대부분의 경영진이 생각하는 것보다 훨씬 자주, 비슷한 상황이 기업 내에서 반복됩니다. 직원이 택배 회사, 은행, 혹은 다른 부서 동료에게서 온 것처럼 보이는 이메일을 받습니다. 메시지는 전문적으로 작성되어 있고, 로고도 익숙하며, 링크도 평소에 접속하던 곳으로 이어지는 것처럼 보입니다. 직원은 별다른 의심 없이 링크를 클릭하고, 몇 분 만에 네트워크상에서 일어나서는 안 될 무언가가 일어납니다.
그 클릭 하나가 전체를 이해하는 데 수 주, 복구하는 데 수 개월이 걸리는 사고의 시작이 되는 경우가 많습니다. 해당 직원이 악의를 가지고 행동한 것도 아니고, 눈에 띄게 부주의했던 것도 아닙니다. 누구나 하루에도 수십 번씩 하는 것처럼, 몇 초 만에 판단을 내렸고 그 판단이 틀렸을 뿐입니다. 왜 이런 일이 발생하는지, 그리고 그 이후에 무슨 일이 벌어지는지를 이해하는 것은 운영 연속성을 진지하게 생각하는 모든 기업에게 필수적입니다.
클릭이 전부가 아닙니다
침해 사고가 특정 사용자의 행동으로 거슬러 올라갈 때, 이것을 교육 문제로 규정하고 넘어가고 싶은 유혹이 생깁니다. 직원이 조금만 더 주의했더라면 이런 일은 없었을 것이라고 생각하는 것입니다. 하지만 그 시각은 더 중요한 질문을 놓칩니다. 클릭 하나가 조직 전체에 심각한 피해를 입힐 수 있었던 조건은 무엇이었는가?
그 답은 거의 항상 구조적인 문제를 가리킵니다. 사용자가 자신의 역할에 필요한 것보다 더 많은 시스템에 접근할 수 있었습니다. 네트워크가 신뢰할 수 있는 내부 기기와 침해된 기기를 구분하지 못했습니다. 비정상적인 외부 트래픽이 네트워크 경계를 벗어나기 전에 포착할 수 있는 체계가 없었습니다. 악성 코드는 단말 하나에 침투한 후, 앞을 가로막는 것이 아무것도 없다는 것을 발견했습니다.
클릭은 진입점이었을 뿐입니다. 피해가 얼마나 멀리 퍼지는가는 그 진입점 주변에 무엇이 갖춰져 있었는지, 혹은 갖춰지지 않았는지에 의해 결정됩니다.
악성 클릭 이후 실제로 무슨 일이 일어나는가
실제 위험을 제대로 이해하려면, 피싱 공격이나 드라이브바이 악성코드 다운로드가 성공한 이후 일반적으로 어떤 순서로 사건이 전개되는지를 파악하는 것이 도움이 됩니다. 첫 순간, 악성 코드는 감염된 기기에 발판을 마련합니다. 어떤 소프트웨어가 설치되어 있는지, 어떤 자격증명이 캐시에 저장되어 있는지, 어떤 네트워크 공유 폴더에 접근할 수 있는지 등 로컬 환경에 대한 정보를 수집하기 시작합니다. 이 정찰 단계는 대체로 조용하게 진행되며, 훈련되지 않은 관리자라면 알아채기 어려울 만큼 활동의 흔적이 거의 남지 않습니다.
그 다음으로, 코드는 공격자가 제어하는 외부 서버와 통신을 시도합니다. 이 명령 및 제어(C&C) 통신을 통해 공격자는 지시를 내리고 데이터를 외부로 빼냅니다. 외부로 나가는 트래픽을 모니터링하거나 필터링하지 않는다면, 이 통신은 수일 혹은 수 주 동안 전혀 탐지되지 않은 채 지속될 수 있습니다. 공격자가 활성 채널을 확보하면, 네트워크 내부를 돌아다니며 더 가치 있는 목표를 찾기 시작합니다. 재무 부서의 워크스테이션이 회계 시스템으로 이어질 수 있습니다. IT 담당자의 기기에 저장된 자격증명이 서버, 백업, 또는 설정 파일에 대한 접근 권한을 제공할 수도 있습니다. 적절한 네트워크 분리가 되어 있지 않은 환경에서는, 최초 침해 지점과 조직 내 가장 민감한 시스템 사이에 별다른 장벽이 없는 경우가 많습니다.
