중소기업이 보안에 주의를 기울여야 하는 이유

생각과 마음에 ‘긍정’이라는 단단한 뿌리를 내리고 사는 것이 중요하다고 한다. 맞는 말이다. 매사에 비판적이고 비관적인 것 보다는 적극적이고 긍정적인 사람이 분명 일도 잘하고 오래 산다는 것은 요즘 사람들에게 상식이다. 하지만 사람들 중에는 긍정적인 사고와 근거없는 낙관주의를 혼동하는 경우가 적지 않다.

어느 책에서 한국 사람들은 ‘근거없는 낙관주의’를 가진 사람이 많다는 글을 본적이 있다. 막연하게 잘되리라는 생각, 나에게는 그런 일이 일어나지 않으리나는 안이한 태도. 이런 것들은 종종 OO불감증이라는 말을 낳고, 개인적으로나 사회적으로 크나큰 후회를 하게 만드는 ‘씨앗’이 된다.

아무리 강조해도 지나치지 않는 것이 기업의 보안 문제다. 하지만 알면서도 제대로 대처를 못하는 곳이 있는가 하면, 아예 무시를 하거나 관심이 없는 곳도 있다.  안다고 하더라도 대기업처럼 조직이나 자금이 부족하다 보니 제대로 대처를 하기 힘든 것도 현실이다. 하지만 아무리 그렇더라도 발등에 불이 떨어지기 전에 미리 대비를 하고, 소 읽기 전에 외양간을 꼼꼼하게 돌보아야 하는 경우가 있다.

얼마 전 시만텍에서 공격용 툴킷 확산으로 사이버 범죄가 더욱 기승을 부릴 것이라는 보고서를 요약해 보도자료로 내 놓았다. 이 보고서에는 각종 사이버 범죄에 악용되는 공격용 툴킷의 종류와 특징, 공격 기법, 사이버 범죄 유형과 동향을 분석한 내용이 담겨져 있다. 선량한 기업이나 개인들의 시스템이나 서버를 공격할 수 있는 범죄자들의 도구와 유형을 분석한 자료다.

공격용 툴킷이란 사이버 범죄를 저지르는데 악용하는 ‘흉기’라고 할 수 있다. 그러니까 네트워크에 연결된 개인용컴퓨터나 서버를 공격하는 데 악용되는 악성 코드 프로그램들을 말한다. 그들이 얼마나 치밀하고 정교하면서 파괴적인 흉기를 사용하고 있는지 모르기 때문에, 개인이나 중소기업들은 그 위험성을 느끼지 못하는 경우가 많은 것이 현실이다.

네트워크를 이용한 시스템 공격에 악용되는 공격용 툴킷의 변천사(자료:시만텍코리아)

공격용 툴킷은 단순한 바이러스나 악성 코드 이상의 기능과 성능을 가지고 있다. 지하경제에서 거래되고 있는 종류와 가격만 하더라도 상상을 초월하는 규모다. 이렇게 큰 시장을 형성할 만큼 공격용 툴킷 시장이 크다는 것은 그 만큼 노리는 대상이 많다는 것을 의미한다. 따라서 적절한 대비를 하지 않는다면 언제 어떻게 개인이나 회사의 시스템이 이러한 것들로 부터 공격을 받을 지 알수 없다.

이 보고서에 따르면 가장 널리 사용되는 공격용 툴킷인 제우스(Zeus)는 공격자들이 맞춤형으로 악성 코드를 자유롭게 생성할 수 있다고 한다. 가격은 초기 버전이 미화로 4,000달러 최신 버전은 8,000달러나 하는 것으로 알려져 있다. 가격이 만만치 않지만 강력한 기능을 가지고 있기때문에 사이버 범죄자들에게는 인기가 높은 공격용 툴킷이다.

제우스로 인한 피해 사례는 수 없이 많지만 보고서에 소개된 내용을 한번 보자. 2010년 9월에 미국, 영국, 우크라이나에서 수십 명의 사이버 범죄자가 제우스를 이용한 사이버 범죄 행위로 체포된 적이 있다. 이들은 제우스 봇넷이라는 것을 악용해 18개월 동안 ‘중소기업’들의 온라인 금융 및 거래 계좌에서 무려 7,000만 달러 이상을 빼 돌렸다고 한다.

시만텍에 따르면 돈만 주면 구입해서 사용할 수 있는 다양한 공격용 툴킷이 지능화되고 활발하게 거래되면서, 전문적인 지식이 없는 사람들 까지 사이버 범죄에 감담하는 사례가 증가하고 있다고 한다. 게다가 이런 공격용 툴킷은 약정 기반 판매, 툴킷의 성능 향상을 위한 컴포넌트 판매, 정기적인 업데이트와 고객지원 서비스가 지원하는 등 기업형으로 성장하고 있다고 시만텍은 밝혔다.

이러한 사실에 대해 전혀 모르거나 무관심한 대부분의 중소기업들은, 무방비 상태로 언제 그들의 먹잇감이 될지 모른 채 손을 놓고 있다고 해도 과언이 아니다.  눈에 보이지 않기 때문에 위험을 모르고 있지만 네트워크에 연결된 모든 컴퓨터는 피해갈 수 없는 위협들이다. 이러한 위험에 최소한의 대비책은 의외로 어렵지 않다. 바로 보안용 소프트웨어를 설치하고, 중요한 자료는 이중삼중으로 안전장치를 하는 것이다.

그럴 때 마다 ‘비용’을 언급하며 볼멘소리를 할 수밖에 없는 중소기업의 입장을 모르는 것은 아니다. 하지만 다른 소프트웨어에 비교하면 상대적으로 저렴한 백신이나 방화벽 소프트웨어는 보험과도 같은 최소한의 안전장치라고 할 수 있다. 아울러 보고서에 언급된 내용 중 눈여겨 볼만한 내용을 덧붙이면, 보고 기간 중 시만텍이 탐지한 웹기반 위협 활동의 61%는 공격용 툴킷에 의한 것이었고, 악성 웹사이트 연결을 유도하는 검색 용어 중에서 44%가 성인 엔터테인먼트 관련 용어인 것으로 밝혀졌다.