보안컨설팅사업부 장우식 책임컨설턴트

한 남성이 잔뜩 상기된 표정으로 대형마트에 들어서더니 매니저를 불러내며 화를 내기 시작했다. 그의 손에는 대형마트가 딸에게 우편으로 보낸 유아용품 할인쿠폰이 들려 있었다. 그가 화를 낸 이유는 그의 딸은 고등학생이었으며, 유아용품 쿠폰을 보내준다는 것은 자신의 딸의 임신을 부추기는 것으로 생각했기 때문이다. 하지만 며칠 뒤 부모는 딸이 임신했다는 소식을 듣게 되는데 부모도 몰랐던 딸아이의 임신 소식을 대형마트는 어떻게 알았을까?

딸은 임신 후 평소와 다르게 로션을 무향으로 바꾸고, 안 먹던 미네랄 영양제를 샀다고 한다. 대형마트는 고객 데이터와 구매 패턴을 수집·활용하여 임신 가능성이 있는 고객들에게 앞으로 필요해질 임신 용품 할인쿠폰을 보내주었던 것이다. 이 이야기는 미국의 어느 대형마트에서 실제로 일어났던 일이며 <뉴욕 타임즈>에도 보도가 될 만큼 유명한 일화이다. 조금은 섬뜩하기도 하지만 가까운 미래에 다가올 제4차 산업혁명 시대에서는 얼마든지 가능한 이야기가 될 것이다.

1. 4차 산업혁명이란?

2016년 1월 스위스 다보스에서 열린 ‘세계경제포럼(WEF:World Economy Forum)'에서 제4차 산업혁명에 대해 처음으로 언급되었다. 그들은 제4차 산업혁명을 “제3차 산업혁명을 기반으로 한 디지털과 바이오산업, 물리학 등의 경계를 융합하는 기술혁명”이라고 설명한다. 즉, 기업들이 제조업과 정보통신기술(ICT)를 융합해 작업 경쟁력을 제고하는 차세대 산업혁명이라 하며, 사물인터넷(IoT:Internet of Things), 인공지능, 빅데이터, 클라우드, 무선통신 등이 4차 산업혁명의 주요 기술로 자리잡을 전망이다. 사물인터넷 기술을 기반으로 사이버 세계와 물리적 세계가 하나의 네트워크로 연결되며, 무선통신 기술을 이용하여 데이터를 전달, 수집, 저장하면 클라우드와 빅데이터가 이를 분석하게 된다. 이것이 인공지능과 접목하여 고차원의 정보처리 능력을 발휘하게 되며, 이러한 기술들을 통해 기기가 정보를 공유하고 스스로 합리적인 선택을 내릴 수 있게 한다. 이와 같이 제4차 산업혁명은 인간과 사물간의 연결성이 확대되고 인공지능과 빅데이터의 연계 및 융합으로 산업구조는 지능화될 것으로 전망된다. 

4차 산업혁명의 도래는 지능정보기술의 적용으로 인해 고용구조가 크게 변화하고 단순 반복 업무 등의 직업들이 사라질 수도 있을 것이다. 하지만 고부가 가치를 창출하는 새로운 일자리들을 만들고, 사람과 기계가 함께 일하면서 생산성과 효율성 측면에서 큰 효과를 볼 수 있다는 것이 전문가들의 분석이다. 이렇듯 제4차 산업혁명을 통해 인간의 삶의 질 향상, 새로운 형태의 일자리 창출, 노동생산성 향상 등의 많은 긍정적인 효과를 볼 수 있지만 이면에는 간과해서는 안 될 요소들이 존재하는데 대표적인 것이 바로 사이버 보안 위협이다.

[그림 1] 4차 산업혁명의 등장 – 출처: www.ddaily.co.kr

2. 4차 산업혁명 시대의 핵심기술

4차 산업혁명을 발생하게 한 원동력이 된 기술들이 있다. 바로 ICBM 기술이다. 

