신뢰하는 도구가 위협이 될 때

이번 주 헤드라인을 장식한 일련의 보안 사고들은 불편한 공통점을 공유한다. 침해된 시스템들은 조직과 개인이 가장 신뢰해야 하는 바로 그 시스템들이었다. 구글은 Pixel 모뎀에서 실제로 악용되고 있는 제로클릭 취약점을 패치했고, 공격자들은 ScreenConnect 원격 관리 플랫폼을 관리형 서비스 제공업체(MSP)에 대항하는 데 악용했으며, WSO2 아이덴티티 인프라가 활발히 악용되고 있고, 사이버 공격이 유조선을 강타했다. 종합해 보면, 이 사고들은 보안 연구자들이 계속 경고해 온 하나의 패턴을 보여준다. 신뢰 자체가 공격 표면이 되었다는 것이다.

이 사건들 중 어느 것도 고립되어 존재하지 않는다. 모뎀 칩, 원격 지원 도구, 아이덴티티 플랫폼, 그리고 핵심 해양 인프라 한 조각은 모두 기본적으로 신뢰할 수 있도록 설계된다. 바로 그것이 이들을 매력적인 표적으로 만든다.

Pixel 제로클릭 취약점: 클릭이 필요 없다

구글은 Pixel 기기에 사용되는 모뎀 펌웨어의 제로클릭 취약점에 대한 패치를 발표했으며, 이 취약점은 수정이 배포되기 전에 이미 활발히 악용되고 있는 것이 발견되었다. 제로클릭 익스플로잇은 피해자의 상호작용이 전혀 필요 없다는 점에서 특히 위험하다. 클릭할 피싱 링크도, 열어볼 악성 첨부파일도, 설치할 의심스러운 앱도 없다. 이 취약점은 기기가 모뎀 수준에서 수신 데이터를 처리하기만 하면 발동될 수 있으며, 이는 휴대폰 소유자가 주의나 인식으로 회피할 기회가 사실상 없다는 것을 의미한다.

이것이 모뎀 수준 및 베이스밴드 취약점이 모바일 보안에서 가장 심각한 결함 중 일부로 취급되는 이유다. 이들은 대부분의 사용자, 심지어 대부분의 백신 도구조차 가시성을 갖지 못하는 계층 아래에서 작동한다. 이 취약점이 공개되기 전에 실제 환경에서 악용되었다는 사실은 이러한 저수준 버그가 정교한 공격자들에게 얼마나 가치 있는지를 잘 보여준다.

ScreenConnect 악용, 기업이 의존하는 MSP를 겨냥하다

공격자들은 또한 널리 사용되는 원격 접속 및 지원 도구인 ScreenConnect를, 이를 사용하는 관리형 서비스 제공업체(MSP)에 대항하는 데 악용하고 있다. MSP는 독특하게 민감한 위치를 차지한다. 이들은 수십 또는 수백 개의 고객 네트워크에 대한 관리자 접근 권한을 동시에 위임받는다. MSP가 사용하는 원격 관리 도구가 침해되거나 악용되면, 피해 범위는 제공업체 자체를 훨씬 넘어 그 접근 권한에 의존하는 모든 하위 고객으로 확장된다.

이러한 종류의 공급망 스타일 공격은 공격자들이 강화된 경계를 뚫는 대신 신뢰 관계를 악용했던 다른 최근 사고들을 연상시킨다. 단 몇 시간 만에 수천 개의 GitHub 저장소를 강타한 Megalodon 공격은 유사한 원칙을 보여주었다. 신뢰받는 플랫폼의 악용을 자동화하면 피해가 빠르게 증폭된다. MSP와 이에 의존하는 기업들은 어떤 단일 권한 있는 원격 접속 지점이든 고가치 표적이라고 가정해야 한다.

WSO2 아이덴티티 인프라, 활발한 악용에 직면하다

WSO2와 같은 아이덴티티 인프라는 조직이 누가 무엇에 접근할 수 있는지 검증하는 방식의 중심에 있다. 이 계층이 활발히 악용되면, 그 결과는 인증을 위해 이에 의존하는 모든 애플리케이션과 서비스로 파급된다. 이는 공격자들이 개별 애플리케이션을 하나씩 뚫으려 하기보다 아이덴티티 및 접근 시스템을 직접 노리는 더 광범위한 추세를 반영하며, 이는 기업 인증 프로토콜에 영향을 미치는 최근의 활발히 악용되는 Netlogon 취약점에서도 볼 수 있는 전략이다. 아이덴티티 인프라가 침해되면, 방어자들은 종종 자신들의 로그나 접근 제어를 신뢰할 수 없게 되어 복구가 상당히 어려워진다.

사이버 공격, 유조선에 도달하다

유조선을 강타한 사이버 공격 보고는 디지털 침해가 더 이상 서버와 소프트웨어에 국한되지 않는다는 것을 상기시켜 준다. 해상 운송은 점점 더 네트워크화된 항법, 통신, 운영 시스템에 의존하고 있으며, 그러한 인프라에 대한 공격은 데이터 손실을 넘어서는 물리적 세계의 결과를 초래한다.

이것이 당신에게 의미하는 것

대부분의 독자는 유조선이나 아이덴티티 플랫폼을 직접 관리하지 않겠지만, 근본적인 교훈은 폭넓게 적용된다. Pixel 제로클릭 취약점은 일상적인 스마트폰 사용자에게 영향을 미치며, 패치를 미루지 말고 기기를 즉시 업데이트해야 한다는 강력한 근거가 된다. IT 지원을 위해 MSP를 이용하거나 조직이 제3자 원격 접속 도구에 의존한다면, 어떤 모니터링과 접근 제어가 마련되어 있는지 물어보라. 모바일 모뎀이든, 원격 지원 플랫폼이든, 소프트웨어 다운로드든, 공급망 신뢰는 그 사슬에서 가장 약한 고리만큼만 강하다. 이는 합법적인 설치 프로그램을 악성 프로그램으로 바꿔치기한 JDownloader 공급망 침해에서도 볼 수 있는 교훈이다.

실행 가능한 시사점

제로클릭 취약점은 악용에 사용자 실수가 전혀 필요하지 않으므로, 최신 Pixel 보안 업데이트가 제공되는 즉시 설치하라. 기업에서 ScreenConnect 또는 유사한 원격 관리 도구를 사용한다면, MSP와 함께 접근 로그가 검토되고 있는지, 모든 관리자 계정에 다중 인증이 적용되고 있는지 확인하라. WSO2 또는 유사한 아이덴티티 인프라를 운영하는 조직은 사용 가능한 패치를 즉시 적용하고 인증 로그에서 이상 징후를 감사해야 한다. 그리고 핵심 인프라와 관련된 산업에 종사하는 사람이라면, 이 일련의 사고들은 공격이 발생한 후가 아니라 지금 사고 대응 계획을 재검토하라는 신호다.