소닉월, 2017년 연간 보안 위협 보고서 핵심 요약은?

보안 솔루션 전문 기업 소닉월(SonicWall)은 2016년 보안 산업 및 사이버 위협을 분석한 ‘2017 소닉월 연간 보안 위협 보고서(2017 SonicWall Annual Threat Report)를 발표했다.

이번 보고서는 자사의 글로벌 대응 인텔리전스 방어국(Global Response Intelligence Defense, 이하GRID) 위협 네트워크에서 약 200개 국가 및 지역 내 100만 개 가량의 보안 센서를 통해 수집한 자료를 기반으로 작성됐다.

2016년 보안 위협 현황을 분석한 이번 보고서는 특히 POS(Point of Sale) 멀웨어 공격 감소, SSL/TLS(Secure Sockets Layer / Transport Layer Security) 암호화 트래픽 증가, 익스플로잇 킷(Exploit Kit)의 소멸 등 발전된 글로벌 보안 산업 현황과 랜섬웨어(ransomware) 증가, 사물인터넷(Internet of Things, IoT) 기기를 활용한 디도스(Distributed Denial-of-Service, DDoS)  공격, 안드로이드 장치의 오버레이(overlay) 공격 취약점 등 신종 사이버 공격에 대한 현상을 진단했다.

보고서에 따르면, 2016년은 전반적으로 보안 산업이 전년 대비 나은 성과를 보였다. 새롭게 발생한 멀웨어 샘플의 개수가 2015년 대비 6.25% 감소한 6000만개를 기록했으며, 멀웨어 공격 역시 2015년 81억9000만건에서 2016년에는 78억7000만건으로 감소했다고 밝혔다. 이에 반해,  사이버 범죄는 서비스형 랜섬웨어(Ransomware-as-a-Service, 이하 RaaS)의 증가에 힘입어 가속화된 것으로 나타났다.

◇ 발전을 거듭하고 있는 보안 산업

1) 2014년부터 2016년 까지POS멀웨어 공격 93 % 감소

지난 2014년 홈디포(Home Depot), 타깃(Target), 스테이플스(Staples)  등 미국 내 주요 소매 유통업체가 사이버 공격을 당한 사건 이후, 보안 업계에서는 칩 기반 POS 시스템 구현, 신용카드 데이터 보안 표준(PCI DDS, Payment Card Industry Data Security Standard) 체크리스트 및 기타 보안 조치를 지속적으로 행했다. 이에 따라 2014년에는 전년 대비 새롭게 개발되고 배포된 POS 멀웨어 보안 대책이 333% 증가하는 양상을 보였고, 이후 신종 변종 POS 멀웨어는 매년 88%씩, 2014년 이후로는 총 93% 감소한 것으로 나타나, 사이버 범죄에서 POS  멀웨어에 대한 비중이 점차 낮아지고 있음을 알 수 있었다.

2) 클라우드 애플리케이션 도입 증가로 SSL/TLS 암호화 트래픽 38 % 증가

보고서에 따르면, SSL/TLS(Secure Sockets Layer)/TLS(Transport Layer Security) 암호화 트렌드가 수년간 지속되고 있다. 2016년 한 해 동안 웹 트래픽이 증가한 만큼, SSL/TLS 암호화 역시 2015년 약 5조 3,000만 건에서 2016년 7조 3,000만 건으로 급증했고, 전체 웹 세션 중 SSL/TLS로 암호화된 웹 트래픽의 비중이 62% 차지한 것으로 나타났다.

또한, 클라우드 애플리케이션 사용량이 2014년 88조, 2015년 118조, 2016년 126조로 점차 급증하게 된 것이 SSL/TLS 암호화 증가의 주요 이유로 보인다고 밝혔다. 보고서는 SSL/TLS 암호화에 대해 전반적으로 보안 산업에서 긍정적인 역할을 하고 있는 것으로 분석했지만, SSL/TLS 암호화된 웹 세션 내부에 숨어있는 멀웨어를 탐지하는 심층 패킷 분석(Deep Packet Inspection)을 위한 인프라가 구축되지 않은 기업이라면 오히려 사이버 범죄자들에게 백도어 네트워크를 제공하여 보안에 위협이 될 수도 있다는 점도 밝혔다.

3) 대표적인 익스플로잇 킷인 앵글러, 뉴클리어, 뉴트리노 2016년에 소멸

2016년이 시작되면서 앵글러(Angler), 뉴클리어(Nuclear), 뉴트리노(Neutrino)로 대표되는 익스플로잇 킷이 멀웨어 시장을 주도했다. 러크 트로이목마(Lurk Trojan)을 이용한 은행 사기 사건으로50명의 러시아 해커가 체포된 후 앵글러 익스플로잇 킷이 사라졌고, 이 후 뉴클리어, 뉴트리노도 빠르게 소멸됐다. 

