北 SW공급망 공격 2배 이상 증가…국가 차원 보안대책 절실 작성일 03-09 117 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">취약점 차단·추적 대책 필요…"시큐어코딩 확대, SBOM 제도 도입해야"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="5oaonuzTdK"> <figure class="figure_frm origin_fig" contents-hash="9393e96aa7c76dc06966d191c86fa360a554273f3437695d21cc99990707c0dc" dmcf-pid="1ajaozBWJb" dmcf-ptype="figure"> <p class="link_figure"><img alt="IT 보안사고 (PG) [강민지 제작] 일러스트" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202503/09/yonhap/20250309070257644rjea.jpg" data-org-width="1200" dmcf-mid="H7kANb9HRV" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202503/09/yonhap/20250309070257644rjea.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> IT 보안사고 (PG) [강민지 제작] 일러스트 </figcaption> </figure> <p contents-hash="72c7d94dff47114feccf541fc3f98a6f4f0bfbc39d82d05535b70dbabc0d1b5d" dmcf-pid="tNANgqbYMB" dmcf-ptype="general">(서울=연합뉴스) 김현수 기자 = 북한의 소프트웨어 공급망 공격이 나날이 증가함에 따라 국가 차원의 보안 대책이 필요하다는 목소리가 커지고 있다.</p> <p contents-hash="1869cedd9f141cbfa6c0e6bbe52a0a1ab1451377447861d085cfa79ed14712dd" dmcf-pid="FjcjaBKGiq" dmcf-ptype="general">9일 ICT업계에 따르면 국가정보원은 지난 4일 북한 정찰총국이 소프트웨어 공급망 공격을 통해 주요 기관과 첨단 기업의 기밀·핵심 자료를 절취하고 있다며 주의를 당부했다.</p> <p contents-hash="490377a0ccdd0922c91aa75ef8183d310281982de2c17b0e2f110f23460f7bf9" dmcf-pid="3AkANb9Hez" dmcf-ptype="general">지난 6일에는 구글 클라우드가 북한의 사이버 공격에 대해 우려 섞인 반응을 내놨다.</p> <p contents-hash="a42b2dc7d9b58c047d227e25f7562e50bc00f8c54705f60032f5ca10906064ea" dmcf-pid="0cEcjK2XL7" dmcf-ptype="general">존 헐트퀴스트 구글 클라우드 시큐리티 맨디언트 위협 인텔리전스 총괄은 "북한은 지난 20년간 공급망 공격과 내부자를 이용해 조직을 표적으로 삼는 수법을 진화시켜 왔다"며 "대규모 디지털 자산 탈취를 감행하거나 전 세계 수백 개의 기업에 위장 취업하는 등 다른 공격자보다 더욱 대담한 편"이라고 전했다.</p> <p contents-hash="695cce862438732d1d7bfa69146a2713cd5c7a7b4463b6aae1230292f8a18b42" dmcf-pid="pkDkA9VZMu" dmcf-ptype="general">소프트웨어 공급망이란 인프라·운영체제(OS)·클라우드 서비스 등 소프트웨어가 개발되고 배포되기까지의 전 과정에 연관된 요소를 말한다.</p> <p contents-hash="84a30e5c2363e3542f7ae606ae7d5aed396fba37e74217e391bd75afc2570f4d" dmcf-pid="UEwEc2f5RU" dmcf-ptype="general">누구나 수정·배포할 수 있는 오픈소스 방식의 소프트웨어가 보편화하며 공급망의 상호의존성은 높아지고 있다.</p> <p contents-hash="c395bf21bf16dc472a5af9050722add77722700e4abc305bdd6ea9cb0ad75f28" dmcf-pid="uDrDkV41np" dmcf-ptype="general">문제는 이러한 상호의존성으로 인해 공격자가 공급망의 중간 계층을 탈취해 악성코드를 심기만 하면 다른 계층으로 쉽게 확산하는 등 여러 보안 취약점도 함께 증가하는 것이다.</p> <p contents-hash="418946d9347e2e4b5ee4e62f47123897b2a197f2751745afffeca7f006b1ee31" dmcf-pid="7wmwEf8tR0" dmcf-ptype="general">이는 북한이 대남 적대 정책 강화를 선언한 이후, 국내 통신·언론사의 전산망 침투를 통해 사회 혼란을 노리는 시도로 구현되고 있다.