ICBM이란, 사물 인터넷, 클라우드, 빅데이터, 모바일 등을 통칭한 약자이다. 이 4가지 기술들은 각각 분리된 관점에서 바라보는 것이 아닌 통합된 형태의 관점에서 바라봐야 한다. 왜냐하면 상호 영향을 미칠 뿐 아니라 융합된 형태로 기술이 발전해 나가고 있기 때문이다.

ICBM기술의 발전으로 생산성 및 효율성 극대화, 새로운 서비스 창출, 복지 향상 등 우리 사회에 긍정적으로 미치는 영향이 매우 크다. 하지만 이면에 간과해서는 안될 것이 ‘사이버 보안 위협’이다. 

한국인터넷진흥원(KISA)과 고려대 사이버보안정책센터, 인텔코리아 3개의 기관이 선정한 ‘2017년 정보보호 10대 이슈’에서도 역시 보안기술의 지능화, 서비스화, 대중화로 인해 정보보호 분야가 4차 산업혁명의 주요 플랫폼으로 자리 잡을 것으로 전망했다. 4차 산업혁명의 핵심 기술들과 보안과의 상관관계를 살펴보자.

1) 사물 인터넷(IoT)

각종 사물에 센서와 통신 기능을 내장하여 인터넷에 연결하는 기술로 기존에는 인터넷으로 사람과 사람만이 연결되어 정보공유의 대상도 사람에게만 한정되어 있었지만 사물인터넷 기술로 인해 사람뿐 아니라 사물까지도 모든 정보를 주고받을 수 있다. 사물인터넷은 여러 가지 요소의 기술들이 통합되어 특정 서비스를 구성하기 때문에 각 기술 자체의 취약점은 물론 기술 통합 시 새로운 보안 취약점이 발생할 가능성이 매우 높다. 또한 모든 프로세스가 구조적으로 취약한 무선 네트워크로 연결됨에 따라 접점이 무한히 확장될 수 있어 관리 포인트 역시 늘어나게 될 것이다. 이로 인해 공격자의 입장에서는 공격 경로와 대상이 다양해지기 때문에 해킹이 손쉬워 질 수 있다. 델EMC에 따르면, 전체 기업의 39%가 사물인터넷을 사용할 때 가장 고민되는 문제를 보안으로 꼽을 정도로 사물인터넷과 보안과의 상관관계는 매우 높다고 할 수 있다.

2) 빅데이터

현 3차 산업혁명 시대에 정보통신기술(ICT)의 발달로 누적되는 데이터의 수는 이전과는 비교도 할 수 없을 정도로 서버에 저장되고 있다. 4차 산업혁명 시대에는 수많은 데이터를 단순히 처리할 수 있는 기술을 뛰어넘어 대량의 정형 및 비정형 데이터들을 가공하여 가치 있는 새로운 데이터를 추출하고 분석하는 기술이 필요하다. 이러한 기술이 바로 ‘빅데이터’이다. 빅데이터는 이미 광범위하게 활용되고 있으며, 앞으로도 관련 서비스들의 활용분야 및 성장 가능성은 무궁무진하다고 할 수 있다. 하지만 데이터 수집 및 분석 과정이 네트워크상에서 모두 이루어진다는 점과 다뤄지는 데이터들이 모두 고객의 프라이버시와 깊은 연관이 있기 때문에 철저한 보안관리가 이루어지지 않는다면 대량의 개인정보 유출과 정보 유출로 인한 2차, 3차 추가 피해들이 발생할 확률이 매우 높다.

