3줄 요약
1. 2025년, SW 공급망 보안 위협이 더욱 기승을 부릴 것으로 전망
2. 주로 보안관리가 취약한 중소 협력업체 타깃으로 공급망 공격 시도
3. 정부, 공급망 보안 강화에 필요한 SBOM 실증 추진 예상

<보안뉴스>의 보안전문 기자들이 2025년 국내외 보안시장의 핵심 기술과 키워드 10개를 선정했다. 보안 핫 키워드 10개는 본지가 매년 시행하고 있는 보안시장 설문조사와 함께 보안업계 관계자, 전문가 인터뷰를 통해 도출했다. 인공지능 CCTV 확대, 모바일 통한 본인인증 활성화, 생성형 AI 보안위협, ‘세계 정치의 해’에 따른 북한발 사이버위협 및 핵티비즘 고조 등을 꼽았던 2024년과 달리 2025년에는 어떤 보안 이슈들이 주목 받게 될지 지금부터 하나씩 살펴보자. [편집자주]


[이미지=gettyimagesbank]

[보안뉴스 김경애 기자] 2025년에는 SW 공급망 보안 위협이 더욱 기승을 부릴 것으로 보인다. SW 공급망 공격은 한 번의 공격으로 많은 피해를 입힐 수 있어 공격자 관점에서는 매우 선호하는 공격이다. 한국인터넷진흥원(KISA)과 보안기업은 2025년 주요 보안이슈 전망으로 공급망 보안을 꼽으며, 이에 대한 대비를 주문하고 있다. 그만큼 SW 공급망 공격 위험이 미치는 영향이 크고 치명적이란 얘기다.

SW 공급망 공격이란 공격자가 협력업체나 공급업체의 소프트웨어 개발 단계에 침입해 최종적으로 완성된 제품·서비스 및 사용자에게 피해를 주는 공격이다. 2023년 OSSRA 보고서에 따르면 SW 내 오픈소스 비중은 96%에 이르고, 오픈소스 취약점 비중은 84%에 달한다.

Sonatype 9회 공급망 보고서에 따르면 2019년부터 2023년까지 SW 공급망 공격은 3배 증가했다. 국내 역시 2024년 공급망 보안 이슈가 발생하며 증가하는 추세다. △2024년 2월, 악성 PyPI 패키지 유포 △4월, 국내 게임사 대상 공격 △8월, 백신 소프트웨어 취약점을 악용한 악성코드 배포 등 다양한 침해사고로 이어진 바 있다.

KISA는 ‘2025년 사이버보안 10대 이슈’ 중 하나로 SW 공급망 보안을 꼽았다. KISA 박용규 단장은 “서드파티와 협력업체를 통해 주로 이루어지며, 피해 기업은 공격 사실조차 인지하지 못한 채 심각한 피해를 입게 된다”며 “특히, 오픈소스 환경을 겨냥한 APT(Advanced Persistent Threat, 지능형 지속 위협) 공격이 감행되며 개발자와 소프트웨어 사용자를 위협했다”고 말했다.

이어 “공격자는 소프트웨어 업데이트를 가장해 악성코드를 유포하거나 SaaS 환경에 침투해 광범위한 피해를 유발했다”며, “단순한 기술적 문제를 넘어 기업의 신뢰와 브랜드 가치를 훼손하는 결과를 초래했다”고 밝혔다.

SW 공급망 보안 위협은 보안기업에서도 주목하고 있다. 안랩은 2025년 주목해야 할 5가지 주요 보안 위협으로 공급망 보안을 선정했다. SW 공급망 공격이 증가하고 있다는 것. SW 및 IT 시스템에 대한 의존도와 공급망의 복잡도가 높아짐에 따라 공격자는 이러한 환경을 노린다는 게 안랩의 설명이다.

안랩은 “한 번의 공격으로 공급망 내 여러 조직의 운영에 타격을 줄 수 있어 공격자는 ‘SW 공급망 공격’을 더욱 활발히 진행할 것”이라며 “주로 상대적으로 보안 관리가 취약한 중소 협력업체에 대한 공격을 시도한다”고 분석했다.

SW 공급망 보안 위협과 관련해 보안기업은 보안 강화 주문과 대응방안 제시를, 정부는 SW 공급망 보안 강화 정책에 나서고 있다. 안랩은 SW 공급망 가시성 확보를 위해 협력업체 대상으로 주기인 공급망 보안 감사를 주문했다.

SW 공급망 보안 대응방안으로는 중소기업 보안 역량 강화, 취약점 발견에 따른 적시 대응 훈련, 소프트웨어 취약성 문제의 선제적 해결 등을 제시했다.

KISA는 △개발자의 책임성 강화 등 글로벌 기준에 맞는 국내 대응책 △해외 무역장벽 해소, 글로벌 공급망 위협 대응 방안 제공 목적 등을 위한 한국형 가이드라인 개발 △정책적 시급성, 피해 파급력이 높은 분야 우선 적용방안 마련 등 SBOM 적용 방법 연구가 필요하다는 입장이다.

이에 따라 국제 공급망 보안 정책 기준을 준용한 한국형 공급망 보안 강화 정책과 산업화 전략을 마련할 계획이다. SBOM 실증으로 주요 대상의 공급망 보안 역량을 강화하겠다는 것. 대내외 환경 변화에 대응해 공급망 보안 강화에 필요한 SBOM 실증을 추진할 방침이다. 디지털 서비스 생명주기를 고려한 전 단계(DevOps)의 보안 적용과 민간, 공공 분야 보안 점검 기준 적용도 계획하고 있다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>