‘보이지 않는 적’ 막아낼 공급망 보안 패러다임 전환

[기고] 김재기 S2W 최고제품책임자(CPO)

사이버공격의 패러다임이 근본적으로 변화하고 있다. 과거엔 해커들이 기업의 외부 방화벽이나 시스템 취약점을 직접 공략하는 방식으로 침입했다면, 이제는 상대적으로 보안이 취약한 협력사나 외부(3rd Party) 소프트웨어를 징검다리 삼아 내부로 침투하는 공격이 확산되고 있다. 바야흐로 기업이 신뢰하는 가장 취약한 연결고리를 집중 겨냥하는 ‘공급망 공격(Supply Chain Attack)’의 시대가 도래한 것이다. 공급망 공격은 단 한 번의 침해만으로도 연결된 비즈니스 생태계 전반에 연쇄적인 피해를 입히는 막강한 파괴력을 지니고 있어, 기존의 자사 중심 보안 방어 체계를 송두리째 뒤흔들고 있다.

그동안은 해외에서 발생한 위장 취업이나 원격 랩톱 팜(Laptop Farm) 같은 사례들이 주로 거론되며 공급망 위협이 우리와는 다소 거리가 먼 이야기처럼 여겨져 왔다. 하지만 최근 국내 기업을 직접 겨냥한 공급망 공격이 현실화되며 그 위협은 훨씬 가까운 곳에서 보다 직접적이고 치명적인 위험으로 나타나고 있다.

가장 대표적인 전이 위협은 ‘신뢰’에 기반한 외주 수탁사의 관리 사각지대에서 발생한다. 최근 국내 대형 금융사의 대체불가토큰(NFT) 플랫폼 구축 사업을 수행하던 외부 개발 수탁사 직원의 과실로 인해 1만 7000여명의 금융 소비자 개인정보가 고스란히 유출되는 사고가 일어났다. 수탁사 개발자가 소스코드(Source Code) 관리 플랫폼 깃허브(GitHub)에 임의로 방치해 둔 내부 테스트 데이터가 화근이 된 것이다.

이 사고는 개별 금융사나 대기업의 내부 방어망이 제 아무리 견고하더라도, 연결된 협력업체의 사소한 계정 관리 부실이나 소스코드 무단 노출 등이 원청사의 치명상으로 직결된다는 사실을 명확히 보여준다. 더욱이 개정된 신용정보법 제43조 제6항 등에 따라 수탁사의 과실로 인한 사고일지라도 업무를 위탁한 원청사가 연대 배상 책임과 금감원 제재를 지게 되면서, 이제 공급망의 보안 취약성은 단순한 기술적 위험을 넘어 원청사의 재무적 손실과 컴플라이언스 책임으로 이어지는 문제가 됐다.

개발 인프라를 직접 장악하는 지능형 공급망 공격 역시 임계점을 넘어섰다. 북한 배후 해킹 그룹이 전자서명 및 암호화에 사용되는 국내 공인 보안 모듈의 취약점을 직접 악용해 공공기관, 방산 기업, 언론사 등 50여개 주요 기업 및 기관을 연쇄 해킹한 사례가 대표적이다. 또한 국내 대표 전사적자원관리(ERP) 솔루션 개발업체의 정식 패치 업데이트 서버를 침해한 뒤, 정상적인 업데이트 프로그램에 악성 루틴을 주입해 고객사 시스템에 일괄 배포한 사건도 존재한다.

이처럼 공격자들은 철저한 통제와 망분리로 보호받는 금융사·공공기관 등의 ‘정문’을 뚫는 대신, 그들의 신뢰를 기반으로 시스템 권한을 부여받은 협력업체나 범용 패치 솔루션의 ‘뒷문’을 침투 경로로 삼았다. 정상적인 업데이트나 보안 모듈로 위장해 들어오기 때문에, 자사 내부 중심의 경계 보안 장비로는 이를 초기에 식별하는 것이 불가능에 가깝다.

문제는 공급망 공격의 수법이 이토록 정교해지는 동안에도 대다수 기업의 대응 방식은 여전히 무력한 ‘종이 방패’ 수준에 머물러 있다는 사실이다. 수많은 협력사를 거느린 기업들은 여전히 일년에 한두 번, 엑셀 체크리스트를 발송하거나 정보보호관리체계(ISMS)와 같은 컴플라이언스 인증서 사본을 제출받는 정적 점검 방식을 고수하고 있다. 파트너사의 주관적인 답변에 의존하는 이러한 방식으로는 24시간 실시간으로 이루어지는 자동화된 봇 스캐닝으로 끊임없이 노출되는 취약점이나 블랙마켓에서 수시로 거래되는 임직원들의 계정 정보를 기민하게 포착하기 어렵다. 그렇다고 협력업체의 내부 시스템에 직접 보안 에이전트를 강제 설치해 스캔을 시도하는 것은 파트너사의 강한 거부감과 심각한 법적·비즈니스적 프라이버시 침해 우려를 초래하기 때문에 현실적으로 불가능하다.

이제는 사후 대응 중심의 전략에서 벗어나 사이버위협 인텔리전스(CTI)와 제3자 위험 관리(Third Party Risk Management, TPRM)를 결합한 사전 예방형 보안 체계를 정교하게 구축해야 한다. 다크웹과 해킹 포럼, 텔레그램 등에서 유통되는 위협 정보와 외부에 노출된 자산을 공격자 시선에서 지속적으로 분석하고, 협력사와 외부 인력에 대한 위험도를 사전에 평가하는 체계가 함께 마련돼야 한다.

공급망 공격은 개별 기업의 노력만으론 대응하기 어렵다. ‘우리 회사는 안전한가’라는 좁은 프레임을 넘어 ‘우리와 연결된 모든 파트너는 안전한가’라는 보다 넓은 시야로 비즈니스 생태계 전체의 리스크를 관리하는 기업만이, 다가오는 초연결 사이버위협의 파고 속에서 사업의 영속성과 시장 경쟁력을 확보하게 될 것이다.

글. 김재기 S2W 최고제품책임자(CPO)