올 상반기 5대 보안이슈는

지속적으로 발생하고 있는 개인정보 유출사고와 사회공학적 기법을 활용한 가짜백신 유포, 스마트폰 보급을 통한 모바일 악성코드의 위협 증가, 새로운 방식의 분산 서비스 거부(DDoS) 공격 발생 등이 올 상반기 주목할 만한 보안 이슈로 꼽혔다.

30일 알약으로 유명한 보안업체 이스트소프트는 2010년 상반기 보안 동향을 분석해 5대 이슈를 발표했다.

◆새로운 형식 ‘DDoS 공격’ 발생

기존의 DDoS 공격 방식은 지난 2009년의 7.7 DDoS 공격과 같이 악성코드에 감염된 좀비PC그룹을 활용해 목표를 공격하는 형태였다. 그러나 2010년 6.16 성전이라고 불렸던 중국발 DDoS 공격의 경우에는 공격자들 스스로 온라인커뮤니티나 메신저 채팅 서비스 등을 통해 공격인원을 모으고 DDoS 공격툴을 배포해 카운트다운 방식을 통해 동시에 특정목표를 공격하는 새로운 형태로 나타났다.

이러한 방식은 좀비PC그룹을 이용한 기존 DDoS 공격방식과 달리 아직까지는 많은 트래픽을 발생시키지 못하기 때문에 주로 규모가 작은 사이트를 타켓으로 공격을 진행하고 있지만, 향후 더 많은 인원을 규합하거나 좀비PC를 보유한 해킹그룹의 지원을 받게 된다면 피해규모가 커질 수 있으므로 주의를 기울일 필요가 있다.

◆스마트폰 보안위협요소 등장

기존에 국내에 보급되던 휴대폰(피쳐폰)은 위피(WIPI) 탑재되면서 모바일 악성코드의 위협으로부터 상대적으로 자유로웠으나, 아이폰의 국내 출시 이후 안드로이드폰 등 스마트폰의 급속한 보급으로 인해 모바일 악성코드의 위협이 점차 증가하고 있다.

한국전자통신연구원(ETRI)이 구분한 모바일 악성코드의 주요 형태로는 단말기에 저장된 사용자의 정보를 외부로 유출시키는 ‘정보유출형’, 스마트폰등의 단말기를 통해 PC를 감염시키는 ‘크로스 플랫폼형’, 기기사용을 불가능하게 하거나 장애를 일으키는 ‘단말기 장애 유발형’, 단말기의 메시징 서비스나 전화통화를 시도하여 과금을 발생시키는 ‘통신요금 발생형’ 등이 있다.

◆사회적 이슈 활용 가짜백신 유포

2010년 벤쿠버 올림픽 때 김연아 선수 트위터를 사칭하거나 2010 남아공 월드컵 티켓 할인, 무료제공을 사칭하는 등 사용자들이 관심을 가질만한 이슈를 활용하는 사회공학적 기법으로 가짜백신을 유포하고 결제를 유도하는 행태가 계속되고 있다.

이러한 가짜백신은 사용자들이 특정 웹사이트를 방문했을 때 ‘사용자PC가 바이러스에 감염됐다’는 알림창을 띄우고 자동으로 PC를 검사해주는 듯한 애니메이션을 보여줘 설치를 유도하는 자연스러운 방식으로 사용자에게 접근하는 것이 특징이다.

◆SW 보안취약점을 노리는 해커들

기존에 해커들은 주로 PC운영체제(OS)의 보안취약점을 노린 공격을 시도해왔으나, 최근에는 많은 사용자들이 설치해 사용하고 있는 SW제품의 보안취약점을 통해 악성코드를 유포하는 시도가 급증하고 있다.

지난 6월초에도 어도비의 플래쉬 플레이어와 리더(Adobe Flash Player/Adobe Reader)와 같이 많은 사람들이 사용하는 SW에서 원격코드 실행이 가능한 취약점이 발견돼 제작사측에서 긴급패치를 배포한 적이 있었다.

◆계속되는 개인정보 유출 사고

지난 3월 역대 최대규모인 2000만명의 개인정보 유출사고가 발생해 사용자들에게 충격을 안겨주었고, 최근에는 ‘주민등록번호의 대안’이라고 알려진 아이핀(i-PIN)이 대량으로 부정 발급돼 판매되는 사건이 발생하는 등 개인정보보호를 위해 보완할 부분이 많이 남아 있다.