비 영어권 공격 확대...공격대상 넓고 빈도 잦아

[보안뉴스 김태형] 지난해 4분기 전 세계 디도스(DDoS) 공격은 3600건 이상 발생해 전년 동기 대비 약 1.5배 증가한 것으로 나타났다. 또한, 2015년 3분기 전 세계 디도스 발원 국가 6위였던 한국은 4분기에 전 세계 디도스 공격의 9%를 차지하며 4위에 올랐다. 중국은 28%로 1위, 터키가 22%로 2위, 미국이 15%를 기록하며 3위를 차지했다.



이는 아카마이가 전 세계 사이버 공격과 위협을 분석한 ‘2015년 4분기 인터넷 현황 보안 보고서’에 따른 것으로, 디도스 공격의 주 표적이 된 게임 업계는 4분기에도 전체 공격의 절반 이상을 차지하며 가장 큰 피해를 입었다.

소프트웨어·기술 업계가 약 23%, 금융서비스가 약 7%로 그 뒤를 이었다. 특히, 4분기 최대 규모 공격을 당한 소프트웨어·분야 한 기업은 초당 최대 309Gbps~202Gbps의 공격을 받았다.

또한, 인터넷 공급 업체(이하 ISP)들이 직면한 가장 큰 위협 중 하나도 바로 디도스 공격이다. 최근 들어 인터넷 공급 업체는 공공기관의 성격을 띠게 되었는데, 그래서 해커들의 검은 눈길이 많이 머무르는 곳이기도 하다. 어떤 조사에서는 2015년 4분기 동안 디도스 공격에 가장 많이 노출된 산업은 IT·클라우드·SaaS였던 것으로 드러났다.

또한, 디도스 공격 자체로도 서비스 마비 및 사이트 잠정 중단 등 적지 않은 피해가 일어날 수 있는데, 이를 ‘시선 끌기’용으로 활용해 데이터 탈취 등 추가 피해를 일으키는 등 해커들의 공격이 날로 증가하고 있다.

이에 대해 아카마이코리아 안준수 제품전략 상무는 “사이버 테러 위협이 점차 증가하고 있는데도 국내 기업들의 보안투자는 여전히 부족한 실정이다. 대부분의 기업 보안담당자들은 컴플라이언스나 특정 규제만 충족하면 안전하다고 생각하고 있어 보안의식이 여전히 미흡하다고 볼 수 있다”고 말했다.

하지만 최근 아카마이에서 관측하고 처리한 세계적인 디도스 공격의 규모를 보면, 지난 2009년에 48G, 2011년 79G, 2014년 321G의 공격이 탐지됐다. 국내에서는 지난 2011년 1G, 2013년 일베 공격이 40G, 지난 2015년 DD4BC 공격은 최대 25G였다.

안준수 상무는 “지난해 국내 금융기관에 발생한 DD4BC 공격은 지난 2014년 처음 발견되어 2015년에 국내에 공격을 감행했고 2016년 1월 핵심 용의자가 체포되면서 일단락됐다”면서 “이 공격은 초기엔 작은 공격을 수행하면서 비트코인을 요구하는 이메일을 보내 시한(24시간 내외)을 넘기면 금액을 올려 요구했다. 공격규모는 최대 56G에서 최대 400G 까지 가능하다고 주장했다”고 말했다.

과거에는 불법적인 사이트를 대상으로 이와 같은 공격을 했으나, DD4BC는 모든 업계를 대상으로 공격을 시도했고 금융권 공격이 58%를 차지했다. 즉, 디도스 공격은 이처럼 점차 대중화되고 있고 공격을 빌미로 복잡한 돈세탁 등 금융의 복잡성을 제거할 수 있는 비트코인을 지불수단으로 활용하고 있다.

또한, 넓고 크고 단순한 공격이 주를 이루고 있다. 즉, 누구나 공격을 받을 수 있지만 방어는 의외로 쉬울 수 있다는 얘기. 안 상무는 “보고된 공격 건수는 141건, 아카마이 방어 건수는 75개이며 평균 공격 규모는 13.34G, 아카마이가 처리한 최대 공격규모는 56G이며 국내에는 10G~30G 규모로 추정할 수 있다”고 말했다.

이어 그는 “이젠 비영어권 국가도 안전하지 않다. 다수의 일본 금융권도 공격하고 있다.그동안 비영어권의 사이트 분석이 어려워 국제적 타깃이 되지는 않았으나, 번역툴의 발달로 비영어권의 사이트가 비교적 보안 취약성이 쉽게 노출되는 공격 대상으로 인식해 공격이 증가하고 있다”면서 “어나니머스 같은 핵티비스트들의 투쟁 수단으로도 디도스 공격이 악용되고 있는 상황에서 월드컵이나 올림픽, 동계올림픽과 같은 국제규모의 스포트 대회 홈페이지와 관련 사이트들도 안심할 수 없다”고 강조했다.

이처럼 디도스 공격은 대상은 넓어지고 빈도는 잦아지고 있다. 또한 규모는 더 커질 가능성이 높다. 이에 대해 안준수 상무는 “지능적인 APT 공격만이 위협적인 공격이 아니다. 대비가 없으면 어떤 공격도 위협이 된다. 글로벌 공격 캠페인의 목표에 한국이나 한국기업들이 포함될 확률이 높다”면서 “클라우드 기반의 보안은 용량이나 성능, 전문성에 관한 문제를 한번에 해결해 줄 수 있는 대안이 될 수 있다. 즉, 고객의 데이터센터로 공격이 도달하기 전에 차단할 수 있는 기회가 되고 대규모 공격을 그대로 수용하기 때문에 서비스 성능은 그대로 유지할 수 있다는 게 장점이 된다”고 덧붙였다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)