'기업을 위기에 빠뜨릴 수 있는' 2016년 보안 전망

이미지 출처 : bfishadow

변혁가들의 붕괴
(데이터바이저(DataVisor) 2015년 시장의 주요 이슈 중 하나는 온/오프라인 연계(O2O, Online to Offline) 기업들 사이에 벌어진 경쟁이었다. 차량 공유 업체 우버(Uber)가 중국 및 인도 시장에 20억 달러를 투자했다는 소식이 들려온 지 얼마지 않아 경쟁사인 디디(Didi) 역시 중국 시장에 20억 달러 이상의 자금을 투입했고, 미국의 리프트(Lyft), 인도의 올라(Ola)에게도 투자를 진행하며 반-우버 연대를 구축했다.

하지만 이런 과감한 투자는 불량 회원들을 양산하는 결과로 이어졌다. 택시 운전자들이 매월 제공되는 수 백 달러의 보조금을 노리고 여러 개의 운전자 계정을 등록한 것이다. 2016년에는 이런 부작용을 더욱 자주 목격할 수 있을 전망이다.


이미지 출처 : Christiaan Triebert

다크 웹의 밝은 미래
(부즈알랜/RSA의 아밋 요란) 그 동안 기업들이 상대해야 했던 사이버 공격은 국가 지원(state-sponsored) 형태의 공격이나 조직적 범죄조직에 의한 공격, 또는 핵티비스트들에 의한 공격에 국한되어 있었으나 이제는 소위 ‘다크 웹(Dark Web)’이라 불리는 곳에 쉽게 접근 가능한 사이버 공격 툴 시장이 형성됨에 따라 기업들이 대비해야 하는 사이버 공격의 범위도 더욱 넓어질 것으로 예상된다. 공격 툴 및 서비스가 상품화 되면서 사이버 공격에 드는 비용도 빠르게 감소하고 있어 금전적 이득이 목표가 아닌 공격도 더욱 쉽게 감행할 수 있게 됐다. 어나니머스(Anonymous)처럼 나름의 사명감을 가진 핵티비스트들 뿐 아니라 이제는 별다른 목적 의식 없는 사이버 불한당들까지도 공격에 가세할 것이다.


이미지 출처 : Vodafone Medien

당신의 카드는 더 안전해질 것이다. 하지만 당신의 돈은 안전하지 못할 것이다
(제이블린(Javelin)) 무카드 거래사기(CNP, Card-Not-Present fraud)는 2014년 100억 건에서 2018년에는 190억 건까지 증가할 전망이다. EMV 카드, 그리고 애플 페이나 구글 월렛과 같은 디지털 월렛 사용이 증가함에 따라 판매 시점(point-of-sale) 시스템 관련 사기나 신용카드 위조 사기는 줄어들 것이다. 대신 온라인에서 가짜 신용카드 또는 훔친 신용카드를 이용한 사기는 더욱 극성을 부릴 것이다.


이미지 출처 : Kārlis Dambrāns

랜섬웨어의 타깃이 되는 IoT
(데타레이(ThetaRay)/팰러라/블루코트/래스트패스(LastPass)) IoT 기기들은 정부와 핵티비스트, 테러리스트 등 정보를 원하는 모든 공격자들이 노리는 매력적인 공략 지점으로 자리잡을 것이다. 많은 IoT 기기들이 제대로 된 메모리 공간이나 OS를 가지고 있지 않고, 때문에 이들을 종점 에이전트로 처리하는 것은 불가능한 일이다. 즉 커피 머신, 냉장고, 육아 모니터, 자동차, 웨어러블 기기, 의료 기기 등 부유층의 새로운 문화로 자리잡고 있는 스마트 기기들이 트로이 목마의 새로운 정박지로 부상하게 되는 것이다.


이미지 출처 : Jake Stimpson

공개 망신의 대 유행
(RSAC어드바이저리 보드(RSAC Advisory Board)/카스퍼스키/쓰렛스트림(ThreatStream)) 공개적인 망신과 신상 정보 공개가 주를 이루는 공격 방식인 독싱(DOXing)은 2015년에도 심각했지만 2016년에는 더욱 기승을 부릴 전망이다. 핵티비스트 그룹들은 물론 각국 정부들까지도 사적인 사진, 정보, 고객 명단, 코드 등을 이용해 타깃에게 망신을 주는 방법을 거리낌 없이 사용하고 있으니 말이다.


이미지 출처 : Raúl A.

낡은 인터넷의 망령
(레이썬|웹센스(Raytheon|Websense) 인터넷의 인프라 유지 및 보수를 게을리 한 기업들은 많은 문제에 직면하게 될 것이다. 몇 가지만 예로 들어보자면 알렉사 1000(Alexa 1000) 인증서를 업데이트 하지 않거나 보안 위험을 초래하는 자바스크립트 구 버전을 그대로 유지하는 경우, 더욱 빨라질 OS 업데이트 사이클, 소프트웨어 엔드-오브-라이프 프로세스(end-of-life process)의 새로운 트렌드로 인해 발생하는 문제, 옛 취약점을 그대로 지닌 재사용 코드로 만든 애플리케이션 등이 있을 수 있겠다(하트블리드나 푸들을 생각해 보라).


이미지 출처 : The Preiser Project

사이버 범죄 청부가 늘어난다
(카스퍼스키/시큐어럿(Seculert)) 사이버 공격의 수익성은 날로 증대되고 있고, 때문에 이제는 사이버 범죄의 양상 역시 더욱 조직화되고 정교화되어 전개될 것이다. 비용을 받고 새로운 악성코드를 개발해주거나 아예 공격 서비스를 대행해주는 집단의 출현 역시 예상해볼 수 있다. 일명 ‘접근 서비스(Access-as-a-Service)’라고 불리는 후자의 방식은, 공격자들이 타깃을 미리 해킹해두고 블랙 마켓에서 타깃에 대한 접근권을 경매에 부치는 방식으로 거래된다.


이미지 출처 : Jeff Eaton (modified)

소셜미디어는 더 이상 전자상거래 공격의 안전지대가 아니다
(데이터바이저) 핀터레스트, 페이스북, 트위터 등 여러 소셜 네트워킹 사이트들에서 자신들의 플랫폼에 ‘구매’ 버튼을 추가할 계획에 있음을 이미 밝힌 바 있다. 사용자 기반을 상품화 하려는 노력의 일환이다. 자연스레 온라인 거래 사기를 노리는 공격자들 역시 이러한 플랫폼들을 공격 대상으로 여기게 될 것이다.


이미지 출처 : NEC Corporation of America

패스워드의 종말
(아이덴티티 오토메이션(Identity Automation)) ‘비 패스워드' 인증 방식은 더 이상 헛된 꿈이 아니다. 기업들은 패스워드보다 빠르고 손쉬운 경험을 제공하는 새로운 인증 방식들을 제공할 것이다. 현재 제안되는 방식으로는 생채 인식, 위치 인증, 블루투스 인증, 그림문자 인증 등이 있다.