세계 보안 엑스포  전자정부 솔루션 페어  개인정보보호 페어  국제 사이버 시큐리티 컨퍼런스  세계 태양에너지 엑스포  스마트팩토리  세계 다이어트 엑스포  INFO-CON
소셜 네트워크에서 벌어지는 위험한 행동들 5
  |  입력 : 2017-03-16 17:24
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
민감한 정보 자발적으로 공유하고...링크 클릭에 거리낌 없고
지나친 신뢰가 소셜 미디어 보안 문제의 핵심


[보안뉴스 문가용 기자] 기업 네트워크로 침투하려 호시탐탐 기회를 노리는 해커들에게 있어 소셜 미디어는 꽤나 괜찮은 경로를 제공한다. 소셜 미디어를 통한 해킹의 핵심은 바로 사용자의 소셜 미디어 활용법에 있다. 보안 전문업체인 제로폭스(ZeroFOX)의 CEO 에반 블레어(Evan Blair)는 “소셜 미디어가 태생적으로 가지고 있는 위험성에 대해 잘 이해하고 있는 사람이 드물다”고 말한다. “특히 페이스북 등에 대한 무조건적인 신뢰가 큰 문제입니다.”


수상한 이메일에 경계심을 곤두세우는 사람은 많은데, 이상하게 소셜 미디어 플랫폼에 안착하면 마음이 너그러워지고 안심이 된다. 그래서 사이버 범죄자들에게 스스로를 노출시킨다. “문제는 바로 이 ‘신뢰’입니다. 무조건적인 신뢰는 공격받기 매우 좋습니다. 이는 예전부터 있어왔던 문제입니다. 다만 예전엔 기기 단계에서 신뢰가 공격받았다면, 소셜 미디어에서는 사람 단계에서 신뢰가 공격받고 있습니다. 사람이 가장 약한 연결고리가 됩니다.”

왓치가드 테크놀로지스(WatchGuard Technologies)의 위협 분석가인 마크 랄리버트(Marc Laliberte)는 “소셜 미디어를 통한 공격은 더 늘어날 것”이라고 보고 있다. “2016년 초만 해도 페이스북을 통한 멀웨어 배포와 같은 공격은 매우 드문 것이었습니다만, 1년 만에 무시할 수 없는 위협으로 커버렸죠. 현재는 무작위 대상을 상대로 융단 폭격이 벌어지고 있다면, 미래엔 보다 고급화되고 특정 표적을 노리는 공격이 될 것으로 보입니다.”

그렇다면 소셜 미디어 사용자들의 사용 습관 중 기업 전체를 위험에 빠트리는 것들엔 무엇이 있을까? 전문가들이 꼽은 대표적인 ‘위험 행동’에는 다음과 같은 것들이 있다.

1. 민감한 정보의 과도한 공유
소셜 미디어를 활발히 사용하는 사람들 대부분 자기 자신에 대한 민감한 정보를 올리면서 아무렇지도 않게 여긴다. 그래서 소셜 미디어 계정에는 범죄자들이 그렇게나 찾아 헤매는 개인정보들이 꽉꽉 들어차 있다. 생년월일은 물론 출신 학교, 가족 관계, 현재 위치가 제일 많다. 랄리버트는 이런 종류의 정보들을 두고 “회사 계정을 확보하고 싶어 하는 공격자들에게 있어 비밀번호의 좋은 단서가 되는 것들”이라고 묘사한다.

“보통 비밀번호 힌트로 ‘가장 친한 친구의 이름은?’이나 ‘태어난 도시의 이름은?’ 등의 질문이 사용됩니다. 비밀번호 복구 질문들이라고 하는데, 이렇게 개인 신상에 관한 것들이 정답에 많이 사용되죠. 그리고 그 답들은 소셜 미디어에 수두룩하게 쌓여 있습니다.”

블레어는 “기업의 임원들이나 관리자들은 사이버 공격자들의 주요 표적인데, 이들이 소셜 미디어 사용자라면 쉽게 공략이 되는 편”이라며 “일단 기업 내에서 데이터 접근 권한이 높은 사람이라면 ‘자기를 노리는 사람이 꽤나 된다’는 사실을 인지하고 사이버 공간 상에서 행동거지를 정해야 한다”고 설명한다.

2. 링크는 보이는 족족 클릭한다, 소셜 미디어니까
소셜 미디어에 나타나는 링크들은 굉장한 신뢰를 받는다. 동영상도 거리낌 없이 재생된다. 보안에 대해 아예 무지한 사람들만 그러는 게 아니다. 보통의 상황에서라면 그런 클릭이나 동영상 잘 지나칠 사람들도 이상하게 소셜 미디어에서만은 느슨해진다. “아직 소셜 미디어 내에서는 조심하자는 문화가 자리 잡지 못했습니다.” 블레어의 설명이다.

보안 문화가 정착하지 못한 것이 가장 극명하게 드러나는 건 가짜 뉴스 기사가 걸러지지 않고 퍼지는 현상에서다. “사용자들은 제목만 대충 보고 ‘공유’ 버튼을 막 누릅니다. 본문을 꼼꼼하게 읽어보는 사람은 거의 없다고 봐도 됩니다. 그러니 제목만 적당히 자극적으로 써서 본문에 멀웨어를 장착하고 소셜 미디어에 올리면, 아주 편리하게 많은 시스템을 감염시킬 수 있죠.”