보고서에 따르면, 이러한 주요 익스플로잇 킷들이 사라진 이후 남은 멀웨어들은 여러 개의 작은 버전으로 나누어졌다. 예를 들어, 릭(Rig)은 2016년 3분기까지 URL 패턴, 방문 페이지 암호화 및 페이로드(payload) 전달 암호화를 활용하는 세 가지 버전으로 분리 진화했다. 그 밖에, 2016년 익스플로잇 킷은 케르베르(Cerber), 록키(Locky), 크립믹(CrypMIC),  밴다코어(BandarChor), 테슬라크립트(TeslaCrypt)와 같은 랜섬웨어의 일부로 변모하기도 했지만, 앞서 언급된 대표적인 세가지 익스플로잇 킷의 소멸 이후 크게 시장을 장악하지는 못한 것으로 파악됐다.

◇ 진화된 사이버 범죄

1) 랜섬웨어 매년167배씩 증가, 악성 이메일 공격 및 익스플로잇 킷의 페이로드로 활용

보고서에 따르면, 랜섬웨어 공격은 2015년 380만 건에서 2016년 6억 3800만건으로 폭발적으로 증가했다. RaaS의 등장과 함께 랜섬웨어는 지하 시장에서 쉽게 접근할 수 있고, 공격에 드는 비용이 저렴하며, 배포가 편리하고 적발 시 상대적으로 낮은 처벌을 받는다는 사실을 바탕으로 폭발적 성장을 기록했다. 

랜섬웨어 공격은 2016년 3월 한달 간 282,000 건에서 3,000만건으로 폭증하고, 그 후 한 해가 끝날 때까지 지속적으로 증가하여 4분기에는 총 2억6650만 건을 기록했다. 

또한, 2016년 악성 이메일 공격에는 네머코드(Nemucode) 공격의 약 90%를 차지하고, 1년 간 총 5억건 이상의 공격에 사용된 록키(Locky) 랜섬웨어가 주로 이용됐다. 이러한 랜섬웨어 공격은 기계 및 산업 엔지니어링(15%), 제약(13%), 금융(13%), 부동산(12%) 등 다양한 산업에 걸쳐 고루 발생한 것으로 나타났다.

2) IoT 기기의 보안 취약점으로 광범위한 디도스 공격 발생

보고서에 따르면, 스마트 카메라를 비롯해 웨어러블, 스마트 홈∙카∙엔터테인먼트∙터미널 등 다양한 IoT 기기에서 전반적인 보안 취약점이 발견되었다. 이에 따라 2016년에는 수십만 대의 IoT  기기 암호 취약점을 활용한 ‘미라이 봇넷(Mirai Botnet)’ 디도스 공격 사건이 발생한 바 있다. 해당 공격의 주요 타깃은 미국(70%)이었고,  다음으로 브라질(14%), 인도(10%) 순으로 나타났다.

3) 오버레이 공격에 취약한 안드로이드(AndroidTM) 기기

2016년에는 화면 오버레이를 활용, 실제 앱 스크린을 모방해 사용자로 하여금 로그인 정보 및 기타 데이터 입력을 유도하는 형식의 사이버 범죄가 다수 발견됐다. 안드로이드가 새롭게 향상된 보안 기능으로 대응해도, 사이버 공격자들은 오버레이 허용 권한을 사용자에게 부여하여 이를 피해가는 방식이다. 또한, 랜섬웨어는 구글플레이(Google Play)에서 차단된 성인용 앱이라 해도 이를 써드파티(third-party) 앱스토어를 통해 자체 설치하기도 한다. 보고서에 따르면, 이처럼 자체 설치되어 보안에 위협을 가하는 앱이 2주 동안 4000개 이상 발견된 바 있다.

이웅세 소닉월 코리아 지사장은 “많은 기업들이 시시각각 변화하는 다양한 보안 위협에 적절하고 유연한 대책을 마련하기 위해 고민이 많을 것으로 예상한다”며, “소닉월이 발간한 이번 보안 위협 보고서는 2016년의 보안 산업과 사이버 범죄 유형을 진단하고, 2017년의 보안 대책을 수립하는 데 실질적인 도움을 줄 수 있을 것”이라고 말했다.

2017년 소닉월 연간 보안 위협 보고서의 자세한 내용은 소닉월 영문 홈페이지를 통해 확인 가능하다.