침해가 탐지되는 시점, 많은 경우 무언가 눈에 띄게 고장나거나 화면에 랜섬웨어 메시지가 나타날 때가 돼서야 비로소 알아채게 되는데, 그때는 이미 공격자가 수 주 동안 네트워크 안에 머물러 있었을 수 있습니다. 고객 데이터, 재무 기록, 지적 재산, 또는 다른 곳에서 판매하거나 활용할 수 있는 접근 자격증명 등, 공격자가 원하는 것은 이미 복사된 후일 가능성이 높습니다.
한국인 경영진 체계를 가진 기업이 특히 취약한 이유
베트남에서 운영 중인 한국 기업들의 경우, 업무 환경을 효율적으로 만드는 바로 그 커뮤니케이션 방식이 공격자들이 의도적으로 파고드는 특정 취약점을 만들어낼 수 있습니다.
한국 경영진에서 베트남 현지 직원에게로 지시와 재무 승인이 빠르게 전달되는 구조에서, 직원들은 그 지시를 길게 확인하지 않고 이행하는 것이 당연하다고 느낍니다. 이 구조를 파악한 공격자는 임원, 재무 책임자, 또는 한국 본사를 사칭한 메시지를 만들어내고, 의문을 제기하는 것이 오히려 어색하게 느껴지도록 요청의 맥락을 설계합니다. CEO에게서 온 것처럼 보이는 송금 지시는, 적절한 어조와 그럴듯한 업무 맥락을 담고 있다면, 누군가가 별도의 채널로 확인해보기 전에 이미 처리되는 경우가 많습니다.
국경을 넘는 운영 방식은 또한 더 많은 원격 접속 경로, 더 많은 클라우드 서비스, 더 많은 제3자 플랫폼, 그리고 직원들이 접속하는 기기와 네트워크의 다양성을 수반합니다. 이러한 요소들 각각이 보호해야 할 환경의 범위를 넓히며, 일관된 모니터링이 필요한 잠재적 진입점이 됩니다.
피해를 차단하는 데 있어 네트워크의 역할
직원들이 피싱 시도를 인식할 수 있도록 교육하는 것은 분명히 가치 있는 일이며, 어떤 보안 프로그램도 이를 건너뛰어서는 안 됩니다. 하지만 사람의 판단력은 신뢰할 수 있는 최후의 방어선이 될 수 없습니다. 사람은 피로하고, 주의가 분산되고, 시간 압박 속에서 일합니다. 반면 공격자들은 인내심이 있고, 창의적이며, 기술을 끊임없이 다듬어 나갑니다. 잘 훈련된 직원도 실수를 하며, 실수 하나가 비즈니스 전체를 위태롭게 만드는 상황이 되어서는 안 됩니다.
복구 가능한 사고와 재앙적인 사고를 가르는 것은 거의 항상, 사용자가 놓친 위협을 포착하는 기술적 통제 수단의 존재 여부입니다. 잘 구성된 네트워크 환경은 데이터가 외부로 나가기 전에 의심스러운 아웃바운드 연결을 차단해야 합니다. 내부 시스템 간의 비정상적인 측면 이동을 탐지하고, 공격자가 목표에 도달하기 전에 경보를 울려야 합니다. 게스트 기기와 내부 시스템을 격리하고, 한 부서에서 침해된 워크스테이션이 다른 부서의 시스템에 자유롭게 접근하지 못하도록 해야 합니다. 네트워크 수준의 트래픽 검사는 사용자가 아무것도 잘못되었다는 것을 인식하지 못하는 상황에서도 악성 패턴을 식별할 수 있습니다.
