KISA “침해사고, 공격자 동선 따라 촘촘히 막아야”

“어느 한 단계의 방어만으로는 부족합니다. 공격자의 동선을 따라 각 단계에 맞는 방어 수단을 겹겹이 배치해야 합니다.” 한국인터넷진흥원(KISA)은 22일 서울 강남구 한국과학기술회관에서 열린 ‘2026 상반기 침해사고 정보공유 세미나’에서 최근 사이버 위협 동향과 단계별 대응 방향을 공유했다. KISA에 따르면, 2025년 침해사고 신고는 약 2383건으로 전년보다 26.3% 증가했다. 2022년과 비교하면 약 2배로 늘었다. 통신과 금융, 전자상거래처럼 국민이 일상에서 이용하는 서비스로 피해가 확대됐고, 하나의 기업이나 소프트웨어를 장악해 다수 조직으로 피해를 퍼뜨리는 공급망 공격도 늘었다. 서진욱 KISA 포렌식분석2팀 수석은 “관리자와 임직원 계정 등 자격증명을 탈취해 내부망에 들어가는 방식이 주요 초기 침투 경로로 자리 잡았다”며 “공격자는 직접 기업 시스템을 공략하는 대신 이미 탈취된 계정을 구매하는 방식으로 공격하고 있다”고 설명했다. 초기 침투는 ‘경계 장비’ 와 ‘정상 계정’에서 시작 KISA에 따르면, 최근 공격자들은 기업 내부망과 인터넷을 연결하는 경계 지점부터 살핀다. VPN과 방화벽, 원격접속 장비처럼 외부에 노출된 장비의 취약점을 악용하면 임직원 PC를 거치지 않고 내부 서버로 접근할 수 있기 때문이다. 웹사이트를 만드는 데 사용하는 개발 도구나 웹 라이브러리도 공격 통로가 된다. 여러 기업이 같은 소프트웨어를 사용하기 때문에 하나의 취약점이 공개되면 공격 대상이 빠르게 늘어날 수 있다. 탈취 계정을 거래하는 초기 접근 중개자(IAB)도 공격자의 내부망 진입을 돕는다. IAB는 피싱이나 악성코드, 취약점 공격으로 확보한 기업 계정을 다른 공격자에게 판매하는 범죄 집단이다. 공격자는 정상 계정을 구매해 로그인해 탐지를 피한다. 이후 더 높은 권한을 확보하고 다른 서버로 이동한다. 재택근무 단말이나 협력업체 계정, 중앙에서 계정을 관리하는 인증 시스템이 계정 탈취 경로로 쓰일 수 있다. 국내에서 사용하는 보안 인증 소프트웨어도 공격 대상이다. 공격자는 임직원이 자주 방문하는 언론사나 커뮤니티 사이트에 악성 스크립트를 넣는다. 취약한 보안 소프트웨어가 설치된 단말이 해당 사이트에 접속하면 악성코드가 실행되는 ‘워터링홀’ 방식이다. 이런 경우에 대비하기 위해, 기업은 먼저 외부에 노출된 자산을 파악해야 한다. VPN과 방화벽, 원격접속 장비, 웹 관리 도구, 보안 인증 소프트웨어 목록을 만들고 중요도를 분류해야 한다. 다중인증(MFA)도 적용해야 한다. 공격자가 비밀번호를 확보하더라도 추가 인증을 통과하지 못하면 계정 악용 가능성을 줄일 수 있다. 퇴직자와 휴면 계정은 즉시 삭제하거나 권한을 회수해야 한다. 서 수석은 “외부에 노출된 자산이 무엇인지 정확하게 파악하지 못하면 막을 수 없다”며 “자산 목록을 만들고 중요도를 분류한 뒤 심각한 취약점은 신속하게 조치해야 한다”고 말했다. 중앙관리 시스템 장악해 피해 확대 내부망에 들어온 공격자는 곧바로 랜섬웨어를 실행하지 않는다. 