VPN 취약점 통해 정상 직원처럼 은밀한 침투
내부망 접속통로 확보 뒤 은밀한 정보유출…APT 공격으로 진화
VPN 패치 미적용·권한 관리 부재 주의

[서울=뉴시스]

[서울=뉴시스]송혜리 기자 = 가상사설망(VPN) 장비가 해커들의 주된 침투 경로로 주목을 받고 있다. 실제 올해 1분기 발생한 전세계 해킹사고의 절반 이상이 VPN 장비의 보안 취약점을 통해 이뤄졌다는 통계도 제시됐다.

VPN은 외부 출장 중이거나 재택 중인 근무자가 공용 인터넷망을 통해 기업 내부망을 접속할 수 있도록 돕는 보안 통신 서비스다. 해커들이 VPN 취약점 확보에 눈독을 들이는 이유이기도 하다. 해커들이 기업 내부망에 침투하는 '조용한 뒷문'으로 악용할 수 있어서다.

VPN을 통해 내부에 진입한 해커는 보안 시스템의 감시를 피해 마치 내부 직원처럼 자유롭게 시스템을 이동하며, 서버에 랜섬웨어를 심거나 정보를 유출하는 등 다양한 후속 공격을 할 수 있다. 일각에선 최근 가입자 유심 정보가 털린 SK텔레콤 해킹사고도 이와 유사한 공격수법에 당했을 가능성도 배제할 수 없다고 말한다.

시스코·이반티 등 주요 VPN 장비사도 공격 대상

기존의 VPN 공격은 주로 직원의 아이디(ID)와 비밀번호를 탈취한 뒤, 이를 이용해 기업 VPN에 접속하는 단발성 공격이 많았다. 쉽게 말해 직원 노트북을 해킹해 이를 통해 VPN 로그인 정보를 빼내는 수법이다. 

그러나 최근에는 VPN 장비·프로그램의 보안 취약점을 노려 이를 통해 직접 내부망을 침투하는 사례가 늘고 있다는 게 보안 전문가들의 분석이다. 또 이렇게 직접 시스템에 침투하거나 탈취한 직원 계정으로 침투한 후 정상 소프트웨어처럼 위장된 악성 프로그램을 심어 장기간 내부망에 숨어 있다 내부 데이터를 유출하는 지속형 지능형 위협(APT) 방식으로 방향을 바꾸고 있다는 전언이다. 

해커들은 ▲파일질라(FileZilla) ▲윈SCP(WinSCP) ▲알클론(Rclone) ▲HFS와 같은 파일 전송 도구나 ▲애니데스크(AnyDesk) ▲팀뷰어(TeamViewer) ▲울트라VNC(UltraVNC) 등의 원격 제어 소프트웨어를 활용했다. 이들은 정상 프로그램의 파일명과 확장자를 그대로 사용해 보안 시스템을 우회할 수 있다.

문제는 대부분의 보안 시스템이 이를 '정상 활동'으로 인식하기 때문에 악성 행위를 탐지하지 못한 채 장기간 침해를 허용하는 결과로 이어진다는 점이다. 해커들은 이 틈을 이용해 피해자의 시스템에 침투한 뒤, 내부 네트워크에 잠복하며 외부로 데이터를 유출하는 정밀한 공격을 감행한다.

이 같은 공격은 특정 벤더에 국한되지 않는다. 시스코, 주니퍼, 체크포인트, 포티넷, 이반티, 소닉월 등 주요 보안 장비 벤더들이 모두 취약점 격의 대상이 되고 있다.

실제 2019년 펄스시큐어 VPN 해킹 사건에서는 해커들이 치명적인 취약점을 악용해 미국 정부기관과 군사 계약업체 등에 무단으로 침입했다. 2020년에는 포티넷 VPN 사용자 계정 정보 5만여 건이 해커들에 의해 유출돼 다크웹에 공개되는 사건이 발생했다.

신속한 패치 적용이 가장 중요…'정상인 척' 위장한 악성소프트웨어 걸러내는 기술도 필요

VPN 보안을 강화하기 위해서는 보안 패치 모니터링 체계를 우선적으로 갖춰야 한다. VPN 장비 제조사에서 취약점 패치를 공개할 경우, 이를 신속히 인지하고 즉각적인 업데이트를 적용할 수 있는 체계적인 대응 프로세스가 필요하다.

VPN 접근 제어도 강화해야 한다. 직원이나 협력사 계정에 대해 업무에 꼭 필요한 최소한의 권한만 부여하고, 불필요한 권한 상승을 사전에 차단하는 정책을 마련해 침해 발생 시 피해 범위를 최소화해야 한다.

멀티팩터 인증(MFA) 도입 역시 필수적이다. 한가지의 비밀번호 기반 인증만으로는 계정 탈취를 막기 어렵기 때문에 비밀번호 외에도 생체 정보, 일회용 인증코드 등을 결합한 다단계 인증 시스템을 적용해야 한다.

이에 더해 최근 해킹은 악성코드 대신 정상 프로그램을 위장한 은닉형 침투 방식이 많아지고 있어, 이를 탐지할 수 있는 기술의 필요성이 강조되고 있다. 일반 보안 솔루션이 탐지하지 못하는 정상 프로세스를 위장한 침입을 가려내기 위해선, 행위 기반의 고도화된 탐지 체계가 요구된다.

보안 업계 관계자는 "VPN 해킹은 이미 고도화된 단계에 진입했다"며 "선제적 대응을 위해서는 기존의 방화벽 수준을 넘어, 침입 탐지부터 실시간 대응까지 가능한 통합 보안 체계가 필수"라고 말했다.


☞공감언론 뉴시스 chewoo@newsis.com 

Copyright © 뉴시스. 무단전재 및 재배포 금지.