Biggest Cyber Security Challenges in 2024

2024년 가장 큰 사이버 보안 문제와 과제

사이버 범죄자들이 수법을 개선하고 새로운 취약성, 기술, 공격 벡터를 활용함에 따라 사이버 보안 위협 환경은 끊임없이 변화하고 있습니다. 2024년에 기업 사이버 보안에 가장 큰 위협이 될 수 있는 몇 가지 사항은 다음과 같습니다:

랜섬웨어 제로데이 및 메가 공격

랜섬웨어는 지난 몇 년 동안 기업 데이터 보안과 사이버 보안에 가장 큰 위협이 되어 왔습니다. 그러나 시간이 지남에 따라 이 위협이 진화하면서 이러한 공격이 표적 조직에 미치는 영향은 더욱 악화되고 있습니다.

2023년에는 MGM 리조트 인터내셔널 침해와 같은 유명하고 대규모의 랜섬웨어 공격이 대규모로 발생했습니다. 랜섬웨어의 성공에 기여한 몇 가지 주요 요인은 다음과 같습니다:

 

• 진화하는 기능: 랜섬웨어 공격자들은 공격을 최적화하고 개선하기 위해 끊임없이 노력하고 있습니다. 간헐적 암호화, 침해 전용 공격 및 고급 회피 기술의 도입으로 인해 이러한 공격을 탐지하고 피해가 발생하기 전에 차단하기가 더욱 어려워졌습니다.
• 제로데이 익스플로잇: 2023년에는 제로데이 취약점을 이용해 대규모 랜섬웨어 공격 캠페인을 수행한 CL0P가 두각을 나타냈습니다. 이 그룹은 주로 파일 전송 도구(GoAnywhere, MOVEit, Accellion의 파일 전송 어플라이언스)를 표적으로 삼아 한 번에 수백 또는 수천 개의 조직에 영향을 미치는 공격을 수행합니다. 제로 데이를 랜섬웨어 공격에 사용하는 다른 그룹으로는 Akira, Lockbit, DarkCasino, Nokoyawa가 있습니다.
• 선택적 표적화: 랜섬웨어 그룹은 영향력을 극대화하기 위해 점점 더 공격 대상을 선별하고 있습니다. 많은 고객을 보유하고 있거나 다른 조직에 랜섬웨어를 전파할 가능성이 있는 기업은 공격의 잠재적 보상을 극대화할 수 있기 때문에 주요 표적이 됩니다.

국가 연계 핵티비즘과 와이퍼

 

전쟁이나 정치적 목적을 달성하기 위해 사이버 공격을 노골적으로 사용하는 경우는 비교적 드물었습니다. 그러나 지난 몇 년 동안, 특히 러시아-우크라이나 전쟁의 맥락에서 이러한 현상이 일반화되었습니다.

정부와 직접 연계되어 있든 독립적인 핵티비스트로 활동하든, 사이버 범죄 그룹은 대의를 위해 분산 서비스 거부(DDoS) 공격, 와이퍼 및 기타 파괴적인 공격을 점점 더 많이 사용하고 있습니다. 예를 들어, 러시아 연루가 의심되는 Anonymous Sudan은 마이크로소프트, 텔레그램, 트위터(X), 스칸디나비아 항공을 대상으로 수많은 유명 DDoS 공격을 수행한 바 있습니다. 반면 이란과 연계된 카르마와 아그리우스는 이스라엘 조직의 민감한 데이터를 유출하는 데 특화되어 있으며, 때때로 와이퍼를 배포하기도 합니다.

사이버 보안에서의 AI 활용

 

최근 몇 년간 인공지능(AI)의 급격한 부상은 기업 사이버 보안에 긍정적인 영향과 부정적인 영향을 모두 미쳤습니다. 기업은 AI를 사용하여 위협 탐지 및 대응 역량을 강화할 수 있지만, 사이버 범죄자들도 공격의 효율성을 높이기 위해 AI를 사용할 수 있습니다.

공격적인 사이버 보안에 AI를 사용하는 일반적인 사례 중 하나는 피싱 이메일과 멀웨어의 개발입니다. 사이버 범죄자들은 생성형 AI(GenAI)를 사용하여 과거에 이러한 위협을 정의했던 오타 및 기타 오류가 없는 피싱 메시지를 만들 수 있습니다. 또한 많은 GenAI 툴에는 멀웨어 개발에 대한 가드레일이 있지만, 공격자가 이를 쉽게 우회할 수 있어 공격자가 정교한 멀웨어를 더 빠르게 개발할 수 있습니다.

데이터 유출

데이터 유출은 항상 조직의 주요 사이버 보안 문제였습니다. 민감한 고객 또는 기업 데이터가 노출되면 브랜드 평판이 손상되고 수익성이 떨어지거나 법적 또는 규제 조치를 받을 수 있습니다.

과거에는 기업이 보안 침해가 발생한 후 솜방망이 처벌로 넘어갈 수 있었지만, 이제는 더 이상 그렇지 않습니다. 최근 몇 년 동안 데이터 유출로 인해 소송이 제기되고 유출된 조직에 막대한 벌금과 합의금이 부과되는 경우가 점점 더 많아지고 있습니다. Uber의 경우 최고 정보 보안 책임자(CISO)가 연방거래위원회(FTC)로부터 데이터 유출을 은폐하려 한 혐의로 유죄 판결을 받기도 했습니다.