3) 클라우드

클라우드는 빅데이터 시대에 데이터를 효과적으로 관리하여 능동적인 비즈니스 혜택을 창출하도록 해주는 기술이다. 클라우드 컴퓨팅 기술의 가장 큰 가치 중 하나는 ‘가상화’로 초기 투자 비용 및 유지보수 비용이 적게 들고 시스템의 자원을 유연하게 늘리거나 줄일 수 있는 장점이 있다. 또한 IoT기반 기술로 수집한 정보들을 빅데이터를 통해 분석할 수 있는 공간이며, 하나의 인프라가 된다는 점에서 4차 산업혁명 시대의 중심 역할을 하게 될 것이다. 하지만 클라우드 컴퓨팅 기술 오남용 시, 데이터 유실 및 유출로 인한 보안 위협이 발생할 수 있다. 또한 개인정보는 물론 다양한 기업의 데이터와 지적 자산 등 중요 데이터를 클라우드에 보관하는 기업들이 많아짐에 따라 공격자의 정보 탈취를 위한 해킹 공격이 늘어나게 될 것이다.

4) 모바일

스마트폰 없는 세상을 상상할 수 없을 정도로 스마트폰은 우리 삶을 많이 바꾸어 놓았다. 4차 산업혁명을 거치면서 모바일 분야는 다시 한번 진화할 것으로 예상된다. 앞서 설명한 사물 인터넷(IoT), 클라우드, 빅데이터는 모두 모바일을 통해 서비스가 이루어지게 될 것이기 때문이다. 즉, 기업들은 클라우드 컴퓨팅 기술을 통해 데이터를 저장 및 관리하고, 빅데이터 분석 도구에 의해 분석된 다양한 정보들이 모바일을 통해  제공되면 사용자는 모바일을 활용하여 사물 인터넷 기반 서비스를 이용하는 것이다. 빅데이터 기반의 자료와 클라우드 기술을 통한 연결성 강화로 모바일 산업은 앞으로 더욱 성장할 것으로 보여진다. 하지만 우리는 이미 수많은 사례를 통해 모바일 환경에서 다양한 보안 위협들이 발생할 수 있다는 것을 인지하고 있으며, 모바일 기기의 활용도가 높아짐에 따라 사이버 보안 위협 역시 늘어날 것이다.

3. 사이버 보안 위협 사례

디지털 혁명의 고도화는 경제주체에게 수많은 기회가 될 수 있는 동시에 해킹 공격으로 인한 사고 발생 시 위협을 넘어 상상할 수 조차 없는 큰 재앙으로 다가올 수 도 있다. 앞서 언급한 핵심기술들과 여러 기술들의 융합으로 인해 발생하는 취약점은 물론 새롭게 발생할 수 있는 취약점들을 통한 다양한 해킹 공격들이 전세계 곳곳에서 발생하고 있으며, 앞으로도 계속 늘어날 것이다. 제4차 산업혁명 시대의 핵심기술들과 연관된 대표적인 보안 위협 사례들을 살펴보자.

1) 세계에서 가장 큰 규모의 DDoS 공격

2016년 12월 21일, 미국의 대표 인터넷 호스팅 서비스업체가 분산 서비스 거부 공격(DDoS)을 받아 트위터, 아마존, 넷플릭스, 뉴욕타임즈, 페이팔 등 수십개의 대형 인터넷 웹 사이트들이 수 시간 가량 마비되는 대규모 사고가 발생했다. 해당 DDoS 공격에 사용된 악성코드는 ‘미라이(Mirai)'로, 보안이 취약한 사물 인터넷 기기를 좀비로 만들어 네트워크 상에서 해커가 마음대로 제어할 수 있게 하는 봇넷(BotNet)의 일종이다. 관리자 계정 설정이 취약한 IoT 단말에 초기 패스워드를 이용하여 로그인 시도 및 접속하여 악성코드를 전파하게 되고, 악성코드에 감염된 IoT 기기는 공격자의 명령에 따라 DDoS 공격을 수행하게 되는 것이다. 

최근에는 ’미라이(Mirai)' 악성 파일이 국내에서도 다수 발견되었다는 기사를 접하면서 각 기업의 보안 담당자 및 전산 담당자 등 관련 분야의 관리자들의 각별한 주의가 필요할 것으로 사료된다.

