아이클라우드 해킹, 국내 클라우드도 예외 아냐

□ 현황 및 질의

지난 9월 헐리웃 스타들의 애플 ‘아이클라우드’ 해킹공격이 있었으며
10월21일에는 중국의 사용자들이 해킹 공격을 받아
애플이 사용자들을 대상으로 보안 경고를 공지함
이로 인해 국내의 클라우드 서비스 보안에 대한
우려가 높아지고 있는 상황임

☞ 백기승 한국인터넷진흥원 원장, 아이클라우드 해킹에 이용된 방법이 무엇인가?

우리가 흔히 쓰는 포털 등의 사이트 로그인 창에
무차별 키 대입 공격을 통해 해킹을 시도하는
가장 원초적 해킹 공격의 하나인
브루트포스 공격(Brute Force ‘Key-Search Attack)이 이용됨

☞ 애플 같은 세계 최대 ICT회사조차 가장 원초적 해킹공격을 당하는 상황에서
과연 국내 클라우드 서비스의 안전을 담보할 수 있을지 의문임
원장, 브루트포스 해킹 방어에 비용이 많이 들거나 시간상, 기술적으로도
방어가 어려운가?

브루트포스 공격은 가장 원시적인 해킹방법이며
이에 대한 방어에 비용과 시간이 많이 들어가지 않음

대부분의 클라우드 서비스 회사가
그림자 암호 확인 등 간단한 보호조치만 한다면 충분히 방어가 가능함

☞ 원장, 동의하는가?

그런데 본 위원이 파악한 바로는 역시나 이러한 해킹 공격에
국내 클라우드 서비스도 보안조치가 미흡한 것으로 밝혀져
클라우드 서비스 이용자들을 불안하게 만들고 있음

이와 관련한 영상을 통해
국내 클라우드 서비스가 브루트포스 공격에 얼마나 취약한지 알아보겠음

# 영상시청

영상을 보듯, 국내 클라우드 서비스 대표적 업체 10곳 중 절반 이상이
브루트포스 공격에 대해 어떠한 방비도 안 된 것으로 드러났음

문제가 된 업체에는 국내 대기업 통신사(KT, LGU+)까지 포함되어 있어
국내 클라우드 서비스 업체들의 보안조치의 부실함을
여실히 보여주고 있음

<브루트포스 보안대비 내역 및 임계치에 대한 KISA의 점검결과>

순번	사업자명	이용자수 (추정치)	임계치 점검결과 (횟수)			보안정도 (브루투스포스 대비)	비고
			웹 페이지 (9.24)	PC 에이전트 (9.29)	앱(안드로이드) (9.29)
1	KT	4,700,000	○ (5회)	×	×	보안미흡
2	SKT	7,400,000	○ (5회)	○ (5회)	○ (6회)	보안 확인
3	LGU+	12,500,000	×	×	○ (5회)	보안미흡, 10. 1 보완조치 예정
4	NHN(네이버)	12,000,000	○ (5회)	○ (5회)	○ (5회)	보안확인
5	Daum(다음)	12,000,000	○ (10회)	○ (12회)	○ (10회)	보안확인	PC에이전트 없음
6	더존비즈온	350,000	○ (5회)	해당없음	해당없음	보안확인	PC에이전트 없음, 앱없음
7	위자드웍스	3,000,000	×	해당없음	×	보안미흡	PC에이전트 없음
8	틸론	42,000	○ (5회)	해당없음	○ (5회)	보안확인	PC에이전트 없음
9	싸이이비즈	25,000	×	×	×	보안미흡
10	아이렌소프트	10,000	×	해당없음	×	보안미흡	PC에이전트 없음

출처 : 인터넷진흥원(KISA)

☞ 원장, 10개 중 5개나 되는 국내 업체 클라우드 보안에
구멍이 뚫렸는데 그 원인은 무엇이라고 생각하는가?

인터넷진흥원 측에서 ISMS 권고 등을 통해
클라우드 보안규정을 두고 있지만
현재 해당 규정이 강제조항이 아니기 때문임

이로 인해 보안조치를 해태한 업체들에 대한
법적인 처벌을 강제화할 수 있는 방법이 없는 실정임

☞ 원장, 방금 시청한 것과 같이 국내 클라우드 서비스에
브루트포스를 이용한 공격이 성공하는데
소요되는 시간이 어느 정도인지 아는가?

PC 및 서버의 성능과 비밀번호 형태에 약간의 차이는 있지만
일반적으로 가정용 듀얼PC에 비밀번호가 6자리 내외 알파벳 숫자
혼합일 경우 1분 이내면 해킹이 가능한 것으로 알려짐

클라우드는 서비스는 특성상 한번 뚫리면 대량의 자료가
유출되어 피해가 커지는 경향이 보이기에 보안에 대해 만전을 기해야만함

하지만 브루트포스 공격은 일반인조차 특별한 해킹지식이 없더라도
인터넷 상 툴을 손쉽게 다운받아 시도할 수 있음

☞ 원장, 국내 클라우드 서비스 보안을 강화하여
해킹 공격을 원천적으로 차단할 방안이 필요할 것으로 보이는데,
KISA 측에서 준비한 대안이 있는가?