“소셜 미디어 친구가 어느 날 ‘이 웹사이트 봐봐’라고 링크를 걸어서 올리면, 보통 그 링크 아무런 의심 없이 클릭하죠. 이메일로 그런 게 날아오면 클릭하지 않을 사람들도요. 그래서 사이버 공격자들은 일단 소셜 미디어를 통해 친구 관계만 잘 맺어도 반은 성공한 거라고 생각합니다.”

3. 논란 유발성 포스팅
소셜 미디어 댓글들을 통해 말다툼이 일어나는 건 흔한 현상이다. 특히 종교나 정치 주제로 이런 일들이 발생하는데, 사용자 중에서도 유독 이런 싸움을 몰고 다니는 사람들이 있다. 랄리버트는 “이런 유형의 사람들은 정치적 스탠스와 상관없이 표적이 될 가능성이 높다”고 말한다. “유명한 핵티비스트 단체인 어나니머스가 특히 자신들과 대치되는 입장에 있는 사람들을 노리는 것으로 유명하죠.”

굳이 어나니머스가 아니더라도 자주 댓글을 통해 싸우는 사람들은 주목 받기 쉬워진다. 해커가 아니더라도 이런 사람들이 곱게 보이지 않으면 지나가던 사람도 프로필을 한 번씩 찍어보게 되고, 그러면 프로필 내에 가득한 민감 정보가 덩달아 유출된다. “그러니 개인정보를 함부로 포스팅하는 걸 주의해야 하는 것처럼, 지나치게 공격적인 발언도 자제할 필요가 있습니다. 마음에 있는 말을 공개적으로 다 쏟아내는 게 지혜로운 일은 아니죠.”

4. 회사 사업용 소셜 계정 함부로 사용하기
페이스북 등이 개인용 소셜 미디어로 많이 사용된다면 최근 국제적인 기관 및 단체들의 협력과 소통을 위한 플랫폼들인 슬랙(Slack), 힙챗(HipChat), 구글 행아웃(Google Hangouts) 등이 등장하면서 기업체들의 소셜 미디어 환경에 또 다른 리스크들이 생겨났다. 사업하기 좋은 소셜 미디어라고 알려진 플랫폼이긴 하지만 기존의 페이스북 및 트위터나 사실상 다를 것이 없기 때문이다. 위험의 면적만 늘린 꼴이다.

“그러다보니 이런 기업형 소셜 미디어에서도 사용자들이 경계 태세를 풀고 있는 게 현실입니다. 그리고 그 피해는 개인이 아니라 기업에게로 넘어가죠. 기업형 소셜 미디어의 현실이 바로 그겁니다. 기업들만 써서 기업형 소셜 미디어가 아니라, 기업들만 피해를 봐서 기업형 소셜 미디어입니다.”

5. 소셜 미디어 계정이 하나도 없다
이런 소셜 미디어에 대한 위험이 하나 둘씩 알려지기 시작하자 아예 소셜 미디어를 사용하지 않는 사람들도 늘어나고 있다. 그렇게나 위험하다면, 페이스북이나 트위터로 얻는 이득도 그리 많아 보이지 않는데, 왜 굳이 계정을 만들어 위험을 자초할까?

개인 단위이면 소셜 미디어를 사용하지 않는 것도 나쁘지 않은 방법이 사실이다. 하지만 기업이라면 얘기가 다르다. 누군가 당신의 브랜드로 계정을 만들어, 버젓이 회사처럼 굴 수 있기 때문이다. 실제로 그런 사기 행위는 소셜 미디어 플랫폼에서 급격히 늘어나고 있다. 그러므로 회사 이름으로 계정 하나 확보해 두는 건 훗날 있을지도 모르는 각종 사기 행각의 좋은 예방조치가 된다.

소셜 미디어 보안은 기업 입장에서 매우 까다로운 문제다. 직원들 한 사람 한 사람의 소셜 미디어 사용 행태를 파악하고 관리해야 하는데, 이는 물리적으로 불가능할뿐더러 사생활 침해가 될 수도 있기 때문이다. 기업이 할 수 있는 건 소셜 미디어의 안전한 사용법을 계속해서 교육하는 것뿐이다. “어떤 회사는 소셜 미디어 사용을 아예 금지시키기도 합니다. 입사하고 싶으면 소셜 미디어 전부 끊으라는 것인데요, 저로서는 나쁘지 않은 전략이라고 보입니다.” 블레어의 설명이다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

#소셜   #미디어   #보안   #행위   


비츠코리아 파워비즈시작 2017년7월3일파워비즈 배너
북한의 사이버 공격이 갈수록 심해지고 있습니다. 해킹 공격이 미사일 공격보다 더 무섭다는 소리도 나올 정도입니다. 정부 차원에서 더 강화된 사이버 보안을 위한 전략을 새롭게 수립해야 한다고 생각하십니까?
아니다. 지금 있는 것만 제대로 해도 충분하다.
그렇다. 단, 미국의 행정명령처럼 장기적인 방향성을 가져야 한다.
그렇다. 단, 지금의 위기상황에 당장 적용할 수 있는 것이어야 한다.
아니다. 민간 차원에서 해결할 수 있어야 한다.
정부 차원의 전략이 얼마나 도움이 될지 잘 모르겠다.
크게 보면 외교 문제다. ‘보안’의 시각으로만 접근해서는 안 된다.
기타(댓글로)