과학기술정보통신부와 한국인터넷진흥원이 사이버 위협 인텔리전스 네트워크와 함께 사이버위협에 대한 선제적 예방 및 대응체계 강화를 위해 ’22년 사이버 보안 위협 분석과 ’23년 사이버 보안 위협 전망을 발표했어요.

◼ 국가‧사회 혼란을 야기하는 사이버 공격

전 세계적으로 랩서스(LAPSUS$), 친러시아 성향의 해킹조직인 킬넷(Killnet) 등 글로벌 해킹그룹에 의한 지속적인 사이버 공격으로 인해 글로벌 기업과 정부기관 등에 피해가 발생했어요. 국내에서도 판교 데이터센터 화재로 인한 카카오 장애 이후 카카오톡 업데이트 파일로 위장한 악성코드가 발견됐으며, 이태원 사고와 관련된 공문서로 위장한 공격도 확인되는 등 국민적 관심이 집중된 사건, 사고를 사이버 공격에 즉각적으로 악용하기도 했고요.

◼ 재택근무, 클라우드 전환 등 IT환경 변화를 악용한 공격

코로나19 이후, 비대면 원격근무 환경 변화로 재택근무 등 보안에 취약 할 수 있는 지점을 노려, 기업 내부 침투를 통해 중요 정보가 유출되는 사고가 발생하기도 했어요. 해외에서도 클라우드 기반의 악성코드가 발견되고 클라우드 설정 오류로 인한 공항 데이터 유출, 10억 명의 개인 정보가 유출되는 등 클라우드 관련 보안사고가 점차 확대되고 있어요.

◼ 디지털 사회를 마비시키는 랜섬웨어, 디도스 공격

디지털 사회 가속화로 IT기술을 이용한 생활 밀접 서비스가 증가되면서 랜섬웨어, 디도스 공격으로 인한 대국민 서비스 중단은 사회ㆍ경제적 불편을 넘어 일상생활의 마비로 이어지기도 했어요. 지난해 KISA에 접수된 침해사고 신고는 전년대비 약 1.6배 증가했으며 전체 신고의 약 29%가 랜섬웨어 사고이고, 중소기업이 88.5%, 제조업이 40.3%로 큰 비중을 차지하고 있는 것을 알 수 있어요.

◼ 국가・산업 보안을 위협하는 글로벌 해킹 조직의 공격 증가

우크라이나 사태가 장기화됨에 따라 ’23년에도 글로벌 해킹 조직의 활동은 증가할 것이며, 주요 기반시설 이나 글로벌 기업을 대상으로 대규모 사이버 공격 시도가 지속될 것으로 전망되고 있어요. 공격자들은 수익 극대화를 위해 공격 대상의 규모, 대외 신뢰도, 피해 파급력, 데이터 민감도 등을 조사하여, 피해기관·기업이 그 사실을 대외에 공개하기 어렵거나, 신속한 복구가 필요한 곳을 목표로 선정해 공격할 가능성이 높을 것으로 예상되고 있어요.

◼ 재난, 장애 등 민감한 사회적 이슈를 악용한 사이버 공격 지속

사회적 이슈를 악용한 피싱, 스미싱, 해킹메일 유포, 첨단기술을 활용한 가짜 뉴스 등을 이용해 국가 신뢰도를 저해하고 사회 전반에 영향을 미치는 활동이 증가할 것으로 전망되고 있어요. 또한, 사회공학적 기법을 통해 악성코드가 지속적으로 유포될 것이며, 이메일뿐만 아니라 SNS 등 개인화된 채널을 활용한 공격도 증가될 것으로 전망하고 있어요.

◼ 지능형 지속 공격 및 다중협박으로 무장한 랜섬웨어 진화

랜섬웨어 공격도 지능형 지속 공격(APT) 형태로 계속 진화하고 있어요. 공격자는 금전적 수익을 극대화하기 위해 암호화 파일 복구, 유출 데이터 공개, 디도스 공격과 함께 기업 고객도 직접 협박하는 등 다중협박(Multi Extortion) 형태로 진화하고 있어요. 특히, 피해 기업들이 데이터 복구보다 랜섬웨어 피해가 외부로 공개되어 브랜드 이미지 손상을 더욱 우려한다는 점을 노려, 금전을 요구 하면서 협박 수단으로 피해 기업의 시스템에서 갈취한 민감 정보를 일부 공개하는 사례가 지속될 것으로 전망하고 있어요.

