정부, 사이버 침해 모의훈련 해보니…해킹 감염률 4.7%

[서울=뉴시스]윤정민 기자 = 정부가 지난달 사이버 침해 대응 모의훈련 차원으로 국내 기업 501곳 임직원에게 특정 기관 사칭 등으로 위장한 해킹 메일(악성코드 파일 첨부 메일)을 발송한 결과 감염률이 4.7%인 것으로 나타났다. 최근 3년간 실시한 훈련 중 가장 낮은 감염률이었다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 21일 오전 10시 서울 강남구에서 '2024년 상반기 사이버 위기대응 모의훈련' 강평회를 열고 이같이 밝혔다.

과기정통부와 KISA는 매년 2회에 걸쳐 사이버 위기 대응 모의훈련을 진행하고 있다. 기업의 사이버 침해사고 예방과 대응능력 강화를 위해서다. 이번 훈련에는 역대 가장 많은 556개 기업(임직원 23만4000여명)이 참여했다. 지난해 하반기(391곳) 대비 42% 늘었다.

이번 모의훈련은 해킹메일 대응, 디도스(분산 서비스 거부, DDoS) 공격·대응 점검, 기업 누리집(홈페이지) 대상 모의 침투, 기업 보안장비 대상 취약점 탐지 등으로 진행됐다.

해킹메일 대응 훈련은 특정 기관 사칭 또는 일상적으로 받을 수 있는 메일로 위장해 메일 열람과 첨부파일 클릭을 통한 악성코드 감염을 유도하는 방식이다.

이번 훈련의 경우 감염률이 최근 3개년 동안 실시한 훈련 중 가장 낮게 나타났다. 열람률은 37.9%이었지만 감염률은 4.7%였다. 감염률 기준 지난해 하반기 대비 1.8%포인트(p) 줄었다. 임직원 20명 중 1명 정도가 메일을 열고 악성코드가 든 첨부 파일까지 실행했다는 뜻이다.

정부가 매번 훈련을 진행할 때마다 재참여 기업이 신규 참여 기업보다 열람률, 감염률이 낮게 나타났다. 이번 훈련에도 신규 참여 기업의 열람률과 감염률이 각각 40.3%, 4.8%인 반면 재참여 기업의 열람률과 감염률은 각각 37.2%, 4.7%로 조금 낮았다.

과기정통부는 반복적인 모의훈련이 임직원 보안 인식을 제고하고 대응 능력을 향상시킬 수 있다는 것을 확인할 수 있었다고 설명했다.

디도스 공격·대응 훈련은 기업 98곳 홈페이지를 대상으로 실제 디도스 공격을 수행하고 탐지 시간과 대응 시간을 측정해 기업 대응 능력을 점검하는 방식이다.

평균 탐지 시간은 21분, 대응 시간은 24분이었다. 특히 중소기업의 경우 평균 탐지(26분), 대응 시간(26분)이 대기업·중견기업(탐지 21분, 대응 23분) 대비 더 소요된 것으로 나타났다. 과기정통부는 디도스 공격 등 침해 위협에 대한 중소·영세 기업 대응이 개선될 필요성이 있다는 걸 확인했다고 전했다.

기업 홈페이지 모의 침투 훈련의 경우 화이트해커가 45개 기업 홈페이지를 대상으로 주요 해킹 사례에서 사용되는 20여 가지의 다양한 공격 기법(악성코드 삽입, 파라미터 변조·조작 등)으로 정해진 시나리오 없이 수행했다.

그 결과 홈페이지 38곳에서 총 124개(기업당 평균 3.3개)의 취약점을 발견했다. 취약점이 발견된 기업은 다음 달 해당 취약점 제거 등 보안을 강화할 예정이다.

취약점 탐지 훈련은 144개 기업을 대상으로 기업에서 보유 중인 방화벽, 침입 방지 시스템 등 보안 장비가 특정 취약점 공격 패턴을 탐지할 수 있는지 점검하는 방식으로 진행됐다. 훈련에 활용된 취약점은 최근 정부가 발견한 위험·파급도가 높은 취약점을 말한다.

과기정통부는 참여 기업 중 20곳에 취약점 탐지가 미흡함을 확인했다며 해당 기업이 조치할 수 있도록 주요 취약점 설명과 보안 장비 설정, 패턴 업데이트 가이드를 제공했다고 밝혔다.

한편 과기정통부와 KISA는 기업에서 원하는 기간에 자율적으로 훈련을 실시할 수 있는 사이버 시큐리티 훈련 플랫폼을 구축·운영하고 있다. 양 기관은 이번 훈련에 참여하지 못한 많은 중소기업이 이용할 수 있도록 안내·홍보할 예정이다. 

정창림 과기정통부 정보보호네트워크정책관은 "정기 훈련의 질적 수준을 지속 강화하는 한편 상시 훈련 플랫폼 활용 등을 통한 반복 훈련으로 기업들이 정보보안 수칙을 잘 준수하고 대응 역량을 강화할 수 있도록 지원하겠다"고 밝혔다.


◎공감언론 뉴시스 [email protected]