흔히 잘못 알려진 사이버 보안 인식 상식

As we enter 사이버 보안 인식의 달을 맞아, 선의에서 비롯되었지만 오히려 부정적인 영향을 미치며 확산되는 흔한 보안 관련 오해와 잘못된 통념에 대비해야 합니다. 이러한 주제는 노련한 전문가들 사이에서도 논란이 될 수 있으므로, 데이터에 기반한 관점에서 최대한 폭넓은 기업 독자층을 대상으로 살펴보겠습니다.

이처럼 폭넓은 범위를 다루다 보면 의견 충돌이 발생하기 쉽습니다. 모든 기업은 위험과 감수 가능한 손실, 적용 가능한 위협 모델과 예상되는 위협 행위자, 그리고 자사 환경의 고유한 특성에 대해 자체적으로 논의해야 합니다. 하지만 공통적으로 바탕이 되어야 하는 것은 데이터, 전문성, 객관성이지, 집단 내부에만 통용되는 지식이나 이해 없는 모방, 확증 편향과 생존자 편향이 아닙니다.

이른바 ‘3대 위험 요소’인 이메일 링크 클릭, 공용 Wi-Fi 사용, 그리고 ‘주스 재킹’, 즉 무료 USB 휴대폰 충전의 위험성을 살펴보겠습니다.

#1 이메일의 링크 클릭하기

핵심 요점: 피싱과 사기를 식별할 수 있는 명확한 징후를 알려 주되, "링크를 클릭하지 마세요"와 같은 비현실적인 조언은 도움이 되지 않을 뿐 아니라 오히려 해로울 수 있습니다.

"안전한 사용"에 대한 인식 제고는 직원들이 기술을 더 잘 활용하도록 돕는 동시에 일반적인 문제를 해결하는 데 효과적이지만, "링크를 클릭하지 마세요"와 같은 근본적인 행동 변화를 수년간 요구해 왔음에도 별다른 효과가 없는 것으로 보입니다. Verizon의 2023년 데이터 침해 조사 보고서에 따르면 전체 침해 사고의 74%에 사람과 관련된 요소(이메일에만 국한되지 않음)가 포함되어 있으며, Cyentia Institute의 2022년 정보 위험 인사이트 연구에서는 20개 산업 부문 중 18개 부문에서 피싱을 최초 침투 기법 상위 3위 안에 포함했습니다(정보 및 기타 서비스 부문에서는 4위).

사고는 일어나기 마련이며, 선의로 행동하고 교육도 받은 직원조차 시간이 충분히 지나면 악성 링크를 클릭하게 됩니다。 보안 프로그램이 사용자들에게 이메일 사용 방식을 바꾸도록 수년간 설득해 왔음에도 여전히 이메일 및 기기 보안에 투자하는 이유 중 하나가 바로 이것입니다. 더 우려스러운 점은 귀중한 보안 인식 교육 시간을 이 주제에 할애한다는 것입니다. 실용성이 부족해 교육 대상자의 집중력을 떨어뜨림으로써 오히려 더 큰 해를 끼칠 수 있습니다.

기업은 직원 한 명이 링크를 클릭하더라도 흔들리지 않을 만큼 더 강력한 복원력을 갖춰야 합니다. 직원들도 특히 현장 상황을 정확히 알리는 신고("수상한 것을 보면 신고하세요")를 통해 도움을 줄 수 있지만, 이러한 위험을 완화하는 것은 보안팀의 책임입니다.

#2 공용 Wi-Fi 사용

핵심 요점: 공용 Wi-Fi는 비즈니스 환경에서도 안전하게 사용할 수 있습니다.

공용 Wi-Fi가 가정이나 사무실 네트워크보다 신뢰성이 떨어지거나 더 위험하다는 인식은 여전히 남아 있습니다. 하지만 원격 근무가 급증했던 2020년부터 2022년까지를 포함해 공용 Wi-Fi가 대규모로 악용되었다는 보고는 없습니다. 미국 연방거래위원회(FTC)는 2011년에 공용 Wi-Fi 사용을 자제하라고 경고했지만 2023년에는 공용 Wi-Fi를 안전하게 사용할 수 있게 한 기술 발전을 반영하여 지침을 개정했습니다.

이에 비해 공공장소에서 우발적으로 발생하는 범죄와 같은 노트북 및 기기 도난은 실제로 존재하며, 저장소 암호화, 모바일 기기 관리(MDM), 잠금 정책에 투자함으로써 완화할 수 있는 더 현실적인 위험입니다. 그 사례에 해당하는 하위 집단으로는 미국 보건복지부 민권국(OCR)의 500명 이상에게 영향을 미친 보안되지 않은 보호 대상 건강 정보 침해 신고 기록 목록이 있으며, 이 목록에 따르면 2009년 이후 노트북이나 기타 휴대용 전자 기기의 도난 또는 분실 사고가 4,600건 이상 발생해 3억 4,500만 명 이상에게 영향을 미쳤습니다.