◼ 디지털 시대 클라우드 전환에 따른 위협 증가

클라우드 전환 과정에서 새로운 보안 취약점이 드러나고, 향후 클라우드 전환 증가와 함께 고려가 필요한 클라우드 보안 아키텍처와 보안 전략 미흡으로 위협도 증가할 것으로 예상되고 있어요. 특히, 계정 관리 실수와 과잉 권한으로 위협이 증가하고 데이터 유출로 이어질 가능성이 있어, 각 기업의 업무 특성을 반영한 클라우드 운영 형태에 맞춰 보안대책 수립이 필요해 보여요.

◼ 갈수록 복잡해지는 기업의 SW 공급망과 위협 증가

최근 SW개발자들이 깃허브(GitHub) 등 소스코드 개발 공유사이트를 많이 이용하는 점을 노려 그 안에 악성코드를 삽입하거나 소스코드를 탈취하는 공격이 증가할 것으로 예상되고 있어요. 오픈소스 사용도 증가하면서 로그4j 등 유명 오픈소스의 심각한 취약점을 악용하거나, 라이브러리에 악성코드를 삽입하는 등 광범위한 보안문제를 발생시킬 것으로 전망하고 있고요.

CBPR 인증, 국가간 디지털 교역 활성화 기대

한국인터넷진흥원(KISA)는 2019년 첫 CBPR 인증기관이 됐으며 3년간 테스트 거쳐 올해부터 인증심사를 본격적으로 진행했어요. 이로서, 국내 기업들이 해외 기관을 통하지 않고 CBPR 인증을 받을 수 있게 되었습니다. 현재까지 해외 3개국 51개 기업이 승인받은 것에 비해 우리나라는 조금 늦은 편이에요.

하지만, CBPR의 인증기준 중 대부분이 국내의 개인정보보호법에 포함되어 있는 내용이기 때문에, ISMS-P 의무 인증 기업이라면 인증심사를 통과 하는데 큰 어려움이 없을 것이라고 해요. 현재 IT, 물류 및 게임 기업 등에서 관심을 보이고 있어 지속적으로 늘어날 전망이고요.

우리나라 기업에서도 취득 한 곳이 있나?

국내에서는 네이버가 첫 번째로 APEC CBPR 인증을 취득했으며 개인정보보호 및 관리체계 법제 간 차이를 넘어 견고한 수준이라고 해요. 네이버는 그 유효성을 인정한 일본·싱가포르로부터 현지 고객 개인정보를 추가적 동의나 표준 계약 마련 등 별도의 안전장치 없이 국내로 이전할 수 있게 되며, 인증 정보는 APEC CBPR 웹사이트를 통해 공개된다고 하고요.

개인정보 활용 그리고 활성화 어떻게?

개인정보는 앞으로도 계속 보호와 활용의 딜레마에 빠질 수밖에 없어요. 자유로운 활용과 강력한 보안을 동시에 만족시키지 않으면 데이터 경제 시대에 살아남을 수 없어요. 개인정보를 활용해 새로운 시장을 만들 수 있도록 돕기 위해 각국 정부는 데이터 활용의 문을 열고 있어요.

우리나라는 마이데이터 사업을 전 산업으로 확장하는 한편, 비식별 처리된 개인정보는 본인 동의 없이 활용할 수 있도록 하고 있어요. 유럽연합은 GDPR과 비슷한 수준의 개인정보 보호 규제를 갖춘 국가에 대해 EU 시민의 개인정보를 쉽게 이전할 수 있도록 하고, 아시아태평양 지역 국가의 개인정보 이전과 활용을 지원하는 CBPR에 참여하는 국가도 늘어나면서 해외 여러 국민들의 개인정보 활용의 문을 열어주고 있어요.

개인정보보호의 책임은 전적으로 개인정보를 이용해 이익을 얻는 기업에 있어요. 하지만 개인 책임이 전혀 없는 것은 아니에요. 각종 마케팅 이벤트에 참여하면서 개인정보 제공 동의를 쉽게 하는 것은 정말 위험해요. 자신의 정보가 어떻게 사용되는지 자세히 살펴봐야 하며, 너무 많은 서비스와 공유하는 동의는 하지 않는 것이 좋아요. 또 주민등록번호와 같은 민감한 정보 제공은 각별한 주의가 필요하다는 점, 꼭! 기억하세요.