</p> <p contents-hash="2c0d5a7dafedc974aa851b57e3a90585ad1d2b1b445bf1c530721436429a26ce" dmcf-pid="zoaonuzTJ3" dmcf-ptype="general">구글은 북한이 미사일 개발 프로그램과 핵 야망, 정권 운영 비용에 대한 자금을 조달하는 동시에 국제사회의 제재를 피하기 위해 암호화폐 분야와 블록체인 플랫폼 강탈에 집중하고 있다고 경고했다.</p> <figure class="figure_frm origin_fig" contents-hash="d1063ed9ad4c437ae47dca6be2e3f6acdbe31d85fd33ebe8c5f2383174651720" dmcf-pid="qgNgL7qyeF" dmcf-ptype="figure"> <p class="link_figure"><img alt="신분위장 북한 IT인력 (PG) [강민지 제작] 일러스트" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202503/09/yonhap/20250309070257828deyx.jpg" data-org-width="1200" dmcf-mid="XGLid0UlJ2" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202503/09/yonhap/20250309070257828deyx.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 신분위장 북한 IT인력 (PG) [강민지 제작] 일러스트 </figcaption> </figure> <p contents-hash="049f9a93b822e9fdbf8ed172dc3d8d20e95f2048ce3b8062e66b0a68eb7307af" dmcf-pid="BajaozBWdt" dmcf-ptype="general">국가사이버안보센터에 따르면 지난해 정보보호·IT 제품의 제로데이 취약점을 악용한 북한의 소프트웨어 공급망 공격은 전년 대비 2배 이상 증가했다.</p> <p contents-hash="c8d694486e676e4b93554b7d92b9da7ff7117be5a8d7516cea092d7c7accacb0" dmcf-pid="bNANgqbYJ1" dmcf-ptype="general">제로데이 공격은 보안 취약점에 대한 방어 시스템이 나오기 전 악성코드나 해킹 공격을 감행하는 수법이다.</p> <p contents-hash="7b08ffa229bc9b3ac8e894ae0a212d7fa35c9e20324a66b8ac3fd61f875e63db" dmcf-pid="KjcjaBKGn5" dmcf-ptype="general">헐트퀴스트 총괄은 "북한은 매우 민감한 데이터에 접근하는 동시에 정권 유지를 위한 막대한 자금을 조달하고 있다"며 "수많은 조직이 북한의 공격에 영향을 받고 있으며, 이러한 현상은 앞으로도 지속될 것으로 예상된다"고 덧붙였다.</p> <p contents-hash="ab331250f57d57c0975e0e8eaee64f5d349f255784f18ae747afbb2a0cd904f9" dmcf-pid="9AkANb9HiZ" dmcf-ptype="general">이 같은 소프트웨어 보안 취약점을 개선하기 위해 2012년부터 정부 기관의 정보화 사업에 의무 적용되고 있는 '시큐어 코딩' 제도를 보다 활성화해야 한다는 분석이 나온다.</p> <p contents-hash="3bd430186f4edd5e1ee7e85e96703245af74be0d5072222ebd32a4c7e58e21ea" dmcf-pid="2cEcjK2XLX" dmcf-ptype="general">시큐어 코딩은 소프트웨어 개발 시 오류나 취약점이 삽입되지 않도록 기획 단계부터 설계·배포에 이르기까지 전 과정의 취약점을 해소하는 작업인데, 일정 예산 기준을 충족하는 정보화 사업에만 적용되고 있다.</p> <p contents-hash="6cbbb8bfc3225e34e1bda90afa5760eb6c892d69636d5f19dbcd86f8d6ae81b4" dmcf-pid="VkDkA9VZJH" dmcf-ptype="general">박춘식 아주대 정보보안학과 교수는 "시큐어 코딩 제도를 의무 적용하는 정보화 사업의 예산 범위를 확대해야 한다"며 "금융·의료·제조업 등 주요 분야와 입법·사법부 등에도 시큐어 코딩 제도를 도입해야 한다"고 제언했다.</p> <figure class="figure_frm origin_fig" contents-hash="42161ed39293470c69d7eae1c1253d819f150374c4d81f94261da112f0f901a7" dmcf-pid="fEwEc2f5RG" dmcf-ptype="figure"> <p class="link_figure"><img alt="국정원, 사이버 위기관리 대비 태세 점검 회의 개최 (서울=연합뉴스) 국가정보원이 지난 7일 최근 북한 등 사이버 위협 세력 도발 가능성이 증대함에 따라 사이버 위기관리 대비 태세 점검 회의를 개최했다고 8일 밝혔다. 사진은 사이버 위기관리 대비 태세 점검 회의가 열리고 있는 모습. 2024.2.8 [국가정보원 제공. 