모든 사고를 API 취약점으로 설명할 수는 없다. 그러나 외부 업무 채널이 내부 시스템과 고객 데이터에 어떻게 접근하는지 살펴볼 때 API는 우선 점검 대상이다. 이번 사고들을 계기로 어떤 API가 운영되고 있으며 누가 어떤 권한으로 데이터를 이용하는지, 관리 체계 전반을 재정비할 때다.
외부 업무지원 시스템을 둘러싼 사고가 던지는 질문은 분명하다. 고객 데이터에 접근할 수 있는 모든 경로가 조직의 보안 관리 범위에 포함돼 있는가 하는 것이다. API는 웹·모바일 서비스와 내부 업무시스템, 외부 협력사, AI 서비스를 연결한다. 서비스가 늘어나고 시스템이 복잡해지면 실제 운영 중인 API와 자산 목록 사이에 차이가 생기기 쉽다.
넷스카우트(한국 대표 김재욱)는 올해 상반기 1Tbps(테라비트/초) 또는 1Gpps(기가패킷/초)를 넘는 대규모 분산 서비스 거부(디도스, DDoS) 공격이 전년 동기보다 1286% 증가했다고 23일 밝혔다.
전 세계 웹사이트 개발에 널리 사용되는 프로그래밍 언어 PHP에서 서버를 원격으로 장악할 수 있는 치명적인 취약점이 발견됐다. 별도 인증 없이 악성코드를 실행하거나 서버에 저장된 정보에 접근할 수 있는 취약점으로, 영향 범위가 특정 웹사이트나 소프트웨어에 국한되지 않는다는 점에서 우려가 크다. 유럽 일부 국가에서는 정부와 공공기관의 웹서비스를 예방적으로 중단하는 상황까지 벌어지고 있다.
최근 금융권에서 잇따라 발생한 침해사고 중 일부에서 직원·대출모집인용 외부 업무지원 시스템을 통한 정보 유출이 확인되면서, 외부 접속 관리 강화가 필요하다는 지적이 나온다. 외부 업무시스템에서 고객정보가 유출된 사례로는 신한은행의 대출모집인용 조회서비스, KB국민은행의 직원용 모바일 업무지원시스템, 하나은행의 영업지원시스템(ODS)이 있다. 금융위원회는 지난 14일 발표한 금융권 전반의 보안점검 결과에서도 대외 시스템의 인증·인가 누락과 다중인증 미도입 등을 주요 미흡사항으로 꼽았다.
인공지능(AI)이 해킹 도구에서 더 발전해 다른 기기로 옮겨가며 스스로 복제하는 ‘AI 웜(AI Worm)’으로 발전할 수 있다는 연구 결과가 나왔다. 앤트로픽은 지난 12일 인터넷에 연결된 저사양 기기에서도 AI 모델을 실행하고 제한된 환경에서 복제 절차를 수행할 수 있다는 연구 결과를 발표했다. 실제 인터넷에서 AI 웜이 확산한 것은 아니지만, AI가 사람의 개입 없이 공격을 이어갈 가능성을 보여줬다는 설명이다.
크라우드스트라이크(CrowdStrike)는 미국 연방수사국(FBI)이 지난 9월 말 북한 연계 공격조직의 위장취업에 사용된 미국 내 ‘노트북 팜(Laptop Farm)’ 여러 곳을 차단하는 과정에서 위협 정보와 기술 분석을 제공했다고 지난 13일 밝혔다.
티오리(대표 박세준)는 인공지능(AI) 보안 도구 ‘아르텍스(ARTEX)’를 검증하는 실험에서 안전장치를 활성화한 상태에서도 실험용 데이터가 삭제되는 현상을 확인했다고 15일 밝혔다. 티오리는 아르텍스 등 AI 보안 도구의 동작 방식과 자체 실험 결과, 대응 방안을 담은 백서를 발간했다.
연이은 금융권 침해사고로 망분리 규제 완화를 둘러싼 금융권의 고민이 깊어지고 있다. 신기술 활용을 확대하려면 외부 네트워크와의 연결을 넓혀야 하지만, 그만큼 사이버 공격과 정보 유출 위험도 커질 수 있기 때문이다. 금융당국은 규제 완화 기조를 유지하고 있어, 금융사의 신기술 활용을 보장하면서 보안 수준을 어떻게 유지할지가 과제로 떠오르고 있다.
