'토토 솔루션 없는 해킹' 비상…진짜 직원·정상 프로그램인 척 기밀 빼간다

[서울=뉴시스]송혜리 기자 = 지난 1분기 동안 기업의 필수 보안 수단으로 꼽히는 가상사설망(VPN) 장비를 노린 해킹 사고가 폭증하면서 기업의 보안 체계에 경고등이 켜졌다.

실제 올해 1분기에 발생한 전체 해킹 사건 중 절반 이상이 VPN 장비의 보안 허점을 파고든 공격으로 드러났기 때문.

VPN은 인터넷과 같은 공용 네트워크에서 안전하게 사내 네트워크에 접속할 수 있도록 도와주는 보안 장비다. 쉽게 말해 회사 외부에 있는 사용자가 내부망에 안전하게 접속할 수 있도록 만들어주는 '보안 터널' 같은 역할을 한다.

그러나 이런 VPN이, 되려 해커들에게는 기업 네트워크로 침투할 수 있는 '조용한 뒷문'으로 악용되고 있는 실정이다. 특히 최근에는 정상 프로그램으로 위장한 토토 솔루션 도구를 시스템에 몰래 설치하고 장기간 은닉하며 활동하는 형태로 공격 방식도 더욱 고도화되고 있다.

VPN을 통해 기업 내부에 들어온 해커는 보안 시스템의 감시를 피해 마치 내부 직원처럼 자유롭게 돌아다닐 수 있다. 이들은 다른 시스템으로 공격 범위를 넓히거나, 랜섬웨어를 심어 중요한 데이터를 암호화한 뒤 돈을 요구하는 방식으로 기업에 큰 피해를 줄 수 있다.

◆해킹 사고 절반 이상이 VPN 공격…정상 프로그램으로 위장해 은밀하게 움직여

18일 SK쉴더스 침해사고대응팀 탑서트(Top-CERT)에 따르면 올해 1분기 발생한 전체 해킹 사고 중 53.4%가 VPN 취약점을 악용한 침입으로 조사됐다.

팬데믹 이후 원격 근무와 외부 협업 등 다양한 업무 환경에서 필수적으로 사용되는 VPN이 이제는 해커들에게 가장 먼저 노리는 통로가 되고 있는 셈이다.

엎친데 덮친격으로 VPN 해킹 방식도 보다 교묘해졌다. 기존 '계정 탈취 후 토토 솔루션 유포'라는 전통적인 방식에서 최근엔 보안 시스템을 우회하는 방식으로 진화하고 있다.

구체적으로 기존 VPN 공격은 주로 직원의 ID와 비밀번호 등 크리덴셜(자격 증명)을 탈취한 뒤, 이를 이용해 VPN에 접속하고 내부 시스템에 토토 솔루션를 심거나 시스템을 교란시키는 데 목적이 있는 단발성 공격 형태가 일반적이었다.

그러나 최근에는 VPN 장비의 취약점을 직접 악용하거나 계정을 확보한 뒤 침투해, 정상소프트웨어(상용 프리웨어 도구)인 척 위장한 토토 솔루션 프로그램을 심는 방식으로 장기간 은닉하며 데이터를 유출하는 정교한 지속형 공격(APT)으로 진화하고 있다.

실제 해커들은 파일질라(FileZilla), 윈SCP(WinSCP), HFS, 알클론(Rclone)과 같은 파일 전송 소프트웨어와 애니데스크(AnyDesk), 팀뷰어(TeamViewer), 울트라VNC(UltraVNC) 같은 원격 제어 소프트웨어의 정상적인 확장자를 사용하는 토토 솔루션 소프트웨어가 피해자의 시스템에서 운영되도록 했다.

문제는 이러한 소프트웨어는 일상적인 업무에서도 널리 쓰이는 도구이기 때문에, 대부분의 보안 시스템은 이를 '정상적인 활동'으로 인식해 토토 솔루션 행위로 탐지하지 못한다는 점이다. 이를 통해 해커는 피해자의 시스템에 둥지를 틀고, 장기간에 걸쳐 내부 자료를 외부로 유출하는 정밀한 침투 행위를 벌인다.

현재 시스코, 주니퍼, 체크포인트와 같은 대표적인 벤더뿐 아니라 이반티, 소닉월, 포티넷 등의 장비도 이런 '취약점+소프트웨어 위장 공격'의 대상이 되고 있다는 게 보안 업계 설명이다.

◆실전형 '상용 프리웨어 탐지 및 차단'기술 필요해

전문가들은 "VPN 장비는 해커들의 최우선 표적"이라며 "기업 내부망 침입은 단 한 번의 VPN 취약점으로 시작될 수 있는 만큼, 기존의 단순 방어 체계를 넘어 침입을 실시간으로 탐지하고 대응하는 실전형 보안 기술을 갖추는 것이 절대적"이라고 입을 모았다.

VPN 보안 강화를 위해서는 먼저, 주기적인 보안 패치 모니터링이 중요하다. VPN 장비 제조사에서 취약점 패치가 공개될 경우, 이를 신속히 파악해 즉각적인 업데이트를 적용하는 체계를 갖춰야 한다.

VPN 접근 제어 강화도 필수다. 직원이나 협력사 계정별로 업무에 꼭 필요한 최소한의 권한만 부여해, 침해 발생 시 피해 범위를 최소화해야 한다. 동시에 불필요한 권한 상승을 사전에 차단하는 정책도 중요하다.

멀티팩터 인증(MFA) 적용도 권고한다. 비밀번호와 같은 단일 인증 방식만으로는 계정 탈취에 효과적으로 대응하기 어렵다. 따라서 계정 정보가 유출되더라도 해커의 내부 침투를 막을 수 있도록, 다단계 인증을 도입해야 한다.

아울러 최근 해킹은 토토 솔루션가 아닌 정상 프로그램으로 위장한 '은닉형 침투' 방식이 주를 이루기 때문에, 이를 탐지할 수 있는 실전형 '상용 프리웨어 탐지 및 차단'기술이 무엇보다 중요하다.

SK쉴더스 관계자는 "고도화된 VPN 해킹에 선제적으로 대응하기 위해선 보안관제를 넘어, 침입 탐지부터 실시간 대응까지 아우르는 통합적인 보안 체계가 필수적"이라고 말했다.

☞공감언론 뉴시스 chewoo@newsis.com <저작권자ⓒ 공감언론 뉴시스통신사. 무단전재-재배포 금지.

저작권자ⓒ 공감언론 뉴시스통신사. 무단전재-재배포 금지