수익화된 공격이 새 위협 낳는다: 전문가 보안 대응 단계

솔직한 대화에서 테드 해링턴(Ted Harrington), 독립 보안 평가기관(ISE) 수석 파트너가 성공적 사이버 공격이 어떻게 새 위협을 낳는지 핵심 통찰을 공유하고, 이를 막기 위한 구체적 보안 조치를 제시합니다.

위협 모델링: 실제 위험이 어디에 있는지 이해하기

해링턴은 "최대 위협"이 조직마다 다르다고 설명합니다. "위협 모델링은 보호해야 할 자산, 직면한 적, 그들이 악용할 공격 표면을 식별하는 연습입니다."라고 그는 말합니다. "한 기업에 치명적인 것이 다른 기업엔 사소할 수 있습니다."

웹 브라우저 데이터 유출: 연구의 교훈

최근 ISE 연구에서 금융, 헬스케어, 보험, 유틸리티 등 21개 고위험 사이트 중 70%가 브라우저의 디스크 캐싱을 통한 민감 데이터 저장을 방지하지 못했습니다. 이로 인해 암호화되지 않은 콘텐츠가 최종 사용자 머신에 남았습니다. 해링턴은 "연구는 개발자가 공격자의 시스템 파괴 방식을 이해하지 못하면 주요 공격 벡터를 놓칠 수 있음을 보여줍니다."라고 지적합니다.

그는 다음을 권장합니다:

• 임원 교육 – 의사결정자에게 명확하고 실행 가능한 보안 인사이트 제공
• 익스플로잇 시연 – 추상적 위험을 구체적 위협으로 전환해 인지 편향 극복
• 공감 – 개발자와 UX 팀 경청으로 보안 솔루션이 실제 워크플로에 맞게 설계

로맨틱 제호텔(Romantik Seehotel) 공격: 호스피탈리티 업계 외 교훈

해커가 호텔 도어락을 장악하고 1,600달러 비트코인을 요구하자 주인은 투숙객 안전을 위해 지불했습니다. 해링턴이 뽑은 세 가지 핵심 교훈:

1. 적은 진화한다 – 랜섬웨어의 새 용법(투숙객 경험 방해로 지불 강요)은 공격자가 빠르게 적응함을 보여줍니다.
2. 성공은 모방범을 부른다 – 수익성 있는 공격은 추종자를 초대합니다. 호스피탈리티 업계는 후속 위협을 예상해야 합니다.
3. 보안은 다면적이다 – PCI 준수와 PII 보호만으론 브랜드 평판, 투숙객 안전, 경험을 지킬 수 없습니다.

ISE의 업계 전반 영향

해링턴은 차세대 호스피탈리티 기술(HTNG) 도어락 보안 워킹 그룹을 이끌며 RFID, 온라인, 모바일 잠금 시스템을 위한 추상화된 위협 모델과 모범 사례 가이드라인을 만들었습니다. 지금은 인터엘(Interel)과 IoT 워킹 그룹 공동 의장으로 안전한 디바이스 채택을 안내합니다.

헬스케어: 환자 건강 보호, 데이터 보호 그 이상

HIPAA가 데이터 보안을 주도하지만, 해링턴은 병원들이 더 큰 그림(환자 건강)을 놓친다고 경고합니다. 12개 병원 대상 2년 연구에서 공격자가 의료 디바이스를 침해해 심각한 해악이나 사망을 초래할 수 있음이 밝혀졌습니다. "환자 데이터 보호만으론 불충분합니다."라고 그는 말합니다.

IoT 서비스 제공업체를 위한 3대 핵심 행동

해링턴은 요구사항부터 배포 후까지 모든 개발 단계에 보안을 내재화할 것을 강조합니다. 그는 다음을 권장합니다:

• 서드파티 보안 평가 – 독립 전문가가 내부 팀이 놓칠 수 있는 취약점 발굴
• 적대적 마인드셋 채택 – 자동 스캔과 표준 침투 테스트를 넘어 공격자처럼 생각

독립 보안 평가기관 수석 파트너 테드 해링턴이 편집 디렉터 제레미 코완과 인터뷰했습니다.

---