정보보호 및 개인정보 보호 관리체계(ISMS-P) 인증을 받은 기업에서도 개인정보 유출사고가 반복되면서 인증 제도의 실효성이 국정감사에서 도마에 올랐다. 물론 인증은 침해사고를 막아준다는 보증은 아니지만, 인증 이후 기업이 보안관리 수준을 유지하고 있는지, 정부의 사후심사가 실제 보안 위험을 충분히 검증하고 있는지를 놓고 의문이 제기됐다. 13일 국회 정무위원회의 개인정보보호위원회(이하 개인정보위) 국정감사에서는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기업의 잇단 유출사고와 사후관리 문제가 쟁점으로 다뤄졌다. 개인정보위는 인증 심사의 한계를 인정하고 현장 중심의 기술 검증을 강화하는 한편, 인증 취득에 따른 과징금 감경 폭도 줄이겠다는 방침을 밝혔다.
금융권에서 잇따라 발생한 침해사고와 관련해 디지털자산거래소 고팍스 운영사 스트리미에서도 일부 고객 계정에 대한 비정상 접근 시도가 확인됐다. 접근 시도가 발생한 계정은 한 자릿수로, 현재까지 자산 피해는 없는 것으로 파악됐다.
“오픈소스 기반의 도구로 사람이 직접 테스트하는 방식으로는 이제 AI의 속도를 따라갈 수 없습니다. 침투테스트도 AI 기반 플랫폼으로 자동화해야 합니다.” 김완중 아이엠팜 대표는 12일 바이라인네트워크와의 인터뷰에서 “인공지능(AI)을 활용한 공격에 대응하려면 기업의 침투테스트도 AI로 자동화해야 한다”고 거듭 강조했다. 그는 “시스템이 바뀔 때마다 취약점을 확인하고, 조치 후에도 같은 경로로 접근할 수 있는지 검증하기 위해서는 AI 기반의 침투테스크 플랫폼이 필요하다”고 덧붙였다.
최근 국내 금융권 연쇄 침해사고에서 인공지능(AI) 기반 자율 침투테스트 도구 ‘ARTEX(아르텍스)’가 활용된 정황이 구체화되고 있다. 보안업체 크라우드스트라이크가 공격자가 관리한 서버에서 아르텍스 설정파일과 AI 작업 기록 등을 확보해 분석한 가운데, 아르텍스 개발자는 도구가 악용된 상황을 이유로 공개 개발과 배포를 중단했다.
파이오링크(대표 조영철)가 최근 근융권 침해사고의 원인으로 지목되고 있는 인공지능(AI) 기반 자율 침투테스트 도구 ‘아르텍스(ARTEX)’ 관련 공격에 대응하는 웹방화벽 탐지·차단 시그니처를 제공한다고 8일 밝혔다. AI를 이용한 사전 취약점 검증과 실시간 공격 차단, 보안관제를 결합해 자동화 공격에 대응한다는 전략이다.
최근 금융권에서 잇따라 발생한 침해사고를 계기로 인공지능(AI) 기반 자율 침투테스트 도구 ‘아르텍스(ARTEX)’가 주목받고 있다. 공격에 AI가 활용됐을 가능성이 제기된 가운데 보안업계에서도 아르텍스와 관련된 정황을 분석하고 있다. 다만 금융당국과 수사기관의 조사가 진행 중인 만큼 아르텍스가 실제 이번 공격에 사용됐는지는 확인되지 않았다.
최근 금융권에서 잇따라 발생한 침해사고에서 인공지능(AI)은 새로운 공격기법을 만들어냈다기보다 기존 공격의 속도와 규모를 키우는 역할을 했다는 분석이 나왔다. SK쉴더스는 최근 금융권 침해사고와 AI 기반 공격 도구 ‘아르텍스(ARTEX)’를 분석한 ‘AI 자동화 공격 시대, 섀도우 IT를 노린 침해사고 분석 및 대응 가이드’를 8일 공개했다.
End of content
End of content