2) 해킹의 통로가 된 스마트 냉장고

2015년 국내 대기업에서 생산한 스마트 냉장고가 해킹 당하는 사고가 발생하였는데 해커들은 암호화 시스템을 뚫고 기기와 인터넷망의 통신과정에서 정보를 탈취하는 중간자 공격을 이용했다. 스마트 냉장고가 설치된 집 근처에서 제품에 등록된 사용자의 구글 계정에 대한 정보화 권한을 획득할 수 있었으며, 이러한 공격 방식으로 사생활 침해는 물론 개인정보와 금융정보까지 탈취할 수도 있을 것이다. 

미국에서는 해커가 스마트 TV와 냉장고를 해킹하여 스팸 메일을 발송하는 사이버 공격 사례도 있었다. 기존에 스팸 메일은 PC나 모바일을 통해 공격을 시도했던 것과는 달리 사물 인터넷 기기들이 해킹의 통로가 되었던 것이다.  

3) 달리는 흉기가 될 수 있는 자율 주행 자동차

미국의 보안기술연구원 2명이 고속도로에서 달리는 자동차를 16km 떨어진 집에서 컴퓨터로 해킹하여 원격으로 조정하는 것을 시연해 보였다. 인터넷에 연결된 자동차가 해킹을 당하게 되면 주행 중인 운전자가 인지하지 못한 상태에서 시동, 속도, 방향 등이 원격 조정될 수 있다는 것을 보여주었다. 이 일로 해당 자동차 회사는 140만 대의 차량 리콜을 단행하였으며, 해킹 방지 시스템 점검 및 강화를 위해 리콜이 되었다는 것은 매우 이례적인 일이라 할 수 있다. 

아직까지 실제 해킹 사고가 보고된 사례는 없지만 달리는 자동차가 해커 마음대로 원격조정이 가능해진다면 탑승객의 안전 위협은 물론 자동차를 무기로 이용하여 피해를 초래할 수 있다.

또한 앞으로 스마트카가 인공위성과 연결되어 교통정보센터의 정보를 활용해 목적지까지 자율적으로 도달할 수 있게 되는데 이러한 통신 과정에서도 해킹 공격이 발생할 수 있다. 인공위성은 GPS 통신을 이용하게 되는데 GPS는 일반 네트워크에 비해 보안이 매우 취약하기 때문이다. 해커는 GPS 통신을 해킹하여 정보를 탈취할 수 있는데 이로 인해 개인의 이동경로가 유출되어 사생활을 침해할 수도 있을 것이다.

[그림 2] 자동차 해킹 시나리오 – 출처: 미래창조과학부

4. 보안 요구사항

4차 산업혁명 시대는 이미 시작되었으며, 앞으로 우리의 삶은 더 빠르게 변화할 것이다. 기업은 사물 인터넷, 빅데이터, 인공지능과 같은 기술을 통해 새로운 성장 기회를 얻을 수 있을 것이다. 하지만 산업의 디지털화로 인해 보안은 절대 간과될 수 없는 분야이며, 원천 정보가 수집되는 사물 인터넷 기기 보호와 데이터 및 통신 암호화, 클라우드에 대한 접근통제 등이 중요한 보안 요소로 대두될 것이다. 또한 기존 서버, 네트워크 중심의 정보보안을 뛰어넘어 앞으로는 ‘디지털 보안’으로의 확장이 필수적이다. 따라서 4차 산업혁명 시대에 접어든 현재 기존 보안 위협들은 물론 앞으로 발생할 다양한 신종 보안 위협들에 대응하기 위한 주요한 보안 요구사항들을 소개한다.

