박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장
“최근 침해사고 대응의 핵심은 사고 자체를 감추는 데 있지 않았다. 누가 언제 침해 정황을 인지했는지를 명확히 판단하고, 그 즉시 신고와 조사, 복구 체계를 가동할 수 있어야 피해 확산을 막을 수 있다."
4월 9일 여의도 콘래드서울호텔 6층 스튜디오4에서 열린 데일리시큐·쿼드마이너·AI스페라 공동 주최 CISO 조찬세미나에서 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장은 최근 국내 침해사고 대응의 핵심을 이렇게 정리했다. 이날 세미나에는 금융사 CISO 30여 명이 참석했고, 박 본부장은 ‘최근 국내 침해사고 사례 및 대응방안’을 주제로 최근 침해사고의 양상 변화와 기업 대응 전략을 구체적으로 설명했다.
박 본부장은 최근 기업 현장에서 가장 논쟁이 큰 이슈로 ‘인지 시점’을 꼽았다. 과거에는 최종 의사결정권자에게 보고된 시점을 중심으로 보는 경우가 많았지만, 지금은 정보보호 담당자나 부서장, CISO, 대표자 등 조직 내 책임 있는 인물이 사고를 정확히 인지하고 내부 보고가 이뤄진 시점을 더 중요하게 보고 있다고 설명했다. 그는 실제 조사 과정에서 이메일, 보고 흐름, 포렌식 자료 등을 종합해 인지 시점을 다시 해석하는 경우가 많다고 말했다. 기업 입장에서는 사고가 발생했을 때 방어적으로 접근하기보다, 누가 어떤 시점에 사고를 파악했는지 내부 절차를 명확히 정리해 두는 것이 중요하다는 뜻이다.
중견기업 노린 침해사고 급증…공급망 공격도 양상 변화
박 본부장은 지난해 국내 침해사고의 가장 두드러진 특징으로 중견기업 대상 사고 급증을 들었다. 그는 2024년 이전과 2025년의 양상이 확연히 달라졌다고 진단하며, 지난해에는 중견기업을 겨냥한 사고가 특히 많이 발생했고 그 배경에 공급망 이슈가 깊게 자리하고 있었다고 설명했다. 기업이 사용하는 각종 소프트웨어와 솔루션의 제작사, 유지보수 체계, 외부 연계 구조를 타고 들어오는 공격이 대표적이었다는 것이다.
전체 침해사고 신고 건수도 크게 늘었다. 박 본부장은 지난해 전체 침해사고 신고가 2,383건으로 전년 대비 약 30% 가까이 증가했다고 설명했다. 특히 DDoS 공격과 랜섬웨어가 다시 늘고 있으며, 서버 해킹이 전체 사고에서 차지하는 비중도 상당히 높다고 말했다. 그는 신고 증가 배경에 법 개정에 따른 신고 의무 강화와 함께, 사고를 감추기보다 먼저 신고하려는 기업 분위기 변화가 동시에 작용하고 있다고 진단했다. 다만 한편으로는 대형 사고 이후 기업들이 오히려 위축돼 신고를 망설이게 되는 부작용도 있다는 점을 함께 언급했다.
그는 최근 국내를 둘러싼 지정학적 이슈와 맞물린 공격도 눈에 띈다고 말했다. 친팔레스타인 성향 해킹그룹의 DDoS 공격이 국내 방산 기업과 정부기관 사이트를 겨냥해 이어지고 있고, 국제 정세가 급변할 때마다 관련 공격 위협도 커질 수 있다고 설명했다. 동시에 공급망 공격도 이전과는 다른 방향으로 진화하고 있다고 진단했다. 과거에는 솔루션 제조사나 업데이트 서버를 직접 노리는 전형적인 공급망 공격이 많았다면, 최근에는 개발자와 운영자가 사용하는 저장소, 패키지, 토큰, 자격증명을 먼저 노리는 방식으로 이동하고 있다는 설명이다.
4월 9일 데일리시큐가 주최한 CISO 조찬세미나에서 박용규 KISA 본부장의 강연을 30여 명의 CISO가 참석해 경청하고 있다.