이러한 통제 수단들은 클릭이 발생할 위험 자체를 없애주지 않습니다. 그 클릭이 실제로 어디까지 도달할 수 있는지를 결정합니다. 사용자 행동을 통해 침투하는 위협으로부터 보호하려면 정책만으로는 부족합니다. 가시성이 필요하며, 그 가시성은 네트워크 자체에 내재되어 있어야 합니다.
비욘드넷은 귀사와 같은 기업을 염두에 두고 설계한 솔루션을 준비하고 있습니다. 조만간 출시될 BN 파이어월은 중소기업이 기업 수준의 네트워크 보안을 복잡한 구성과 높은 비용 없이 갖출 수 있도록 설계된 차세대 보안 솔루션입니다. 관리의 간편함, 현지 지원, 안정적인 성능이 모두 중요한 베트남 내 한국 투자 기업 환경에 맞게 특화되어 제작되었으며, 자세한 내용은 곧 공유해 드릴 예정입니다.
단 하나의 조치가 모든 위험을 제거해줄 수는 없지만, 클릭 하나가 전사적 사건으로 번질 가능성을 의미 있게 줄여주는 몇 가지 접근 방식이 있습니다.
첫째는 직원들이 업무에 실제로 필요한 접근 권한만을 갖도록 하는 것입니다. 직원 계정이 침해되었을 때 피해의 범위는 그 계정이 접근할 수 있었던 범위에 의해 결정됩니다. 불필요한 권한은 제한적인 사고를 광범위한 사고로 전환시킵니다.
둘째는 일반적인 업무 흐름을 벗어나는 재무 거래 및 요청에 대한 명확한 검증 절차를 수립하는 것입니다. 이 절차는 정기적으로 실천되어야 하며, 특히 요청이 상급자에게서 온 것처럼 보일 때 그것을 따르는 것이 관료적이 아닌 자연스러운 일로 느껴져야 합니다.
셋째는 네트워크에서 외부로 나가는 트래픽이 자유롭게 흐르도록 두지 않고 검사받도록 하는 것입니다. 많은 침해 사고는 내부 기기에서 접근해서는 안 되는 목적지로 향하는 트래픽을 포착할 적절한 통제 수단만 있었다면 통신 단계에서 차단될 수 있었습니다.
넷째는 최신 위협 인텔리전스를 유지하고 일관되게 적용하는 것입니다. 공격자들은 인프라를 재사용하는 경향이 있으며, 알려진 악성 목적지로의 연결은 해당 인텔리전스가 네트워크 수준에서 적용될 때 자동으로 차단될 수 있습니다.
다섯째는 문제가 실제로 발생했을 때를 위한 계획을 갖추는 것입니다. 누구에게 연락하고, 무엇을 격리하고, 어떻게 운영을 복구하는지를 미리 알고 있다는 것은 혼란의 시간 없이 대응이 즉시 시작된다는 것을 의미합니다. 침해 사고가 발생한 후 사람들이 기억하는 것은 클릭의 순간이지만, 그것이 실제 피해의 근본 원인인 경우는 드뭅니다. 보안 사고를 최소한의 피해로 넘기는 기업은 반드시 직원들이 실수를 하지 않는 기업이 아닙니다. 실수가 일어날 것이라는 전제 하에 환경을 구축하고, 그 실수가 연쇄적으로 이어지지 않도록 통제 수단을 마련해 둔 기업입니다.
귀사가 베트남에서 운영 중이고, 오늘 직원 중 한 명이 잘못된 링크를 클릭했을 때 네트워크에서 어떤 일이 벌어질지 확신하지 못한다면, 그 불확실함 자체가 행동해야 할 신호입니다. “아마 괜찮을 것”과 “확실히 보호되어 있다” 사이의 간극이 바로 심각한 사고가 자리 잡는 곳이기 때문입니다.
비욘드넷은 베트남에서 운영 중인 국제 기업들을 대상으로 인터넷, 네트워크, IT 인프라 서비스를 제공하며, 하노이와 호치민시의 한국 투자 기업들을 중점적으로 지원합니다.
