작은 실수로 1억명 예금 잔액 정보까지 '탈탈'…남의 일 아니다

임종철 디자이너 /사진=임종철 디자이너

2019년 미국에서 1억600만명, 미국 성인 전체에 달하는 규모의 개인정보 유출사건이 발생했다. 미국에서 신용카드, 은행, 보험 등 영역을 아우르는 금융지주사인 캐피탈원에서 발생한 보안사고의 얘기다.


유출된 데이터의 규모도 상세했다. 2005년부터 2019년까지 신용카드를 발급받은 고객들의 이름, 주소와 생년월일 등은 물론이고 신용점수와 예금잔액 등 세부 금융정보들까지 몽땅 털렸다.

캐피탈원은 이같은 정보를 세계 최대 CSP(클라우드 서비스업체)인 AWS(아마존웹서비스)의 인프라에 올려뒀다. 처음에는 AWS의 문제인가 싶었지만 나중 지탄의 대상이 된 것은 캐피탈원이었다. 캐피탈원이 방화벽 설정을 제대로 하지 않은 탓에 정보가 유출됐다는 점이 확인됐기 때문이다.

국내에서도 민관 공히 클라우드 컴퓨팅 자원의 활용이 급속도로 늘어나면서 관련 보안위협도 커질 것이라는 분석이 나온다. 삼성SDS(삼성에스디에스 (147,000원 ▼2,600 -1.74%))는 올 한해 주요 5대 사이버보안 위협요인을 선정하며 그 첫 번째로 '클라우드 보안위협'을 꼽는다.

삼성SDS는 12일 "주요 데이터, 인프라 등이 클라우드로 전환되고 멀티·하이브리드 클라우드 환경이 보편화되며 기업의 보안관리 영역이 늘어나는 만큼 보안설정과 공백을 노리는 위협이 증가하고 있다"며 이같이 밝혔다.


캐피탈원 사고 이전까지만 해도 기업·기관 등 고객들은 클라우드 보안에 대해 신경쓰지 않아도 되고 CSP 등 클라우드 인프라 회사들이 알아서 보안을 챙겨줄 것이라는 막연한 인식이 있었던 게 사실이다. 그러나 캐피탈원처럼 방화벽 설정오류 등 미흡한 조치를 취할 때 그 책임은 고스란히 기업에 돌아간다.

삼성SDS 관계자는 "다양한 CSP들을 병용하는 멀티클라우드 등 환경에서 두 클라우드를 연계하는 과정에서 보안 구멍이 생길 수 있다"며 "CSP 등 클라우드 기업들이 잘못한 부분이 없지는 않겠지만 대다수 클라우드 보안사고는 관리과정에서의 설정오류 등 고객 과실로 발생하는 경우가 대부분"이라고 했다.

클라우드 보안위협 외에 삼성SDS가 꼽은 보안위협 요소는 △사용자 계정탈취 공격 △랜섬웨어 고도화 △소프트웨어 공급망 취약점 공격 △AI(인공지능) 활용 해킹 지능화 등이 있다.

기업의 내부망 침투와 핵심정보로의 접근을 위해 사용자 계정을 노리는 공격이 늘고 정상파일로 위장해 악성 소프트웨어 설치를 유도하는 등 방식으로 기업에 타격을 주는 등 고도화된 공격이 올해 주를 이룰 것이라는 지적이다. AI 기반 영상·음성 합성기술을 의미하는 딥페이크 파일을 통해 신원증명 도용 금융범죄의 가능성도 커질 것이라는 지적이 나온다.

변상경 삼성SDS 보안기술실장(상무)은 "클라우드 도입과 디지털 전환 가속화로 기업이 보호해야 할 인프라와 데이터가 증가하고 있다"며 "고객들이 IT 자산에 대한 가시성을 높이고 보안 위험도에 따라 자동 탐지·대응하며 감염 시 신속히 복구하는 사이버 복원력을 높이도록 삼성SDS가 강력한 보안 서비스를 제공하겠다"고 밝혔다.

삼성SDS는 100개국 이상에서 컨설팅, 진단, 취약점 관리, 보안 관제 등 최고 수준의 보안 서비스를 제공하고 있으며, 이러한 역량을 인정받아 지난해 글로벌 IT 시장 조사 기관 IDC의 '월드와이드 클라우드 보안 메이저 플레이어'에 2년 연속 선정된 바 있다.