한편, 로컬 네트워크 트래픽의 보안 강화 추세는 계속되고 있습니다:

• Google의 「웹상의 HTTPS 암호화」 투명성 보고서에 따르면 Google 전반에서 트래픽의 90% 이상이 암호화되어 있으며, Windows와 Mac 같은 운영 체제에서도 암호화된 트래픽이 널리 사용되고 있습니다.
• Let's Encrypt의 통계에 따르면, Mozilla Firefox 원격 측정 데이터의 Firefox에서 HTTPS를 사용해 로드된 웹 페이지의 비율은 전 세계 사용자 트래픽의 약 80%가 암호화되어 있으며, 미국과 일본 사용자 트래픽의 약 90%가 암호화되어 있음을 보여줍니다.
• Google의 「전송 중 이메일 암호화」 투명성 보고서에 따르면 Google(Gmail)에서 주고받는 이메일의 90% 이상이 암호화됩니다.
• DNS 보안 기능은 여전히 도입에 어려움을 겪고 있지만, 앱 트래픽에 대한 강력한 암호화 지원과 기업 관리 트래픽에서 VPN 및 이에 준하는 기술이 널리 사용되면서 이러한 문제가 어느 정도 완화되고 있습니다. DNSSEC 도입률은 낮지만(Verisign의 DNSSEC 현황판에 따르면 보안이 적용된 .com 도메인은 약 5%), 2020년부터 본격적으로 확산되기 시작해 꾸준히 성장하고 있습니다. 마찬가지로 DNS over HTTPS(DoH)도 운영 체제와 브라우저에서 지원됩니다.

사용자 기기에서 극히 예외적인 경우에만 허용되어야 하는 외부 네트워크에 노출된 서비스가 기기에 없다면, 공용 Wi-Fi는 다른 Wi-Fi 네트워크와 비교해 별다른 고유 위험이 거의 없습니다. 제로 트러스트 접근 방식을 채택하는 사람들에게 공용 Wi-Fi는 네트워크를 절대 신뢰하지 않는다는 원칙을 잘 보여주는 사례입니다. 이는 공용 네트워크와 사설 네트워크 모두에 해당합니다.

#3 "주스 재킹" 또는 무료 휴대폰 USB 충전의 위험성

핵심 요약: 이 공격은 여러 휴대폰 모델에서 가능한 것으로 입증되었지만, 실제로 사용되었다는 확실한 증거는 없으며 사용자가 저렴한 비용으로 예방할 수 있으므로, 급할 때는 무료 USB 충전기를 사용해도 대체로 안전합니다.

휴대폰을 방치해 도난당할 수 있는 상황이나 이러한 공격의 "시연"이 이루어질 가능성이 더 높은 보안 콘퍼런스 등 USB 충전소를 피하는 것이 좋은 경우도 있지만, "주스 재킹"의 위험성이 널리 부각되는 것을 뒷받침하는 확인된 데이터는 없습니다.

• 미국 연방통신위원회(FCC)는 이러한 공격이 실제로 발생한 것으로 확인된 사례는 파악하지 못했다고 밝히고 있습니다.
• Snopes는 "주스 재킹" 경고의 사실 여부를 검증했습니다 2019년 로스앤젤레스 카운티 지방검찰청과 2023년 FCC 및 연방수사국(FBI)이 발표한 경고를 검증한 결과, 이러한 공격이 광범위하게 발생했다는 증거를 찾지 못했습니다. 이 내용은 KrebsOnSecurity에서도 인용되었습니다 FCC와 FBI가 2023년에 발표한 경고를 보도하면서 말입니다.

이러한 위험을 우려하는 경우, 고용주와 직원 모두 적은 비용으로 위험을 완화할 수 있습니다:

1. 특히 출장자들의 필수 휴대품으로 자리 잡은 전기 콘센트-USB 충전 어댑터와 소형 휴대용 배터리 팩을 사용하세요.
   
2. USB에 연결할 때 휴대폰에서 "데이터 공유" 또는 "이 컴퓨터를 신뢰" 등의 여부를 묻는 메시지가 표시되면 "충전만"을 선택하세요.
   
3. 사용자의 위험 수준이 상당히 높은 것으로 평가되는 경우, 데이터 전송을 차단하거나 지원하지 않는 특수 충전기와 케이블을 구입하는 것을 고려하세요.

무료 USB 충전소에서 더 큰 위험은 기기를 방치해 누군가가 가져가 버리는 것입니다. 이 경우에도 기업이 기기 관리와 보안 수칙 준수에 투자하는 것이 일반적으로 합리적인 완화 조치입니다.

이러한 주제에 대한 인식을 높이는 것이 왜 나쁜가요? 인식이 높아지는 것은 언제나 좋은 일 아닌가요?

보안은 일반적으로 동료들로부터 긍정적인 관심을 거의 또는 전혀 받지 못하며, 회사에서 의무적으로 실시하는 교육도 흥미를 불러일으키지 못합니다. 이처럼 소중한 순간과 첫인상은 보안 팀이 보유한 자원 중 가장 큰 비용이 드는 자원에 속합니다.

아무리 좋게 보더라도 중요하지 않거나, 관련성이 없거나, 부정확하거나, 비현실적인 자료에 들이는 시간은 모두 낭비입니다. 최악의 경우 보안 팀은 청중의 관심을 잃게 되며, 다음번에는 아무리 중요한 메시지를 전달하더라도 주목받지 못할 것입니다.

더 큰 관점에서 제기되는 질문은 이와 같은 통념과 오해가 왜 계속해서 사라지지 않는가 하는 것입니다. 문제의 일부는 이 글의 서두에서 언급했듯이 인간적인 요인에 있습니다.

또 다른 문제는 이러한 오해가 규정 준수 프레임워크와 비즈니스 계약에 명문화될 때 구조적으로 고착된다는 점입니다. 특히 기술의 발전에 맞춰 갱신되지 않는 구체적인 규정은 시간이 지나면 현실과 동떨어지기 쉽습니다. 그 결과 보안 프로그램은 낡았거나 근거 없는 요구 사항을 이행하게 되고, 팀원들은 이를 그대로 받아들여 다음 직장에까지 전파합니다. 이렇게 오염된 지식은 악성코드보다 더 해롭습니다.