●기사의 포인트
중국계 사이버 첩보 그룹 UNC2814가 Google 스프레드시트를 C2 통신 채널로 악용하는 백도어 ‘GRIDTIDE’를 사용해 통신 인프라를 표적으로 장기간 잠복 공격을 전개하고 있다. 전통적 방화벽과 화이트리스트 기반 방어가 무력화되는 상황에서, 동남아에 거점을 둔 일본 기업들도 공급망을 통해 피해를 입을 위험이 커졌다. 제로트러스트로의 전환과 EDR/XDR 도입이 시급하다.
세계 사이버 보안 업계가 일제히 경고음을 내고 있다. 동남아시아와 중동, 유럽, 아프리카를 가리지 않고 특정 국가 이해관계와 맞닿은 것으로 보이는 사이버 첩보 활동이 빠르게 확산되고 있다. 공격 대상도 달라졌다. 과거 군사 기밀이나 국가 안보 정보가 주요 표적이었다면, 이제는 통신 인프라 자체가 공격의 중심으로 떠올랐다.
통신망이 뚫린다는 것은 단순한 정보 유출을 넘어선다. 통화 기록과 위치 정보는 물론, 정부와 기업의 업무 통신까지 공격자 손에 들어갈 수 있다. 이렇게 확보된 정보는 외교·경제 협상에서 활용되는 ‘보이지 않는 무기’가 될 수 있다.
이 위협의 중심에는 사이버 보안 기업 맨디언트가 ‘UNC2814’로 명명한 그룹이 있다.
●목차
위협의 실체: 고도한 기술보다 ‘발견되지 않는 것’에 집중한 장기 잠복 전략
이들은 중국의 국가 이익과 연계된 것으로 의심되는 고도지속위협(APT) 그룹이다. 특징은 화려한 해킹 기술이 아니라 ‘탐지되지 않는 것’에 초점을 맞춘다는 점이다. 침투 후 즉각적인 데이터 탈취에 나서지 않고, 수개월에서 길게는 1년 이상 내부에 잠복하며 네트워크 구조를 정밀하게 파악한다. 이후 핵심 자산을 위치를 파악한 뒤, 가장 효율적인 경로로 장기간에 걸쳐 데이터를 빼낸다.
이들이 활용하는 백도어가 GRIDTIDE다. 시스템 감염이 성공하면 공격자는 영구적 접근권을 확보한다. 비밀번호를 바꾸고 보안 패치를 적용해도, GRIDTIDE를 완전히 제거하지 못하면 침투 경로는 계속 열려 있다. 조직 내부의 정보가 마치 틀어 놓은 수도꼭지처럼 지속적으로 흘러나간다.
사이버보안 컨설턴트 신지츠케츠 씨는 이렇게 지적한다.
「GRIDTIDE의 위험은 설치 이후의 은닉성에 있습니다. 로그에 남지 않고 경보를 발생시키지 않습니다. 기존 탐지 도구들이 전제로 삼는 ‘이상 행위’를 교묘히 회피하도록 설계되어 있습니다.」
왜 기존 대책은 무력한가: ‘정상 서비스’를 악용하는 정교한 수법
UNC2814의 수법 중 특히 주목할 부분은 C2(명령·통제) 전달 방식이다. 이들은 Google 스프레드시트를 백도어에 명령을 전달하는 ‘은폐된 통신 채널’로 활용한다.
Google 스프레드시트는 누구나 일상적으로 사용하는 합법적 클라우드 서비스다. 기업 IT부서는 해당 서비스 접근을 정상·안전한 통신으로 판단해 화이트리스트에 등록한다. 방화벽이나 프록시가 Google 접속 자체를 차단하는 발상을 하지 않는 경우가 대부분이다. 공격자는 바로 이 점을 노린다.
전통적 경계 기반 방어는 ‘외부와 내부를 구분하는 방화벽’에 의존해 왔다. 외부의 의심스러운 통신을 차단해 내부를 보호하는 것이 오랜 보안 패러다임이었다. 그러나 공격 명령이 ‘정상 통신’ 위에서 전달된다면 방화벽은 무력화된다. 오히려 신뢰해 접근을 허용하는 화이트리스트 방식이 최대의 취약점이 된다.
