[보안뉴스][단독] 국회, ‘정부 해킹’ 끝내 침묵하나...국정원 3차장 국감 증인 신청 철회

내용 요약

국가정보원 3차장이 증인 신청 후 철회하면서 정부 해킹이 국감에서 사라졌고, 행정·외교·방첩 등 주요 부처의 보안 사건은 숨겨지는 반면, 통신·금융업계의 해킹이 지속적으로 집중되는 현실을 다룹니다.
이 사안은 정부 인프라 취약성과 기업·통신사 보안 리스크가 서로 다른 수준에서 심각하게 존재함을 시사합니다.

핵심 포인트

• 정부 해킹이 국감에서 가려지는 위험 – 정부 부처의 사이버 공격은 사내 감사보다 외부 감사에서 충분히 조사되지 않아 방어가 소홀해질 수 있음.
• 기업·통신사 해킹이 중심이 되는 취약점 – 특히 통신 3사와 금융기관이 자주 공격받으며, 이에 대한 대응이 비대칭적으로 집중되고 있음.
• 보안 인프라 강화와 감시 체계의 필요성 – 국가·기업 차원에서 Zero‑day, APT, Supply‑Chain 등 현대적 위협에 대한 체계적 대응 방안이 요구됨.

---

기술 세부 내용

1️⃣ State‑Sponsored & Government Infrastructure Hacking

주요 공격자: APT1 (Shadow Brokers), APT41, Lazarus Group
공격 경로: Zero‑day CVE, RDP/SSH brute‑force, IoT 기기, 클라우드 오버‑프리비지언스

1. Reconnaissance

• OSINT & Threat Intelligence: 공개된 정부 문서, 위성 이미지, 공개 포럼에서 대상 파악.
• Scanning: Nmap, Masscan으로 포트 스캔, NSE 스크립트 활용.
• Social Engineering: 전자우편, 전화(“프리즘” 스타일), 스팸 메시지로 직원 스캔.

2. Initial Access

• Phishing & Spear‑phishing: CVE‑2020‑0601 (Curveball) 이슈를 앞세워 서명 검증을 우회.
• RDP/SSH Brute‑force: 대량 비밀번호 시도 후 비활성 계정 탈취.
• Zero‑day Exploits: BlueKeep(CVE‑2019‑0708) 등 RDP 서비스 취약점 활용.

3. Privilege Escalation & Lateral Movement

• DLL Hijacking: Windows 서비스 디렉터리 조작.
• SAM Database Theft: SAM 파일 복사 → Mimikatz 실행.
• Lateral Movement: PowerShell Remoting, Windows Admin Center, SMB를 통한 파일 공유 이동.

4. Persistence & Data Exfiltration

• Scheduled Task & Registry Run Keys: 서비스 재시작 시 자동 재설정.
• Credential Dumping: LSASS 메모리 덤프 후 Hashcat으로 해시 풀.
• Data Exfil: TLS/SSL 터널링(HTTPS), SFTP, Cloud Storage(자체 스토리지) 활용.

5. Advanced Mitigations

• Zero Trust Network Access (ZTNA): 최소 권한 기반 접근, MFA 강화.
• Endpoint Detection & Response (EDR): 실시간 모니터링 및 자동 격리.
• Patch Management Automation: CVE 데이터베이스 연동 패치 파이프라인.
• Behavioral Analytics: 이상 행위 탐지(Anomaly Detection)으로 APT 초기 단계 조기 포착.

---

2️⃣ Corporate, Telecom, & Financial Sector Hacking

주요 공격자: DarkHotel, FIN7, 3rd‑party vendors (SolarWinds, Okta)
공격 도구: Ransomware (REvil, Conti), API Injection, SS7 Exploits, Payment Card Tokenization Bypass

1. Attack Lifecycle

단계	핵심 행위	예시 도구 / 기법
Recon	자산 파악	Shodan, LinkedIn, WHOIS
Delivery	악성 파일/링크 전달	Phishing 이메일, Drive‑by 다운로드
Execution	악성코드 실행	PowerShell 스크립트, VBA 매크로
Privilege Escalation	권한 상승	DLL Hijack, SAM Dump
Lateral Movement	내부 네트워크 확장	SMB, RDP, LDAP
Persistence	장기 체류	Scheduled Task, Services
Data Exfiltration	데이터 유출	TLS 터널, Cloud Storage
Impact	금전적 손해	Ransomware, Payment Card Skimming

