사이버 범죄자들이 공급망 파트너를 악용해 공격하는 수법

공급망은 본질적으로 조직 간 협력적 파트너십을 요구합니다. 공동 목표 달성과 성장에 도움이 되지만, 동시에 수많은 문제를 야기할 수도 있습니다.

공급망을 통한 공격 실태

오퍼스와 포네몬 연구소 조사에 따르면, 조직의 59% 이상이 제3자 기업을 통한 사이버 공격을 경험했습니다. 더 충격적인 것은 연구 대상 조직 중 단 16%만이 제3자발 사이버 보안 리스크를 효과적으로 완화한다고 답했습니다.

첫 단계는 위험 식별입니다. 공급망 파트너를 통해 악의적 행위자가 공격을 개시하는 주요 방식과 실제 사례를 소개합니다.

1. 외부 하드웨어·소프트웨어 의존

거의 모든 조직이 외부 기술 사용. 오픈소스 붐으로 비즈니스 운영 거의 모든 측면에서 아웃소싱 급증. 편리하지만 상당한 위험 동반. 2018년 이퀴팩스(Equifax) 유출 사고는 온라인 데이터베이스 운영 소프트웨어 결함, 또 다른 공급업체로부터 온 악성 다운로드 링크가 원인. 공급망 취약점으로 1억 4,300만 명 이상 개인정보 유출.

2. 보안 취약한 HVAC 시스템

다수 기업이 인터넷 연결된 냉난방공조(HVAC) 시스템 사용하나 보안 조치 미흡. 해커의 기업 시스템 진입 통로. 2014년 타겟(Target) 대량 유출 사례: HVAC 공급업체 로그인 탈취 → 결제 시스템 침투 → 7,000만 명 정보(이름, 주소, 이메일, 전화번호 등) 유출.

3. 클라우드 서비스 공급업체

기밀 데이터 보관 클라우드 업체도 보안에 막대 투자하지만 침해 가능. 2018년 파라다이스 페이퍼스(Paradise Papers) 해킹: 1,340만 민감 파일 유출, 절반 이상(680만) 애플비(Appleby)라는 역외 법률 서비스 제공업체발. 2018년 여름 딥루트 애널리틱스(Deep Root Analytics) 유권자 2억 명 데이터 유출: 마케팅 업체가 데이터를 공개 접근 가능한 서버에 실수로 올림. 50명 규모 소기업 사례지만, 버라이즌(Verizon) 사례처럼 나이시스템즈(Nice Systems)가 600만 고객 기록을 공개 아마존 S3 버킷에 방치(3,500명 직원 기업)하기도 함. 딜로이트(25만 명 직원)도 관리자 계정 약한 접근 통제로 블루칩 고객 기밀 계획·이메일 유출.

4. 전직 공급업체 시스템 취약점

대기업 내부 보안은 철저해도 공급업체 IT 시스템은 아닐 수 있음. 2018년 호주 도미노피자 사례: 전 공급업체 취약한 사이버 보안으로 고객 이름·이메일 유출. 도미노피자 시스템 탓 아님 주장했으나, 피해 고객 맞춤형 스팸 수신으로 발각. 이미 신뢰 훼손.

5. IoT 센서 간과

컴퓨터·폰·네트워크 보안엔 신경 쓰지만 IoT 기기 간과. 공급망에서 머신 고장 예측, 재고 관리 등에 활용되나 인기 공격 벡터. 봇넷 '미라이(Mirai)'가 다이(Dyn) 해킹: 레딧, 넷플릭스, 깃허브 등 도메인 네임 서비스 제공사에 DDoS 공격. IoT 특화 봇넷.

책임과 대응 방안

공급망 약한 고리로 시스템 접근 권한 획득 가능. 공급망 파트너 보안 조치 직접 통제 불가하지만, 고객은 '어떻게 해킹당했나'가 아닌 '데이터가 안전한가'만 관심. 책임은 결국 귀사에 있습니다.

• 제3자 보안 시스템과 개인정보 보호정책 실사 필수. 규모 불문, 보안 의지 평가 필수.
• 취약점 파악하고 모든 허점 봉쇄를 최우선 과제로 삼으십시오.