정상 도구처럼 보이게 속이고, 계정과 토큰 노린다
박 본부장은 최근 공격자들이 검색엔진 최적화, 이른바 SEO 기법까지 악용해 악성코드를 퍼뜨리고 있다고 설명했다. IT 관리자나 개발자가 자주 찾는 정상 소프트웨어, 유틸리티, 관리 도구로 위장한 페이지를 검색 상단에 노출시킨 뒤, 이를 클릭한 사용자가 의심 없이 패키지를 내려받게 만드는 방식이다. 겉으로는 정상 사이트처럼 보이지만, 실제로는 변조된 파일이나 악성코드가 함께 설치되는 구조라는 것이다. 그는 이런 방식이 최근 국내 대기업 사례에서도 실제 문제를 일으켰다고 설명했다.
이런 공격의 목적은 단순 감염이 아니다. 박 본부장은 공격자들이 로컬 환경에 남아 있는 자격증명과 토큰, 각종 플랫폼 접속 흔적을 수집한 뒤 이를 이용해 다른 시스템이나 저장소로 이동하는 패턴이 늘고 있다고 말했다. 특히 NPM, PyPI 같은 패키지 저장소나 개발도구 계정, CI/CD 환경 자격증명이 주요 표적이 되고 있으며, 겉으로는 정상 도구처럼 보여 보안 장비에서 오탐으로 지나갈 수 있다는 점이 더 위험하다고 설명했다. 결국 예전처럼 기업 외곽만 지키는 방식으로는 부족하고, 기업을 떠받치는 개발자와 운영자의 계정, 토큰, 접속행위까지 봐야 하는 시대로 바뀌고 있다는 얘기다.
그는 CISO들이 특히 주의해야 할 지점으로 중앙관리솔루션 계열을 꼽았다. 중앙관리솔루션은 업데이트가 필수이고 대외 접점이 많아 공격자에게는 매우 매력적인 표적이 된다. 유지보수 업체와 외부 관리자, 각종 연계 인터페이스가 열려 있을 수밖에 없기 때문이다. 문서보안 서버, 정보유출방지 서버, 자산관리 서버, 계정관리 시스템 등은 내부 운영의 핵심이지만, 동시에 이들 시스템이 뚫리면 기업 전체가 흔들릴 수 있는 구조라는 점을 박 본부장은 강조했다.
백업만으로는 부족…결국 중요한 것은 복원력과 조기 대응
랜섬웨어 대응과 관련해서도 박 본부장은 현실적인 경고를 내놨다. 백업 체계를 도입한 기업이 많이 늘었지만, 백업 서버가 24시간 온라인으로 연결돼 있으면 공격자에게는 일반 서버와 다를 바 없다고 지적했다. 실제 최근 사고에서는 공격자가 내부에 들어오자마자 백업 서버부터 찾고, 복구 체계를 먼저 무력화하는 사례가 반복되고 있다고 설명했다. 그는 예스24 사례를 언급하며, 초기에는 복구까지 3~4일이 걸렸지만 이후 복구 체계를 빠르게 정비하면서 2차 사고 때는 5~6시간 만에 복구했고, 이후에는 외부에서 체감하지 못할 정도로 대응력이 올라간 점을 소개했다. 이를 두고 가장 나쁜 사례와 가장 좋은 사례가 짧은 기간 안에 함께 나타난 대표적 경우라고 평가했다.
그는 방어의 핵심을 ‘드웰타임’ 단축으로 설명했다. 공격자가 내부에 머무르며 정찰, 측면이동, 정보유출, 최종 공격을 준비하는 시간을 얼마나 줄이느냐가 중요하다는 것이다. 이를 위해서는 뻔한 이야기처럼 들릴 수 있어도 자산관리, 계정관리, 내부 스캔 시도 모니터링, 보안 교육, 정상 경로를 가장한 이상 행위 탐지가 기본이 돼야 한다고 강조했다. 박 본부장은 “이제는 시스템만 감시하는 것이 아니라 사람을 감시해야 하는 시대”라고 말하며, 계정 주인의 평소 행위 패턴과 다른 움직임을 빠르게 포착하는 방식으로 보안 체계가 이동하고 있다고 설명했다.
AI를 활용한 공격에 대한 설명도 이어졌다. 박 본부장은 공격자들이 AI를 활용해 취약점 탐색, 대상 분석, 공격 전략 수정, 후속 행위까지 더 빠르고 체계적으로 수행하는 흐름이 이미 시작됐다고 말했다. 다만 방어자 역시 AI를 활용할 수 있으며, AI는 공격 자체를 완전히 차단하는 도구라기보다 이상 징후를 더 빨리 찾고 복원력과 대응 속도를 높이는 수단으로 봐야 한다고 강조했다. KISA 역시 여름쯤 중소기업을 대상으로 AI 기반 원격 분석 프로토타입을 선보일 계획이라고 밝혔다.
