금융·의료기관 해킹 주의보…인터넷 서버 SW 치명적 결함
해킹 악용…대응에 몇주 걸려
연방 정부가 최근 서버용 소프트웨어의 결함이 발견돼 해커 공격에 대한 우려가 커짐에 따라 주요 금융·의료기관에 철저한 대비를 주문했다.
앞서 세계 인터넷 서버 대다수가 채용한 소프트웨어에서 해킹에 악용될 수 있는 치명적 결함이 발견돼 보안 업계에 비상이 걸린 상태다.
13일 CNN 방송에 따르면 국토안보부 산하 사이버안보·기간시설안보국(CISA)의 젠 이스털리 국장은 이날 컨퍼런스콜을 열어 오픈소스 로깅 라이브러리 ‘로그(log)4j’에서 발견된 취약점의 위험성을 경고했다.
그는 “이 취약점은 내 경력을 통틀어 접한 최악의 수준”이라며 “이는 광범위하게 악용될 수 있는데, 피해 위험을 줄이기 위한 조처를 할 시간이 많지 않다”고 말했다.
해당 취약점은 마이크로소프트가 서비스하는 온라인게임 ‘마인크래프트’에서 처음 발견됐지만, 사실상 모든 서버가 같은 문제를 안고 있다. 이 취약점을 이용하면 상대적으로 손쉽게 보안을 뚫고 서버 내부에 접근할 수 있는 것으로 전해졌다.
이에 오픈소스 프로젝트를 지원·관리하는 아파치소프트웨어재단은 로그4j 취약점의 보안 위협 수준을 1∼10단계 중 최고 등급인 ‘10단계’로 평가하고 지난 6일 보안 업데이트를 발표했다.
하지만 전문가들은 정부기관과 기업체들이 보안체계의 구멍을 메우는 데 최소 한 주에서 수주까지 소요될 것으로 보고 있다.
이미 일부 해커들은 로그4j 취약점을 이용하기 시작한 것으로 전해졌다. 사이버보안업체 맨디언트의 찰스 카마컬 수석부사장은 “중국 정부와 연계된 해커들이 로그4j 취약점을 악용하기 시작했다”고 말했다.
그러나 그는 공격 대상이 어디였는지 등 구체적인 사항은 밝히지 않았다.
CISA는 어떤 소프트웨어 제품이 취약점을 갖고 있는지, 해커들이 그 약점을 이용하기 위해 어떤 기술을 쓰는지 등의 정보를 제공하는 홈페이지를 운영할 예정이다.
IT 보안 업계는 시스템 취약점을 파악하기 위해 분주히 움직이고 있다.
사이버 보안 전문가들은 지난주 소프트웨어 결함 소식이 알려지자 그들이 관리하는 시스템의 결함이 있는지 보기 위해 주말 내내 비상 근무해야 했다.
인터넷 보안회사인 디지털 쉐도우의 릭 홀란드는 “IT 업계에 원래 주말이란 것은 없다”라며 “주말은 그냥 연장된 날들의 연속일 뿐”이라고 말했다.