1) 보안의 관점 변화

보통 새로운 IT기술이 등장하게 되었을 때 그와 관련된 신종 보안 위협들이 나타나게 되며, 이를 대응하기 위한 기술들이 개발된다.  하지만 4차 산업혁명 시대의 도래는 단순히 신기술만의 등장이 아닌 산업구조의 변화에 따른 혁신에 가깝다. 따라서 보안의 대상 범위 역시 달라져야 할 것이며, 4차 산업혁명의 핵심 기술들이 안전하게 자리 잡기 위해서는 단순한 데이터 보호가 아닌 사람과 환경에 대한 안전까지 고려해야 하는 전체적인 보안 패러다임의 변화가 필요한 시점이다. 

2) IoT 보안위협 대응방안 마련

4차 산업혁명 시대에 있어서 핵심 중에서도 핵심은 사물 인터넷 기술로, 사용자에게 있어 높은 활용가치와 삶의 질을 향상시켜 줄 것이다. 하지만 아직까지 IoT와 관련된 보안 기술 및 대응방안이 미흡하며, 현재도 사물 인터넷 기기를 타깃으로 한 다양한 해킹 공격들이 많이 발생하고 있다. 

이에 대한 대책으로는 우선 정보보호와 프라이버시 강화를 고려한 IoT 제품 및 서비스 설계가 필요하다. IoT 제조사는 제품과 서비스의 설계 단계에서부터 기술적인 보안 취약점 및 개인정보 침해 위협 요인들을 분석하여 이를 보완하고 강화해 나갈 수 있는 기술을 적용해야 한다. 또한 개발 단계에서 소프트웨어의 시큐어 코딩을 적용하고, IoT 제품의 취약점 보안패치 및 업데이트를 지속적으로 이행해야 한다. 마지막으로 안전한 초기 보안 설정 방안이 제공되어야 한다. 대부분의 IoT 기기들은 보안 요구사항보다는 서비스 요구 기능에 최적화되도록 설계되기 때문에 보안상 상당히 취약할 수 밖에 없다. 따라서 초기 설정 시 디폴트 계정 및 패스워드 변경, 장치와 장치간 통신 시 암호화 기술 적용 등 보안 모듈과 파라미터들이 안전하게 설정되어야 한다.

3) 대응기술의 적극적인 활용

하루가 다르게 사이버 보안 위협은 진화하고 있으며, 앞으로 4차 산업혁명 시대에는 신기술들의 취약점을 노린 해킹 공격들이 많이 발생할 것이다. 더욱 지능화될 다양한 사이버 보안 위협들을 신속하고 적절하게 대응하기 위한 기술로 머신러닝 및 딥러닝 등의 인공지능(A.I)기술이 뜨고 있으며, 여러 국내 보안 솔루션 업체에서도 인공지능 기술을 탑재한 다양한 솔루션들을 상용화하고 있다. 인공지능 기술을 활용하여 새로운 공격 패턴에 대한 학습 및 분석을 하고 이를 통한 위협 탐지 및 예방 등이 가능하다. 따라서 이와 같은 대응기술의 적극적인 활용을 통해 나날이 발전하는 보안 위협을 대응할 필요가 있다.

* 참고 자료

[1] 미래창조과학부 웹진, <4차 산업혁명을 이끌 ‘지능정보사회’>

[2] 한국지역정보개발원, <4차 산업혁명 시대의 지역정보화 대응전략>

[3] 글로벌 이코노믹, “4차 산업혁명의 열쇠는 표준화·보안성·생태계”

[4] 보안뉴스, “정보보안이 4차 산업혁명 플랫폼”

[5] 보안뉴스, “클라우드 보안위협 7가지와 한·미·EU의 대응실태”

[6] 키뉴스, “사이버 보안도 ‘인공지능(AI)' 

[7] 한국인터넷진흥원, <심층분석 사물인터넷 보안 위협 동향>

[8] 한국인터넷진흥원, <IoT 공통보안원칙>

[9] 매일경제, “4차 산업혁명의 기반 ICBM”