해킹 이미지. 로이터=연합뉴스
정부가 뉴스 사이트나 병원 홈페이지에 접속하는 것만으로도 악성코드에 감염될 수 있는 사이버 공격이 확인됐다며 보안 경고를 발령했다. 보안업계는 올해 상반기 잇따른 공격이 북한 해킹조직 '라자루스'의 소행일 가능성에 무게를 두고 있다.
30일 정부와 보안업계에 따르면 국가정보원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원은 안랩, 에스투더블유, 엔키화이트햇, 플레인비트 등 민간 보안기업과 함께 최근 '합동 사이버보안 권고문'을 발표했다.
권고문에 따르면 해킹조직은 채용 지원이나 기부 제안 등을 가장한 피싱 메일과 함께 뉴스·병원 사이트를 악용하는 '워터링홀' 공격을 동시에 활용하고 있다.
특히 이용자가 자주 찾는 웹사이트에 악성코드를 미리 심어두고, 방문자가 해당 사이트에 접속하기만 해도 오래된 보안프로그램의 취약점을 악용해 악성코드를 자동 설치하는 사례가 확인됐다.
피싱 메일도 갈수록 교묘해지고 있다.
해킹조직은 이력서를 첨부파일 대신 링크 형태로 삽입해 사용자가 클릭하도록 유도한다. 해당 링크는 해커가 개설하거나 탈취한 블로그나 깃허브 페이지로 연결되며, 접속만으로도 구버전 보안프로그램의 취약점을 통해 악성코드가 설치될 수 있다.
'고연봉 일자리 제안' 등으로 위장한 악성 첨부파일을 보내거나 실제 헤드헌터 계정을 탈취해 발신자를 속이는 수법도 확인됐다.
워터링홀 공격도 더욱 고도화되고 있다.
공격자는 뉴스나 병원 등 자주 이용하는 사이트를 미리 해킹해 악성코드를 숨겨두거나 웹사이트 소스코드를 변조한다. 사용자가 사이트를 방문하면 PC에 설치된 구버전 전자서명, 보안인증, 키보드보안 프로그램 등의 취약점을 이용해 악성코드가 자동 설치된다.
정부는 최근 공격이 탐지를 피하기 위해 악성코드를 숨기거나 웹사이트 코드를 직접 변조하는 방식으로 진화하면서 보안관제로도 탐지하기 어려워졌다고 설명했다.
국가배후 해킹에 정통한 보안업계 전문가는 "북한 배후 해킹조직 라자루스의 소행으로 추정된다"며 "올해 상반기 워터링홀 공격이 여러 차례 이뤄진 것으로 파악된다"고 말했다.
악성코드에 감염되면 브라우저에 저장된 계정과 비밀번호, 카드 정보는 물론 PC에 저장된 문서와 사진, 연락처, 메신저 대화 내용까지 유출될 수 있다.
또 감염된 PC를 통해 같은 네트워크에 연결된 다른 컴퓨터로 악성코드가 확산될 가능성도 있다.
기업의 경우 소스코드와 내부 문서, 고객 정보, 인사자료, 영업비밀 등을 탈취한 뒤 이를 공개하겠다며 금전을 요구하는 협박으로 이어질 수 있어 각별한 주의가 필요하다.
정부는 개인 사용자에게 운영체제와 모든 소프트웨어를 최신 버전으로 유지하고, 중요 계정에는 2단계 인증을 적용하며, 출처가 불분명한 메일의 첨부파일이나 링크는 열지 말 것을 당부했다.
기업에는 소프트웨어 일괄 점검과 네트워크 분리, 다중인증(MFA) 도입, 정기적인 보안 교육을 실시할 것을 권고했다.
정재홍([email protected])