2. Telecom Infrastructure Vulnerabilities

• SS7 (Signaling System No.7) Exploits
  • 위치 추적, SMS 가로채기, VoIP 세션 가로채기.
  • Mitigation: SS7 게이트웨이 감시, MFA, TLS 암호화.
• BGP Hijacking
  • 트래픽 재분배, MITM 공격.
  • Mitigation: RPKI (Resource Public Key Infrastructure) 적용, BGP 라우터 재설정.
• 5G RAN Vulnerabilities
  • Open RAN 모듈 취약점, 인증 회피.
  • Mitigation: Secure Element 사용, 정기 패치.

3. Financial & Payment Card Sector

• PCI‑DSS 위반
  • Card‑holder 데이터 저장/전송 시 암호화 미비.
  • Mitigation: 데이터 토큰화, PCI‑DSS 4.0 인증.
• API Injection
  • RESTful/GraphQL 엔드포인트에서 인젝션 공격.
  • Mitigation: 입력 검증, WAF (Web Application Firewall).
• Skimming & CVV Theft
  • 물리적 장치 및 온라인 스키밍.
  • Mitigation: 3D Secure, 토큰화, 보안 카드 결제 시스템.

4. Supply‑Chain & Third‑Party Risks

• SolarWinds/Okta
  • 코드 서명 서명 취약점으로 무단 업데이트 삽입.
• Mitigation
  • Code Integrity, SCA (Software Composition Analysis), Digital Signature 검증.

5. Ransomware & Cryptojacking

• Ransomware Variants: REvil, Conti, DarkSide
• Entry Points: Phishing, RDP, SMB, Zero‑day.
• Defenses: Backup Strategy (Immutable backups), Network Segmentation, EDR, Incident Response Playbook.

6. Insider Threat & Social Engineering

• Techniques: Pretexting, Tailgating, Credential Sharing.
• Defenses: Least‑Privilege, MFA, Security Awareness Training, Insider Threat Program.

7. Regulatory & Governance

• Korea NIS Act (정보통신망이용촉진 및 정보보호 등에 관한 법률)
  • 신고/대응 의무, 보안 인증.
• Cybersecurity Act
  • 비즈니스 연속성, 공공기관 보안 인증.
• 글로벌 규정: GDPR, CCPA, PCI‑DSS, ISO/IEC 27001.

---

실행 체크리스트 for IT 보안 팀

항목	설명	우선순위
Zero‑trust 정책	모든 트래픽은 인증+인가 필요	★★★★★
Patch & Vulnerability Management	CVE 데이터베이스 연동	★★★★
EDR + UEBA	실시간 탐지 + 이상행위 분석	★★★★★
MFA Deployment	다중 요소 인증	★★★★
Secure API Design	입력 검증 + WAF	★★★
Backup & Disaster Recovery	Immutable backups	★★★★
Third‑Party Risk Assessment	공급망 보안	★★★
Security Awareness Training	3‑month 사이클	★★★★
Incident Response Playbook	APT 대응 시나리오	★★★★
Governance & Compliance	NIS Act, ISO27001	★★★★

---

마무리

국가정보원 장관의 철회와 같이 정부 부처의 사이버 취약성은 외부 감시에서 제외되는 경우가 많다. 이는 장기적으로 보안 인프라의 신뢰성을 저해하며, 기업·통신사가 자주 보안 공격을 받는 현상은 보안 리소스가 불균형적으로 집중되고 있음을 보여준다.
이러한 상황에서 Zero‑trust, EDR, 정책 기반 접근과 같은 최신 보안 기술을 도입하고, 공급망과 내부 위협에 대한 체계적 관리가 필수적이다. 보안 전문가들은 정부·기업·통신사 각각의 위험 프로파일을 정확히 파악하고, 조기 탐지·정책 실행을 통해 조직 전반의 사이버 저항력을 강화해야 한다.

 

출처: http://www.boannews.com/media/view.asp?idx=139801&kind=&sub_kind=