'대기업 사칭 아바타' 활개…사이버 범죄에 노출된 '메타버스'

입력2022.12.23. 오전 10:48   수정2022.12.23. 오전 10:49

라온화이트햇 '2023 보안 위협전망'발표
메타버스·NFT·스마트컨트랙트 대상 사이버 공격 기승
개인정보 탈취 수준에서 기업 사칭해 사기 계약도

라온화이트햇, 2023 보안 위협 전망 TOP5 *재판매 및 DB 금지

【서울=뉴시스】송혜리 기자 = 메타버스 내 사이버범죄 수법이 갈수록 대담해지는 모양새다. 그간 개인의 계정을 탈취하는 수준이었다면, 이제는 기업의 아바타와 똑같은 아바타를 생성해 사기 계약을 맺는 등 대상과 규모가 확대되고 있다.

라온시큐어 자회사 라온화이트햇은 자사 핵심연구팀이 분석한 '2023 보안 위협전망-그 누구도 믿지 마라. 제로트러스트 시대의 도래'를 23일 발표했다.

핵심연구팀이 2023년 5대 보안 위협으로 예측한 주요 내용은 ▲메타버스 내 비즈니스 타겟 범죄 확대 ▲스마트 컨트랙트 취약점 공격 기승 ▲대체불가능토큰(NFT) 플랫폼 및 커뮤니티 해킹 증가 ▲기업 임직원 계정정보 취득을 통한 내부망 해킹 지속 ▲오픈소스 활성화로 인한 공급망 보안 위협 지속이다.
 

메타버스·NFT 확산, 늘어나는 사이버범죄 공격 포인트

연구팀은 사이버 보안 범죄의 지속적인 고도화와 함께 메타버스 내에서 개인에게 발생하던 사이버 범죄가 '비즈니스(기업)'를 타깃으로 진화하고 있어 주의가 필요하다고 당부했다.

초기에는 사용자 계정을 탈취하는 등의 개인을 대상으로 한 보안 위협이 대부분이었으나, 최근에는 기업 공식 아바타와 동일한 아바타를 생성 또는 해킹해 사기 계약을 맺는 범죄가 나타나고 있다는 설명이다. 또 '딥페이크(Deep Fake)' 기술을 활용한 기밀 탈취, 허위 사실 발표와 같은 활동을 통해 비지니스에 심각한 피해를 끼칠 것이라고 전망했다.

하지만 현재까지 메타버스에 대한 보안 가이드라인이 마련되지 않았기 때문에 서비스 제공자는 생체인증, 2단계 인증(2FA) 등 이용자의 신원 및 자격 검증을 강화해 이용자의 데이터를 보호해야 할 것이라고 당부했다.

아울러 계약 조건을 블록체인에 기록하고 조건이 충족되면 자동으로 계약이 실행되게 하는 기술인 '스마트 컨트랙트'의 활용 증가에 따라, 이의 취약점을 활용한 해킹도 더욱 기승을 부릴 것으로 예측된다고 강조했다.

'스마트 컨트랙트'는 누구나 확인할 수 있고, 배포된 이후에는 내용을 수정할 수 없기 때문에 해킹∙탈취와 같은 범죄 표적이 되기 쉽다. 실제 금융정보보호 콘퍼런스 '피스콘(FISCON) 2022'에서 김지훈 금융보안 연구원이 발표한 내용에 따르면 올해 '스마트 컨트랙트' 취약점 공격은 59건으로, 국내 블록체인 사고 중 가장 큰 비중을 차지한다.

NFT 인기가 부상하면서 NFT 플랫폼과 커뮤니티를 노리는 해킹 범죄는 내년에도 지속 증가할 것으로 예상된다.

글로벌 최대 NFT 마켓플레이스 '오픈씨' 해킹으로 약 250만 달러(약 30억원)의 피해가 발생했으며, 최근에는 NFT 프로젝트의 디스코드 계정을 해킹해 사용자들에게 악성 주소를 클릭하게 하는 범죄가 지속적으로 발생하고 있다. 해킹 방법도 단순히 링크 클릭을 유도하는 것뿐만 아니라 큐알(QR)코드를 촬영하면 사용자 접근권한을 탈취할 수 있는 방식 등으로 진화하고 있다.
 

임직원 계정 탈취를 통한 내부 망 해킹·오픈소스 취약점 노린 공급망 공격도 지속

올해 초 삼성전자, 엔비디아 등 주요 빅테크 기업이 신흥 해커조직 랩서스에게 해킹 당하며 기밀 자료가 유출됐다. 랩서스의 해킹 방식은 다크웹, 피싱 이메일, 가짜 웹 사이트 등을 통해 공격 타겟 기업 임직원 계정정보(ID·PW)를 취득한 후 내부기밀정보를 탈취한 것으로 분석됐다.

이에 라온화이트햇 핵심연구팀은 기업에선 '제로트러스트(아무것도 신뢰하지 않는다)' 관점에서 보안체계를 구현할 것을 추천했다. 특히 '2단계 인증'을 도입해 인증을 강화하면 사용자 계정이 탈취돼도 내부 시스템 접속 시점에 승인된 사용자인지 다시 한 번 검증할 수 있기 때문에 피해를 사전에 예방할 수 있다고 추천했다.

오픈소스 활성화로 인한 공급망 보안 위협도 지속된다. 2021년 보안 업계에 최악의 이슈였던 'Log4j 사태'는 오픈소스였던 Log4j에서 발생한 취약점이었다. Log4j 사태 이후 오픈소스에 대한 보안을 강조하고 있지만 여전히 취약점이 관리되지 않고 있는 경우가 많아 공격에 악용될 소지가 상존하고 있다.

오픈소스 취약점 문제는 공급망 보안과도 직결돼 있다. 공급망 소프트웨어 대부분이 오픈소스로 개발되고 있기 때문이다. 소나타입의 보고서에 따르면 지난 1년 동안 공급망 공격수는 총 8만8000건 이상으로, 전년 대비 633%나 증가했다.
 

송혜리 기자(chewoo@newsis.com)