사이버환경이 더욱 악화될 것"이라며 기업과 개인에 주의를 당부하고 나섰다.

올해 무차별 랜섬웨어·월패드 해킹

과학기술정보통신부는 한국인터넷진흥원(KISA)과 26일 이 같은 내용을 포함한 '2021년 사이버위협 동향 분석'과 '2022년 사이버위협 전망'을 발표했다. 내년 전망에는 안랩, 빛스캔, 이스트시큐리티, 하우리, 잉카인터넷, NSHC 등 국내 주요 보안기업들이 참여했다.

올해 사이버위협의 주요 특징은 ▲대상을 가리지 않는 랜섬웨어 공격 ▲해커의 타겟이 된 비대면 서비스 환경 ▲월패드 해킹 등 일상을 파고든 점이다.

랜섬웨어 피해 통계를 보면 보안에 취약한 중소기업이 93%, 서울 외 지역이 63%를 차지한다. 특히 자료 백업을 하지 않아 랜섬웨어 피해 복구가 어려운 경우가 65%에 달했다. 비대면 근무·교육 환경으로 원격보안접속 프로그램과 이메일, VPN 솔루션 취약점을 악용하는 사례도 늘었다. VPN솔루션은 재택근무 등 원격 환경에 대한 데이터 암호화 등 보안성을 확보해 주는 인터넷 회선 서비스다. 국내 다수 아파트 월패드가 해킹돼 사생활 영상이 다크웹에서 공공연히 판매되기도 했다.

Log4j 문제 장기화…IoT·클라우드 위협 증가

정부와 주요 보안기업들은 내년에도 사이버위협이 지속될 것으로 보고 있다. 주요 특징으로는 ▲Log4j 취약점 문제의 장기화와 공급망 보안위협 ▲다양한 사물인터넷(IoT·Internet of Things) 기기 대상 사이버위협 증가 ▲끊나지 않는 랜섬웨어와의 싸움 ▲디지털 대전환의 핵심 인프라, 클라우드 보안 위협 ▲메타버스, 대체불가능토큰(NFT), 인공지능(AI) 등 신기술 대상 신종위협 발생 ▲사회적 이슈를 악용한 스미싱, 해킹메일 지속 등을 꼽았다.

이달 전세계를 강타한 Log4j 취약점 문제 역시 해결의 복잡성으로 인해 내년에도 사용자주의가 필요하다. Log4j는 프로그램 동작 과정에서 일어나는 일련의 기록을 남기기 위해 이용하는 오픈소스(무료) 프로그램이다. 과기정통부는 "소프트웨어 개발부터 유지관리까지 수요자 측면에서 소프트웨어 사용주기(SDLC·Software Development Life Cycle) 보안 강화가 필요하다"고 짚었다.

월패드 등 사물인터넷(IoT) 기기 대상 공격시도가 이어지면서 AI 스피커, 스마트 TV, IP카메라, 드론, 스마트카 등 IoT 기기 전반에 대한 사이버위협도 늘어날 전망이다. IoT 애널리틱스에 따르면 2025년 IoT 연결 기기 수는 309억대로 2021년 138억대에서 두 배 이상 늘 것으로 추정된다.

랜섬웨어 이슈도 지속된다. 추적이 어려운 가상자산의 활성화와 서비스형 랜섬웨어(RaaS·Ransomware as a Service) 분야에서 신유형 범죄가 발생할 것으로 관측된다. RaaS는 랜섬웨어 개발, 유포, 관리 등이 분업화된 서비스다. 과기정통부는 "기업의 랜섬웨어 방어체계, 특히 백업체계를 무력화하기 위한 공격 시도 증가와 공격 이후 복구를 미끼로 한 다크웹 공개 협박, 추적이 어려운 가상자산을 요구하는 형태로 랜섬웨어 공격이 지속될 것"이라고 설명했다.

디지털 대전환 시대 핵심 기반인 클라우드 관련 보안 위협도 늘 것으로 관측됐다. 클라우드 컴퓨팅은 자원공유, 가상화 등의 특성으로 인해 보안 위협이 내재화돼 있기 때문이다. IT자원과 사용자 정보가 집적돼 있어 해킹, 디도스(DDoS) 등의 공격 표적이 되기 쉽다. 사고 발생 시 피해 규모도 더 클 수 있다.

이외에도 메타버스와 NFT, AI 등 신기술 대상의 신종 사이버위협이 발생할 것으로 예상됐다. 코로나19 상황, 3월 대선 등을 앞두고 사회적 이슈를 악용한 스미싱·해킹메일 범죄도 우려되는 상황. 개인정보를 바탕으로 교묘한 지능형 낚시성 피싱 범죄도 늘 것으로 예상돼 개개인의 주의가 필요하다.

홍진배 과기정통부 정보보호네트워크정책관은 “Log4j 취약점 해결이 장기화될 조짐이 있고, 사회적 이슈를 악용한 스미싱 범죄와 메타버스 등 신기술 대상의 신종 위협 등으로 사이버환경은 더욱 악화될 것"이라며 "기업은 보안내재화(Security by Design)를 필수로 고려하고 국민들은 정보보호 실천 수칙 준수를 생활화해 보다 안전한 디지털 세상을 만드는데 함께 하길 바란다"고 말했다.

차민영 기자 blooming@asiae.co.kr