중국 연계 해커들이 가정용 공유기와 스마트 기기 같은 일상적인 인터넷 연결 장비를 공격 은폐 수단으로 활용하고 있다는 국제 사이버기관의 공동 경고가 나왔다. 공격자는 직접 준비한 서버를 쓰는 대신, 이미 해킹한 공유기와 사물인터넷 기기를 거쳐 피해 기관에 접근했다. 이 방식은 공격 출처를 숨기기 쉽고, 추적과 차단도 어렵게 만든다는 점에서 기업과 공공기관의 대응 부담을 키우고 있다.

영국 국가사이버보안센터(NCSC)는 4월 23일 미국, 호주, 캐나다, 독일, 일본, 네덜란드, 뉴질랜드, 스페인, 스웨덴 등 주요 동맹국 기관과 함께 ‘중국 연계 은폐 네트워크 방어’ 권고문을 발표했다. 이번 권고에는 미국 사이버보안 및 인프라보안국(CISA), 미국 연방수사국(FBI), 미국 국가안보국(NSA) 등도 참여했다.

이번 경고의 핵심은 공격자가 평범한 인터넷 장비를 ‘중간 통로’로 쓴다는 점이다. 은폐 네트워크는 주로 소규모 사무실·가정용 공유기(SOHO router), 사물인터넷(IoT) 기기, 스마트 기기로 구성됐다. 웹카메라, 영상녹화장치, 방화벽, 네트워크 저장장치(NAS)처럼 인터넷에 연결된 장비도 포함됐다. 특히 수명이 끝나 보안 업데이트를 받지 못하는 장비가 주요 표적이 됐다.

공격자는 이런 장비를 감염시킨 뒤 여러 장비를 거쳐 피해 기관에 접속했다. 피해 기관 입장에서는 접속이 일반 가정용 인터넷 회선이나 정상적인 지역의 IP에서 들어오는 것처럼 보일 수 있다. 그래서 단순히 해외 의심 IP를 막는 방식만으로는 탐지가 어렵다. NCSC는 이런 방식이 정찰, 악성코드 전달, 명령제어, 탈취 데이터 유출까지 공격 전 단계에서 쓰일 수 있다고 밝혔다.

이번 사안이 중요한 이유는 기존 보안 방식의 한계를 드러냈기 때문이다. 과거에는 악성 IP 주소를 찾아 차단하는 방식이 많이 쓰였다. 그러나 은폐 네트워크는 감염 장비가 계속 바뀌고, 새로운 장비가 계속 추가된다. NCSC는 이를 ‘침해지표 소멸’ 문제로 설명했다. 보안팀이 특정 악성 IP를 발견해 차단해도, 공격자는 곧바로 다른 감염 장비를 통해 다시 접근할 수 있다는 것.

NCSC와 공동 참여 기관들은 모든 조직이 먼저 외부 접점 장비를 파악해야 한다고 권고했다.

기업은 가상사설망(VPN), 원격접속 장비, 방화벽, 인터넷에 노출된 서버가 무엇인지 확인해야 한다. 또 평소 정상 접속 패턴을 기준선으로 만들고, 일반 가정용 인터넷 대역에서 회사 VPN으로 접속하는 것이 정상인지 점검해야 한다. 원격 접속에는 다중인증을 적용하고, 가능한 경우 허용된 IP만 접속하게 하는 방식도 필요하다고 설명했다.

한국 기업에도 이번 사건은 남의 일이 아니다. 국내 기업도 원격근무, 협력사 접속, 클라우드 관리 콘솔, VPN, 방화벽, 네트워크 장비를 폭넓게 사용하고 있다. 공격자가 감염된 가정용 공유기나 해외 소호 장비를 경유하면, 접속 위치만 보고 정상 여부를 판단하기 어렵다. 특히 제조, 통신, 금융, 물류, 에너지, 공공 분야처럼 업무망과 외부 접점이 복잡한 조직은 외부 노출 장비 현황을 다시 점검해야 한다.

기업은 오래된 공유기와 방화벽, VPN 장비, 원격관리 장비의 보안 업데이트 상태를 확인해야 한다. 제조사가 더 이상 보안 패치를 제공하지 않는 장비는 교체 대상에 올려야 한다. 원격 접속 계정에는 다중인증을 적용하고, 관리자 접속은 별도 계정과 별도 경로로 제한해야 한다. 또 접속 IP만 보는 방식에서 벗어나 접속 시간, 접속 국가, 사용자 행위, 장비 인증 상태를 함께 확인해야 한다.

공격자는 더 이상 눈에 띄는 서버만 사용하지 않는다. 집 안의 오래된 공유기, 사무실의 방치된 인터넷 장비, 업데이트가 끊긴 스마트 기기가 공격 경로가 될 수 있다. 외부에서 들어오는 접속을 모두 믿지 않고, 모든 장비와 계정을 계속 확인하는 체계가 필요해졌다.

출처 : 데일리시큐(https://www.dailysecu.com)