“협력사 한곳 뚫리면 대기업도 속수무책”…공급망 보안 붕괴 경고

“이제 보안은 기업 내부의 문제로 끝나지 않는다. 산업 공급망 전체가 유기적으로 연결돼 있고, 협력사 한 곳이 공격 표면의 시작점이 돼 큰 기업까지 무너뜨릴 수 있다.”

13일 국회에서 ‘위기의 K보안, 글로벌 해커 타깃 한국’을 주제로 열린 국가미래전략기술포럼에서 산업 공급망이 한국 사이버보안의 가장 취약한 고리로 자리잡았다는 경고가 나왔다.

이날 포럼에서 발제를 맡은 김재기 에스투더블유(S2W) 위협인텔리전스 센터장은 “해커는 보안이 견고한 본사가 아니라 외주·협력업체를 먼저 노린다”며 “협력사 한 곳의 감염이 대기업 전체를 위험으로 끌고 들어가는 구조가 이미 일상화됐다”고 강조했다.

김 센터장은 최근 산업 환경을 “세분화된 업무 구조가 낳은 새로운 공격 표면”이라고 설명했다. 제조, 개발, 운영, 유지보수 등 대부분의 업무가 외부 업체에 분리되면서 기업 내부 보안만으로는 위험을 막을 수 없는 구조가 됐다는 것이다.

글로벌·국내 침해 사례로 드러난 ‘공급망의 취약한 고리’

김 센터장은 글로벌 기업 애플의 실제 피해 사례를 먼저 언급했다. 그는 “애플은 보안을 위해 막대한 투자를 하는 기업”이라며 “해커는 애플 본사가 아니라 대만의 협력 제조사 ‘콴타컴퓨터’를 랜섬웨어로 감염시키며 신형 맥북 관련 설계 정보를 유출했다”고 설명했다.

이어 “애플조차 협력사의 단일 사고를 막지 못했다. 공급망 전체가 하나의 공격 면으로 확장되고 있다는 의미”라고 덧붙였다.

이어 국내 사례도 공개했다. 특정 산업 1위 기업의 외주 개발업체가 ‘인포스틸러(정보 탈취형 악성코드)’에 감염되면서 업무협업 플랫폼 ‘슬랙’, 소스코드 버전 관리 시스템(SVN) 등에 있는 내부 데이터가 통째로 빠져나간 것이다. 김 센터장은 “지금도 다크웹과 텔레그램 채널에서 기업의 자산이 계속 발견되고 있다”며 침해가 현재도 진행되고 있음을 강조했다.

인포스틸러는 최근 다크웹에서 활발히 유통되는 악성코드로 감염되면 브라우저 쿠키, 인증 토큰, 가상사설망·원격 데스크톱 프로토콜(VPN·RDP) 계정까지 연달아 탈취한다. 김 센터장은 “탐지 회피가 목적이 아니라, 감염 즉시 탈취·유출이 자동화된 구조라 대응 시점이 늦어진다”고 설명했다.

가장 파급력이 큰 사건으로는 한 유지보수 업체의 서버 노출을 꼽았다. 해당 업체는 정부기관과 대기업 시스템을 설치·운영하는 곳이었는데 외부에서 접속 가능한 상태로 기술 문서, 인증키, 설치 사진 등이 모두 공개돼 있었다.

김 센터장은 “해당 서버의 관리자 계정이 ‘루트(root, 리눅스·유닉스 계열 시스템에서 최고 관리자 권한을 가진 계정)’로 설정된 상태였다”며 “확인 후 국가정보원에 직접 제보했고 조사 지원이 진행됐다. 단 한 업체의 사고였지만 100여개 기관의 인프라 구성 정보가 유출된 것으로 분석됐다”고 말했다.

보안과 개인정보 보호를 지휘하는 관리·감독기관마저 공격의 피해자가 될 수 있음을 보여주는 사례도 있었다. S2W 분석 과정에서 개인정보보호위원회(이하 개인정보위) 공식 사이트의 최고 관리자 계정 정보가 탈취된 흔적이 확인된 것이다.

김 센터장은 “개인정보위가 직접 사이트를 운영하진 않겠지만, 관리 외주사 PC가 감염된 것으로 보인다”며 “인가된 IP만 접속되도록 설정돼 그나마 방어가 됐지만, 이미 PC가 감염된 상태라 여전히 위험은 남아 있다”고 우려했다.

정보탈취 악성코드의 상용화·AI 확산이 공급망 위협 키워

김 센터장은 “이러한 공급망 공격의 근저에는 정보탈취형 악성코드의 ‘시장화’가 있다”고 분석했다. ▲악성코드 개발자 ▲배포자 ▲홍보자(트래퍼) ▲재판매자가 분업화된 범죄 생태계를 이루면서, 감염에서 탈취, 그리고 판매가 하나의 비즈니스 모델로 진화했다는 것이다.

그는 “무료 프로그램처럼 위장된 설치 파일을 통해 감염이 급속히 퍼지고 있고, 여기서 탈취된 협력사 계정이 다크웹에 쏟아지면서 본사 침투로 이어지는 구조”라고 설명했다.

인공지능(AI)이 새로운 공급망 위협으로 떠오르고 있다는 점도 강조했다.

김 센터장은 “기업 내부에 인가되지 않은 AI 시스템이 빠르게 늘어나는 상황에서, 실험용 또는 테스트용 AI 서버가 관리 사각지대가 되고 있다”며 “이것이 공격자의 새로운 먹잇감이 될 수 있다”고 설명했다.

S2W는 공급망 보안 위협에 대한 해결책으로 계약 단계의 보안 요구조건 명시, 수탁사 정기 감사, 유출 정보 모니터링 체계 구축, 협력사 직원 교육 등을 제시했다.

김 센터장은 “일부 글로벌 기업들은 서드파티 보안 전담팀을 갖추고 있지만 국내 기업 상당수는 이런 투자가 현실적으로 어렵다”며 “그렇기에 정책적인 기준과 업계 공통 규범이 필요하다”고 제안했다.

아울러 “기업의 경계는 더 이상 기업 내부에 있지 않다. 협력사 PC 한 대, 유지보수 서버 한 대가 본사로 이어지는 가장 짧은 공격 경로가 된다”며 “국회와 정부, 민간이 연합한 대책을 신속하게 마련해야 한다”고 강조했다.

한편, 이날 포럼은 국민의힘 최형두 의원실과 더불어민주당 김한규 의원실이 공동 주최했으며, 카이스트 국가미래전략기술 정책연구소가 주관했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network