스마트폰-IPTV-VoIP, 해킹 공격대상으로 급부상

안철수연구소, "계정탈취, 봇넷, 제로데이 공격 기승" 전망

올해 주요 이슈로 떠오를 보안 문제는 어떤 아이템들일까. 대부분 지난해와 연장선상에서 발생하는 문제들일 것으로 전문가들은 예상하고 있다. 안철수연구소는 다음과 같이 올해 7대 보안이슈를 전망하고 있다.

통합보안 기업 안철수연구소(대표 김홍선 www.ahnlab.com)는 15일 ‘2009년 7대 보안 이슈 예측’ 자료를 발표했다. 안연구소 측은 “2009년에는 IPTV, VoIP 겨냥한 공격 가시화, 스마트폰용 악성코드 이슈화, 메신저, SNS, 메일 계정 탈취 악성코드 급증, 봇넷 기반 국지성 공격 증가, 취약점을 이용한 제로 데이 공격 증가, 웹 해킹 통한 악성코드 유포 기승, 악성코드의 자기보호 기법 지능화 등의 위험이 예상된다”고 밝혔다.

①IPTV, VoIP 겨냥한 공격 가시화

IPTV와 VoIP(IP텔레포니)가 대중적으로 보급됨에 따라 이를 겨냥한 공격이 본격화할 것으로 전망된다. IPTV의 경우 셋톱 박스에 악성코드가 감염돼 작동이 안 되거나 서버가 DDoS 공격으로 다운되는 일이 발생할 수 있다. 또한 인증 오류로 인가받지 않은 콘텐츠 사용이 허용되는 문제도 발생할 것으로 보인다. VoIP의 경우 DDoS 공격으로 서비스가 중단되거나 서비스의 데이터가 위변조될 가능성이 있다.

②스마트폰용 악성코드 이슈화

스마트폰 사용자가 증가함에 따라 스마트폰 OS에서 동작하는 악성코드의 피해가 현실화할 것으로 전망된다. 심비안, 윈도 모바일 등의 OS에서 작동하는 악성코드는 이미 나와 있으며, 아이폰과 구글폰의 경우 취약점을 이용하거나 비정상적 작동을 유발하는 해킹 등이 등장했다. 구글폰의 경우 오픈 플랫폼 자체가 보안에 취약할 수 있다. 아이폰의 경우 이미 다양한 해킹 방법이 등장했으며, 아이폰용 프로그램을 제작할 수 있는 SDK(Software Developer's Kit; 소프트웨어 개발 도구)가 배포돼 악성코드가 만들어질 가능성이 높아지고 있다.

③메신저, SNS, 메일 계정 탈취 악성코드 급증

작년에 몇 차례 메신저와 포털 메일의 로그인 계정을 빼내는 악성코드가 등장했고, 올해 급증할 것으로 보인다. 이런 악성코드는 스피어 피싱이나 스팸성 사기 메일로 유포되는데, 작년까지는 영어 메일이 대부분이었으나 올해는 한글 메일로 사용자를 더욱 쉽게 현혹할 것으로 보인다. 메신저와 포털, SNS까지 동일한 계정이 적용되는 환경에서는 스팸, 광고성 댓글 및 방명록 작성은 물론 메신저 대화 상대를 노린 사기 범죄가 발생할 가능성이 높다.

④봇넷 기반 국지성 공격 증가

봇넷(BotNet)이란 악성코드에 감염된 여러 컴퓨터가 연결된 네트워크를 말한다. 이런 네트워크를 기반으로 DDoS(분산서비스거부) 공격과 스피어 피싱(Sphere Phishing) 메일, 스팸성 사기 메일이 기승을 부릴 것으로 전망된다. DDoS 공격은 지난해 게임 아이템 거래 사이트, 금융권 사이트를 겨냥해 빈발했으며, 공격을 멈추는 대가로 돈을 요구하는 범죄에 이용됐다. 스피어 피싱은 특정 조직이나 인물을 겨냥해 신뢰할 만한 대상인 것처럼 속여서 메일을 보내는 공격이다. ID와 비밀번호를 입력하거나 악성코드를 다운로드하도록 가짜 사이트로 유도하거나 취약점이 담긴 문서 파일을 보내 정보를 빼낸다. 이런 일련의 공격은 PC 단위에서 보안을 철저히 하지 않으면 대규모 공격의 진원지로 악용될 수 있다는 것을 의미한다.

⑤취약점을 이용한 제로 데이 공격 증가

취약점 발견과 이에 대한 공격의 시차가 거의 없는 제로 데이 공격이 더욱 활발해질 것으로 예상된다. 2008년 하반기에 MS08-067과 MS08-078 취약점을 이용한 제로 데이 공격이 큰 파장을 일으킨 바 있다. 특히 MS사의 OS나 응용 프로그램 외에 플래쉬 플레이어 등 대중적인 소프트웨어의 취약점도 공격의 목표물이 될 것으로 전망된다. 취약점을 공격하는 악성코드가 자동화한 공격 도구에 탑재돼 누구나 쉽게 사용할 수 있일도 계속 증가할 것이다.

⑥웹 해킹 통한 악성코드 유포 기승

웹 취약점을 이용한 웹 해킹과, 해킹된 웹사이트를 통한 악성코드 유포는 2009년에도 매우 큰 위협이 될 것으로 예측된다. 현재 우리나라는 보안에 취약한 다수의 웹 서버가 별다른 방어책 없이 인터넷에 연결돼 있는 상태이다. 웹 서버의 보안성은 시간이 지나도 높아질 것 같지 않아 피해는 올해도 증가할 것으로 보인다.

⑦악성코드의 자기보호 기법 지능화

악성코드는 발각되지 않고 가능한 한 오래 생존하고자 자기 보호 기법을 고도화하고 있다. 2008년 초에 알려진 MBR 루트킷과 런타임, 시베리아2 등의 웜이 대표적이다. 올해도 은폐 기법을 비롯해 보안 프로그램 무력화, 가상 머신 탐지, 분석을 방해할 목적의 코드 난독화, 탐지 회피 등을 사용한 악성코드가 다수 등장할 것으로 예측된다.

조시행 안철수연구소 ASEC(시큐리티대응센터) 상무는 “새로운 IT 환경이 등장해 대중화하는 시점에는 해커의 공격 타깃이 되는 때이다. 특히 네트워크, 인터넷으로 PC나 모바일 기기가 연결된 환경에서는 감염자가 피해자이자 동시에 공격자가 될 수 있으므로 보안에 대한 각별한 주의가 필요하다”고 강조했다.

[김정완 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)