2년간 두배 늘어난 해킹, 보안 인력난 심화에 대응하는 업계

[화이트해커 인사이트] ③

임종철 디자이너 /사진=임종철 디자이너

보안 업계가 사이버 보안 인력 양성에 본격 나섰다. 최근 2년새 사이버 침해사고가 2배 수준으로 늘어나서다.

9일 과학기술정보통신부, KISA(한국인터넷진흥원)의 '2024년 상반기 민간 분야 주요 사이버 위협 동향'에 따르면 올 상반기 사이버 침해사고 신고 건수는 899건으로 2022년(473건) 대비 90% 늘었고 지난해(664건) 대비 35% 증가했다. 상대적으로 보안 투자 여력이 부족한 중소기업과 비영리 기관의 서버를 대상으로 한 해킹이 증가했다는 게 과기정통부 등의 분석이다.

국가 기간시설 관련 분야 뿐 아니라 다양한 산업의 업무 시스템이 내부 서버가 아닌 클라우드 환경에 구축되는 형태가 보편화된 점, 디지털 전환 확산으로 다양한 소프트웨어를 도입하고 업데이트 하는 빈도가 높아진 점 등으로 위협 노출 통로가 다향해졌다는 지적이다. 공격 대상을 선정하거나 공격 대상의 취약점 파악 자동화 등을 위해 생성형 AI(인공지능)를 악용하는 사례도 늘면서 침해 행위도 고도화되고 있다.

이같은 IT 환경의 변화와 기술 발달은 우리 정부·공공과 산업계를 노리는 북한 등 해커들이 더 횡행하는 데 영향을 미쳤다. 실제 국가정보원 등으로 구성된 '사이버안보 정보 공동체'는 최근 김수키, 안다리엘 등 북한 해커 조직이 기술 탈취를 위해 사이버 공격을 감행할 수 있으니 주의해달라는 내용의 합동 권고문을 내기도 했다.

이를 막기 위해서는 결국 보안 장비·소프트웨어 및 인력에 대한 투자가 필요하지만 정작 인력이 단시일 내에 확충되기 어렵다는 게 문제다. 상반기 사이버 위협 동향에서 나타난 것처럼 지방 소재 중소 기업이나 비영리 기관 등이 주요 타깃이 된 것도 보안 전문 인력이 충분하게 확보되지 못했기 때문이다. 이에 정부도 2026년까지 신규 인력 4만명을 양성하고 기존 재직자 6만명에게 역량 강화 교육을 진행해 10만명 규모의 정보보호 인재를 육성하겠다는 계획을 내놨다. 강도현 과기정통부 2차관도 KITRI(한국정보기술연구원)을 방문해 국내 화이트해커 양성 프로그램을 살펴본 바 있다.

주요 사이버보안 기업들도 자사의 전문성을 교육 커리큘럼으로 체계화해 차세대 보안 인력 배출에 본격 나섰다. 예컨대 라온시큐어는 화이트햇센터를 운영하며 미국 데프콘 등 다양한 국제 해킹 방어 대회에서 우승 이력을 갖춘 국내외 최고 실력의 화이트해커들로 구성된 프리미엄 모의해킹 서비스를 제공한다. 화이트햇센터는 실습형 해킹·보안 교육 서비스 프로그램인 '라온 CTF'를 통해 연세대, 중앙대, 서울여대 등 다수 대학교의 정보보호 인재 양성에 기여한다. 라온시큐어의 자회사인 라온메타는 메타버스 실습 기반 전문 플랫폼 메타데미를 통해 라온CTF를 운영하면서 서버 보안에서부터 해킹까지 화이트해커 양성을 위한 실습 환경을 제공한다.

라온시큐어의 화이트해커인 김동민 팀장은 "국가 인프라까지 위협하는 공격은 특히 공급망을 공격하는 수법으로 빈번히 자행된다"며 "김수키, 안다리엘 등 사례는 모두 공격 대상이 소프트웨어에 악성코드를 심는 공급망 공격이었다"고 했다. 또 "디지털 전환, 클라우드 확산 등으로 국가 인프라를 포함한 다양한 산업이 사이버 위협에 노출되는 경로가 더 많아졌고 이를 악용한 공급망 기반 APT(지능형 지속 위협) 공격이 점점 고도화되고 있다"며 "이를 실현하기 위해서는 화이트해커 등 전문 인력이 필요하고 우수한 보안 전문인력 양성은 국가 경쟁력과 직결된다"고 강조했다.

황국상 기자 gshwang@mt.co.kr

ⓒ 머니투데이 & mt.co.kr, 무단 전재 및 재배포 금지