연말연시 사이버 위협 대비한 보안 강화 요청 및 대국민 보안수칙 살펴보니
침해사고 시 네트워크 분리, KISA 보호나라·인터넷침해대응센터에 신고 필요

[보안뉴스 박은주 기자] 상대적으로 보안이 취약해지는 연말연시, 기업과 개인을 겨냥한 사이버 위협이 증가하고 있다. 기업을 대상으로 한 랜섬웨어 공격과 공급망 해킹, 개인을 노린 피싱 사례가 반복되고 있어 철저한 대비가 요구된다. 이에 한국인터넷진흥원(KISA)는 12월 2일 ‘연말연시 사이버 보안 권고’ 발표를 통해 구체적인 보안 강화 수칙을 안내했다.


[이미지=보안뉴스]

기업, ‘외부 접속 차단하고, 이메일 확인 또 확인’
랜섬웨어 감염 예방을 위한 대책 마련이 필요하다. 우선 기업 자산 중 외부에 공개된 시스템 현황을 파악해야 한다. 불필요한 시스템 연결을 차단하는 등 외부 접속 관리가 필요하다. 시스템 등 최초 설치할 때 사용한 기본 관리자 비밀번호를 바꾸고, 비사용 계정을 점검하는 등 계정 관리 강화가 요구된다. 중요 자료는 네트워크와 분리된 장소에 보관하고, 정기적으로 백업하는 것이 안전하다.

만일 랜섬웨어에 감염됐다면 최우선으로 감염 대상을 네트워크에서 분리해야 다른 기기나 서버로의 확산을 막을 수 있다. 이후 KISA에 침해사고를 신고하면 된다. ‘KISA 인터넷보호나라&KrCERT’ 페이지 내 침해사고 신고 페이지나 인터넷침해대응센터 종합상황실을 통해 신고할 수 있다.

기업에서 자체 보안 시스템을 갖췄더라도, 공급망(협력사)를 통한 침해사고가 발생하고 있다. SK쉴더스가 지난 3월 자체 조사한 ‘협력회사를 통한 침해사고’ 통계에 따르면 전체 정보 보안 침해사고 중 35%가 협력사를 통해 발생했다. 특히 이메일이 공격의 실마리가 되는 만큼 해킹 메일에 대한 주의가 요구된다.

메일 사용자는 보낸 이를 정확히 확인하고, 보낸 사람이 불분명한 메일은 함부로 열지 말아야 한다. 메일을 보낸 사람에게 전화나 문자 등으로 메일 송신 여부를 확인하는 방법도 있다. 불가피하게 이메일 확인이 필요하다면 가상화 기반에 격리된 네트워크 환경에서 확인하는 게 안전하다. 이메일 본문에 출처가 불분명한 사이트 주소는 클릭을 자제해야 하며, 사이트 주소와 정상 사이트 주소의 일치 여부를 꼼꼼히 확인해야 한다.

특히, 메일에 첨부된 파일을 열람할 때는 각별한 주의가 필요하다. 파일 확장자를 확인하고 문서 아이콘으로 위장한 실행파일(.exe)은 클릭하지 말아야 한다. 이메일 확인에 앞서 보안 솔루션 등을 사용해 유해성을 확인하고 해킹 메일을 차단하는 것이 안전하다. 해킹 메일을 받았거나 메일 열람 후 악성코드 감염 등 피해가 발생했다면, 감염 기기의 네트워크를 분리하고 KISA에 신고 조치해야 한다.

사용하는 소프트웨어 및 시스템, 솔루션 등은 최신으로 업데이트해야 한다. 자동 업데이트를 활성화해 운영체제 소프트웨어의 최신 보안패치를 적용해야 취약점 등 위협에 대비할 수 있다. 특히 최근 발표된 아래 고위험도 취약점에 대한 긴급 패치 적용은 필수적이다.

△팔로알토네트웍스, 방화벽 제품 관련 취약점(인증 우회 취약점, CVE-2024-0012/ 권한 상승 취약점, CVE-2024-9474 등)
△브로드컴 브이센터 제품 관련 취약점(힙 오버플로우 취약점, CVE-2024-38812/ 권한 상승 취약점, CVE-2024-38813)
△포티넷 포티매니저 제품 관련 취약점(코드 실행 취약점, CVE-2024-47575 등)
△오라클 PLM 애자일 프레임워크 제품 관련 취약점(부정 권한 획득 취약점, CVE-2024-21287)
△프로그레스 로드마스터 제품 관련 취약점(임의명령 실행 취약점, CVE-2024-1212)

최신 보안 업데이트 정보는 KISA 보호나라 홈페이지의 보안공지나 미국 CISA 홈페이지를 통해 알 수 있다. 사용하는 장비별 제조사 홈페이지에 접속해 최신 업데이트 정보를 확인하는 습관이 요구된다.

개인, ‘의심스러운 전화·문자·메일 클릭 금지’
각종 기념일과 소비가 증가하는 연말연시에 개인을 대상으로 한 스미싱(미끼문자)이나 보이스피싱 등 각종 사이버 공격이 늘어난다. 특히, 공공기관을 사칭한 스미싱 공격이 기승을 부리고 있다. KISA에 따르면 2024년 기준 스미싱 탐지 건수는 150만 건 중 공공기관을 사칭한 스미싱이 약 96만 건으로 가장 많았다.

KISA가 공유한 실제 스미싱 사례를 살펴보면 다음과 같다.
-지방세징수법 제33조의 규정에 의거, 귀하 소유의 재산(예금)을 조회하여 압류 예정
-벌금징수법 제15조의 규정에 의거, 미납된 귀하의 벌금을 조회하여 압류 예정

위와 같이 공공기관을 사칭해 ‘재산’, ‘압류’, ‘벌금’ 등 사용자를 압박하는 내용으로 문자를 작성하고, 포함된 URL의 클릭을 유도하는 방식으로 공격이 진행된다. 민원처리 등 생활에 밀접한 내용으로 문자를 보내기도 한다. 공공기관 외에도 지인 사칭, 택배, 금융기관을 사칭하기도 했다.

문자 수신 시 출처가 불분명한 사이트 주소는 클릭하지 말고 바로 삭제해야 한다. 의심되는 사이트 주소는 정상 사이트 주소와 일치 여부를 확인하는 것이 안전하다. 휴대전화번호, 아이디, 비밀번호 등 개인정보는 신뢰할 수 있는 사이트에만 입력하고 인증 번호는 모바일 결제로 연계될 수 있으므로 재차 확인해야 한다.

악성 앱 설치가 의심될 때는 앱을 내려받은 경로를 확인하고 수동으로 삭제한 후 서비스센터를 방문하는 방법이 있다. 스미싱 문자를 받았을 땐 KISA의 보이스피싱통합신고센터, 보호나라 카카오톡 챗봇 등을 통해 신고할 수 있다.

문자와 마찬가지로 SNS, SNS 메신저, 이메일에서도 URL 및 첨부파일을 함부로 클릭하면 안 된다. 피싱 피해로 계정이 탈취된 경우 즉시 패스워드 등 계정 정보를 변경해야 더 큰 피해를 막을 수 있다. 동일 비밀번호를 사용하는 타 사이트의 비밀번호를 변경하고 2차 인증을 설정하는 게 안전하다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>