 

고객의 개인 데이터를 보호하는 데이터 개인정보 보호법이 점점 더 다양해지고 엄격해지고 있습니다. 규제 당국이 적극적으로 사건을 조사하고 요건을 시행함에 따라 규정을 준수하지 않거나 과실로 인해 위반이 발생한 조직은 상당한 처벌을 받게 될 가능성이 높습니다.

유출된 사용자 자격 증명 및 토큰

 

원격 및 하이브리드 근무 방식으로의 전환으로 인해 보안에 대한 새로운 접근 방식이 필요해졌습니다. 원격 근무자가 온프레미스 및 클라우드 환경에 액세스해야 함에 따라 기업들은 기업 애플리케이션 및 데이터에 대한 액세스를 보호하기 위해 싱글 사인온(SSO) 및 다중 인증(MFA)을 도입했습니다.

 

이러한 변화로 인해 사이버 위협 공격자들은 클라우드 기반 리소스에 대한 액세스 권한을 부여하는 액세스 토큰을 표적으로 삼게 되었습니다. 이는 종종 제3자 또는 클라우드 서비스 제공업체에 안전하게 저장되지 않은 토큰을 훔치는 방식으로 이루어집니다.

 

예를 들어, Microsoft는 토큰 관련 보안 사고를 여러 번 경험했습니다. 오픈 소스 AI 학습 데이터만 공유하도록 잘못 구성된 Azure SAS 토큰으로 인해 민감한 데이터가 의도치 않게 노출된 사건도 있었습니다. 또 다른 사고는 침해된 Microsoft 엔지니어의 계정 내에 안전하지 않게 저장된 Microsoft 계정(MSA) 소비자 서명 키가 도난당한 경우입니다. 공격자는 이 키를 사용하여 다양한 Microsoft 서비스에 대한 인증 토큰을 생성하고 디지털 서명할 수 있습니다.

 

또 다른 주목할 만한 토큰 관련 사이버 보안 사고는 2023년 10월에 발생한 Okta의 침해 사건입니다. 공격자는 탈취한 자격 증명을 통해 Okta의 고객 지원 관리 시스템에 액세스할 수 있었습니다. 이를 통해 공격자는 쿠키와 세션 토큰이 포함된 민감한 파일을 훔쳐 고객 세션을 탈취하고 고객 환경에 무단으로 액세스할 수 있었습니다.

PIP 설치 멀웨어

오픈 소스 소프트웨어(OSS)의 광범위한 사용은 심각한 애플리케이션 보안 문제(AppSec)를 야기합니다. 대부분의 애플리케이션은 최소한 일부 오픈 소스 라이브러리와 종속성을 사용합니다. 그러나 이러한 오픈 소스 구성 요소는 개인에 의해 유지 관리되거나 폐기되었을 수 있으며 엔터프라이즈급 보안 코딩 표준을 충족하지 않을 수 있습니다.

사이버 위협 공격자들은 기업 환경을 손상시키고 새로운 애플리케이션에 취약성 또는 악성 코드를 도입하기 위한 방법으로 OSS 리포지토리를 점점 더 많이 표적으로 삼고 있습니다. 몇 가지 일반적인 방법은 다음과 같습니다:

• 타이포스쿼팅: 타이포스쿼팅 공격에서 사이버 범죄자는 널리 사용되는 합법적인 라이브러리의 이름을 모방한 라이브러리와 패키지를 만듭니다. 개발자가 PyPI, NuGet 또는 기타 OSS 리포지토리에서 종속 요소를 설치할 때 이름을 잘못 입력하면 애플리케이션에 악성 코드가 포함됩니다.
• 브랜드재킹: 브랜드재킹: 널리 사용되는 일부 패키지가 패키지 리포지토리가 아닌 GitHub를 통해서만 배포된다는 점을 이용합니다. 이를 통해 공격자는 개발자가 문제의 패키지를 다운로드하려고 할 때 가져올 합법적인 라이브러리의 악성 버전을 만들 수 있습니다.
• 종속성 혼동: 종속성 혼동 공격은 일부 라이브러리가 비공개 리포지토리에서 호스팅된다는 점을 악용합니다. 공격자가 같은 이름의 공개 리포지토리를 만들면 패키지 관리자가 비공개 버전 대신 공개 리포지토리를 다운로드합니다.
• 계정 탈취: 계정 탈취 공격은 버려진 GitHub 계정을 탈취하여 공격자가 합법적인 패키지에 악성 코드를 추가할 수 있도록 시도합니다. 예를 들어, 공격자는 만료된 도메인 이름을 주장한 다음 해당 도메인과 연결된 GitHub 비밀번호를 재설정할 수 있습니다.

개발자는 프로젝트에 가져오는 타사 종속성에 대해 보안 테스트를 수행하지 않는 경우가 많습니다. 특히 널리 사용되는 리포지토리의 사용자를 속일 수 있다면 사이버 위협 행위자에게 효과적인 공격 벡터가 될 수 있습니다.