24시간 내 신고부터 직권 조사까지…기업 책임과 대응 범위 확대
박 본부장은 또 개정 정보통신망법 시행으로 기업의 침해사고 대응 체계가 한층 더 엄격해질 것이라고 설명했다. 그는 가장 큰 변화로 침해사고 심의위원회 운영과 직권 조사 근거 강화를 꼽았다. 지금까지는 KISA가 침해 정황을 기업에 전달하면 기업이 자체 판단을 거쳐 신고 여부를 결정하는 구조였지만, 현장에서는 이런 과정이 사고 은폐나 대응 지연으로 이어지는 경우가 적지 않았다는 것이다.
박용규 본부장 강연 자료 일부
앞으로는 일정한 침해 정황만 확인돼도 조사 필요성을 판단하는 체계가 본격 가동되고, 필요하면 현장 조사나 민간합동조사단 구성도 더 신속하게 결정될 수 있다. 여기에 24시간 이내 신고 의무도 보다 명확해지면서, 기업은 사고 발생 가능성을 인지한 시점부터 자료 보전과 사실 확인, 원인 분석, 초기 대응 체계를 동시에 가동해야 하는 부담을 안게 됐다. 박 본부장은 다만 일반적인 침해사고 조사는 외부에 공개하지 않는 것이 원칙이며, 제도 강화의 취지도 기업을 압박하기보다 사고 초기에 사실관계를 놓치지 않고 확보해 은폐와 증거 훼손을 막는 데 있다고 설명했다.
조직 운영 측면에서도 기업이 준비해야 할 과제는 더 많아졌다. 일정 규모 이상의 사업자는 정보보호위원회를 공식 기구로 설치·운영해야 하고, CISO의 역할과 책임도 한층 강화되는 방향으로 제도가 정비되고 있다는 게 박 본부장의 설명이다. 이용자 통지와 피해구제 조치 역시 더 분명한 의무로 자리 잡으면서, 이제는 내부 복구만이 아니라 사고 사실을 얼마나 신속하고 투명하게 알리고 어떤 보호 조치를 취했는지까지 기업 대응 수준의 핵심 평가 기준이 될 전망이다. 다만 그는 규제 강화가 곧바로 기업 처벌 강화로만 이어져서는 안 된다고 강조했다. 기업이 사전에 어떤 보안 노력을 해왔는지, 사고 발생 후 매뉴얼과 절차에 따라 얼마나 적절하게 대응했는지, 조직 차원의 준비 수준이 어느 정도였는지를 함께 평가해야 한다는 것이다. 사고 발생 여부만을 기준으로 일률적으로 제재하면 오히려 기업들이 신고를 꺼리고 위축될 수 있는 만큼, 향후 정보보호 수준 평가와 인센티브 제도도 이런 방향에서 함께 논의돼야 한다고 덧붙였다.
박 본부장은 마지막으로 “이제 이용자들은 사고가 났느냐보다, 문제가 생겼을 때 기업이 어떤 노력을 했는지를 더 본다”고 강조했다. 그는 사고를 최대한 감추려 하기보다 즉시 외부에 알리고 빠르게 조치하는 편이 오히려 신뢰를 높일 수 있다고 말했다. 실제로 고의적 은폐 정황이 드러날 경우 더 큰 행정 조치와 수사로 이어질 수 있다는 점도 분명히 했다. 이어 협력사 보안도 더 이상 남의 일이 아니라며, KISA의 해킹 진단 도구와 원인분석 지원, 원격 점검 서비스 등을 적극 활용해 협력사 보안성까지 함께 끌어올릴 필요가 있다고 조언했다.
그는 공격은 더 빨라졌고, 더 정상처럼 보이게 바뀌었으며, 더 깊숙이 사람과 계정, 운영 체계를 파고들고 있다. 결국 중요한 것은 사고를 완전히 없애겠다는 선언보다, 조기에 인지하고 정확히 판단하며 빠르게 복원할 수 있는 조직적 대응 체계를 실제로 갖추는 일이라는 점을 거듭 강조했다.
댓글
0