다시 접속할 수 있는 통로를 만들고 더 많은 시스템을 장악할 거점을 확보한다. 공격자는 여러 단말에 프로그램과 패치를 배포하는 중앙관리 솔루션을 노린다. 중앙관리 솔루션 하나를 장악하면 수백대에서 수천대의 단말에 파일을 동시에 배포할 수 있다. 소프트웨어 제조사의 업데이트 서버를 침해하는 공급망 공격도 같은 원리다. 정상 업데이트 파일에 악성코드를 넣으면 이용 기업이 보안 패치를 설치하는 과정에서 감염될 수 있다. 협력업체를 통한 침투도 늘어나고 있다. 공격자는 상대적으로 보안이 취약한 유지보수 업체의 단말이나 계정을 먼저 장악한다. 이후 원격접속 프로그램과 연결 계정을 이용해 원청 기업의 내부망으로 이동한다. 운영체제에 포함된 정상 도구를 악용하는 사례도 많다. 파워셸(PowerShell)과 같은 시스템 관리 도구로 명령을 실행하면 새로운 악성파일을 설치하지 않고도 공격을 이어갈 수 있다. 정상 프로그램을 사용하기 때문에 악성코드 파일을 찾는 방식만으로는 탐지하기 어렵다. 서 수석은 “기업은 중앙관리 솔루션과 패치 배포 서버에 접근할 수 있는 인터넷주소(IP)와 관리자 계정을 제한해야 한다”며 “시스템과 데이터베이스(DB) 관리자 계정도 업무에 필요한 수준으로 줄여야 한다”고 당부했다. 파일의 악성 여부뿐 아니라 실행 행위를 살펴보는 체계도 필요하다. 평소 사용하지 않던 계정이 중앙관리 서버에 접속했는지, 특정 관리 도구가 비업무 시간에 실행됐는지 등을 함께 확인해야 한다. 서 수석은 “관리자 계정이 많을수록 공격 표면도 넓어진다”며 “정상 도구를 악용하는 공격은 기존 악성코드 탐지를 우회할 수 있어 행위 기반으로 살펴봐야 한다”고 강조했다. 외부 경계 넘어 내부 이동까지 살펴야 내부 거점을 확보한 공격자는 기업이 보유한 민감한 데이터를 찾는다. 내부망 구조를 파악하고 다른 서버로 이동한 뒤 더 높은 권한을 가진 계정 정보를 수집한다. 이 과정은 수개월에서 수년까지 이어질 수 있다. 외부에서 들어오는 트래픽만 감시하면 내부 서버 사이에서 발생하는 이동을 놓칠 수 있다. 서 수석은 “어떤 시스템에 핵심 데이터가 저장돼 있는지를 먼저 파악해야 한다”며 “중요 데이터와 시스템에 접근한 기록은 별도로 보관하고 장기간 확인할 필요가 있다”고 설명했다. 업무망과 핵심 시스템 사이의 통신도 필요한 수준으로 제한해야 한다. 내부망에 있다는 이유만으로 모든 접속을 허용하면 공격자가 한 시스템에서 다른 시스템으로 이동하는 측면 이동을 막기 어렵다. 비업무 시간의 대량 파일 접근이나 평소 없던 서버 간 통신, 관리자 계정의 연속 접속 등을 탐지하려면 내부망까지 감시 범위를 넓혀야 한다. KISA는 이를 위한 수단으로 네트워크 탐지·대응(NDR)과 보안정보이벤트관리(SIEM) 제품을 제시했다. NDR은 내부망의 통신 변화를 분석하고, SIEM은 서버와 보안장비, 계정 시스템의 로그를 모아 이상 징후를 찾는다. 서 수석은 “외부 경계만 보던 방식에서 벗어나 내부 시스템 사이의 트래픽을 감시해야 한다”며 “내부망에서 발생하는 통신도 모두 신뢰하지 말고 모니터링해야 한다”고 강조했다. 백업 보유보다 실제…