재판매 및 DB 금지] photo@yna.co.kr" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202503/09/yonhap/20250309070258016moay.jpg" data-org-width="643" dmcf-mid="ZRkANb9Hn9" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202503/09/yonhap/20250309070258016moay.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 국정원, 사이버 위기관리 대비 태세 점검 회의 개최 (서울=연합뉴스) 국가정보원이 지난 7일 최근 북한 등 사이버 위협 세력 도발 가능성이 증대함에 따라 사이버 위기관리 대비 태세 점검 회의를 개최했다고 8일 밝혔다. 사진은 사이버 위기관리 대비 태세 점검 회의가 열리고 있는 모습. 2024.2.8 [국가정보원 제공. 재판매 및 DB 금지] photo@yna.co.kr </figcaption> </figure> <p contents-hash="07b8b3fe5f2b3b001b2e528e30b4bc4dacb2838154e7669a53cdbfe2a4773f1b" dmcf-pid="4DrDkV41nY" dmcf-ptype="general">소프트웨어에 대한 라이선스와 보안 취약성 문제를 추적·관리할 수 있는 소프트웨어 구성요소 명세서(SBOM) 제도를 도입해야 한다는 의견도 나온다.</p> <p contents-hash="cf0bd2d9068a569618aae0be2d59bef5e699ea06de77ac677619d7c68fc6070f" dmcf-pid="8wmwEf8tLW" dmcf-ptype="general">이 제도는 소프트웨어가 어떤 요소로 구성돼 있는지 알 수 있어 사이버 공격 시 문제의 원인을 파악할 수 있다.</p> <p contents-hash="49fe97cb643bd11d2484a5e98ecc837f75c31d4cbd748323bba09eedd01b82d8" dmcf-pid="6MeMQ5tsey" dmcf-ptype="general">유럽연합은(EU)은 디지털기기에 대한 SBOM 제출을 의무화하는 내용을 담은 사이버복원력법(CRA)을 지난해 12월 발효했으며, 2027년 12월부터 전면 시행을 앞두고 있다.</p> <p contents-hash="d1419a60e8971de709d3fd82d0d103ed8f016f9e1a33102906426c19bd9a12b9" dmcf-pid="PRdRx1FOnT" dmcf-ptype="general">염흥열 순천향대 정보보호학과 교수는 "작년 과학기술정보통신부와 국정원이 공동으로 발표한 소프트웨어 공급망 보안 가이드라인에서도 SBOM의 중요성이 강조됐다"며 "공공 부문에서 SBOM 의무 도입을 고려해야 한다"고 말했다.</p> <p contents-hash="8171bb1b8364f8b467ae87c727fc048fdc931416c47d0342dd1f2a664c7bcaa0" dmcf-pid="QeJeMt3Iev" dmcf-ptype="general">다만 SBOM에는 민감 정보도 포함되는 만큼, 원치 않는 정보가 노출될 수 있다는 우려도 나온다.</p> <p contents-hash="618b82dc31d32a2a3bab9654ae89e21da445ba187b9a0bdb954011bb4049996e" dmcf-pid="xdidRF0CRS" dmcf-ptype="general">한편, 북한의 소프트웨어 공급망 공격 외에도 러시아·중국·이란 등 이른바 권위주의 '빅4'로 불리는 국가들의 사이버 공격도 간과할 수 없는 부분이다.</p> <p contents-hash="daf21f7a37bdff23364b0c788dbbb7da48d2d8e1e0f0959ad29a6ec868aede63" dmcf-pid="yHZHYgNfdl" dmcf-ptype="general">구글 클라우드 시큐리티는 보고서를 통해 우크라이나 침공 이후 자원 부족을 겪는 러시아가 사이버 범죄 커뮤니티를 동원해 첩보 행위와 교란 작전을 수행하기 위한 도구·인력을 확보하고 있으며, 중국·이란은 금전적 동기로 인해 랜섬웨어를 배포하고 있다고 경고했다.</p> <p contents-hash="7014c52013247c14b390b2eff55438f7ae54db4e7a8a07342fcc39e59c463ab6" dmcf-pid="WX5XGaj4nh" dmcf-ptype="general">hyunsu@yna.co.kr</p> <p contents-hash="a3778509cfab220628e6df793f795a7307e282c50d8aafa68a64a4eb92da4e76" dmcf-pid="G5t5Xjc6nI" dmcf-ptype="general">▶제보는 카톡 okjebo</p> </section> </div> <p class="" data-translation="true">Copyright © 연합뉴스. 무단전재 -재배포, AI 학습 및 활용 금지</p> 관련자료 이전 "대만국립대 반도체 교수 50명, 서울대 20명…K반도체 현실" [강경주의 테크X] 03-09 다음 [단독]'이수근·이무진 보이콧' 철회했지만..KBS 이어 SBS와도 불화 [★FOCUS] 03-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