「문제의 핵심은 공격자가 우리의 신뢰 인프라를 역이용한다는 점입니다. Google 인프라가 악용되면 우리는 Google까지 의심해야 합니다. 하지만 업무상 그것은 현실적으로 거의 불가능합니다. 이런 비대칭성이 현대 사이버 공격의 가장 교묘한 부분입니다.」
타국의 문제가 아니다: 일본 기업이 직면한 현실적 위험
이 사안을 ‘해외 통신사업자만의 문제’로 치부하기 쉽다. 그러나 동남아나 중동에 지사를 둔 일본 기업(제조업, 상사, 금융기관 등)에게 UNC2814의 활동은 이미 현실적 위협이다.
그 이유는 세 가지로 정리할 수 있다.
첫째, 공급망 리스크다. 현지 통신사가 침해될 경우, 해당 인프라를 사용하는 기업 역시 공격 범위에 포함된다. 본사와의 통신이 도청되면 기술 정보나 영업 기밀이 유출될 가능성이 높다.
둘째, 표적 범위의 확대다. 공격자는 통신사를 발판 삼아 연결된 기업 네트워크로 침투를 확장한다. 현지 거점이 뚫리면 결국 본사의 핵심 시스템까지 위협받을 수 있다.
셋째, 기업 책임 문제도 커지고 있다. 최근 규제 환경 변화로 인해 대형 사이버 사고는 경영진 책임으로 이어질 수 있다. 이미 알려진 위협에 대해 대응하지 않았다면, 법적 책임까지 문제될 수 있다는 지적이다.
경영진이 주도해야 할 ‘차세대 방어 전략’
그렇다면 경영진은 지금 무엇을 해야 할까. 기술적 논의를 넘어 세 가지 전략적 방향을 권한다.
첫째, 제로트러스트로의 완전한 전환이다. ‘사내 네트워크라 안전하다’, ‘Google 서비스라 안전하다’는 전제를 버려야 한다. 제로트러스트는 모든 접근을 기본적으로 신뢰하지 않고, 접근 시마다 정당성을 검증하는 아키텍처다. 도입 비용은 크지만 UNC2814형 공격에 맞서는 근본적 해법에 가깝다.
둘째, 행위 기반 탐지(EDR/XDR) 강화다. 네트워크 경로가 아니라 엔드포인트(단말·서버)의 ‘행동’을 감시하는 기술이다. GRIDTIDE가 Google 스프레드시트와 통신할 때, 명령을 받은 단말은 평상시와 다른 처리 패턴을 보인다. 머신러닝 기반으로 그 패턴을 포착하면 C2 통신을 네트워크가 아니라 단말 측에서 탐지할 수 있다.
셋째, 위협 인텔리전스를 경영 의사결정에 통합하는 것이다. UNC2814 같은 국가 연계 그룹은 지정학적 상황과 연동해 표적을 바꾼다. 동남아의 지정학적 긴장이 높아지면 그 지역의 일본 기업 거점에 대한 공격 위험도 함께 상승한다. 세계 정세와 공격 기법을 연계해 위험을 선제적으로 규정하는 위협 인텔리전스 기능을 CISO뿐 아니라 경영진의 의사결정 구조에 포함시켜야 한다.
보안은 ‘비용’이 아니라 ‘지속가능성에 대한 투자’
디지털 전환이 가속화될수록 공격자가 숨을 수 있는 ‘은폐 공간’은 늘어난다. 클라우드 서비스, SaaS, IoT 등은 모두 잠재적 C2 채널이 된다. 기술 발전과 공격 기법의 발전은 늘 함께 간다.
경영진에게 지금 가장 필요한 것은 기술 세부사항을 완전히 이해하는 것이 아니다. 기술 구조의 변화까지 고려해 신속하고 적절한 투자 결정을 내리는 능력이다. 사이버보안을 단순히 IT 부서의 비용 센터로 취급하는 한, UNC2814 같은 고도 위협과의 싸움에서 처음부터 불리할 수밖에 없다.
Google 스프레드시트가 ‘악의의 위장’이 되는 시대에, 최후의 방어선은 기술 그 자체가 아니라 최고경영층의 인식과 신속한 의사결정 능력이다.
(글=BUSINESS JOURNAL 편집부, 협력=신지츠케츠 / 사이버 보안 컨설턴트)
댓글0