대만 정부 기관, 1년간 726건 해킹 피해… 당국이 꼽은 5대 사이버 보안 위협

기관의 필수 조치: ACS는 모든 정보통신(ICT) 시스템에 대해 엄격한 변경 관리 및 다운로드 통제 체계를 구축해야 한다고 강조한다. 이는 애플리케이션, 드라이버, 하드웨어 부품 등 모든 소프트웨어 설치가 공식 승인과 감사를 거쳐야만 기관 기기에 적용될 수 있도록 하는 것을 의미한다 .

2. 보안 솔루션을 무력화하는 '자체 서명 드라이버(BYOVD)' 랜섬웨어

위험 요인: 공격자들은 '자체 서명 드라이버(Bring Your Own Driver, BYOVD)'라는 기법을 악용해 합법적이지만 취약한 서명 드라이버를 침투시켜 엔드포인트 탐지 도구를 우회했다. 이들은 커널 수준의 접근 권한을 얻은 뒤, 보안 제품 자체를 무력화하고, 아무런 경고도 울리지 않은 채 랜섬웨어를 유포했다 .

기관의 필수 조치: ACS는 다계층 방어(Multi-layered defense)를 요구한다. 정기적인 웹사이트 취약점 스캔과 발견 즉시 패치 적용은 기본이다. 웹 애플리케이션 방화벽(WAF)을 도입해 악성 트래픽이 실제 애플리케이션에 도달하기 전에 걸러내야 한다. 결정적으로, 엔드포인트 보호는 지속적인 작전 행위로 간주되어야 하며, 보안 제품을 항상 최신 상태로 유지하고 새로운 공격 전술에 맞춰 위협 탐지 규칙을 지속적으로 진화시켜야 한다 .

3. 공급망 붕괴: 협력업체가 몰래 깔아둔 원격 소프트웨어

위험 요인: 시스템 유지보수 업체들이 정부 웹 서버에 합법적인 접근 권한을 가진 채, 기관이 승인하지 않은 원격 데스크톱 소프트웨어를 임의로 설치했다. 공격자들은 이 도구들의 취약한 비밀번호를 무차별 대입 공격으로 뚫고 로그인하여 민감한 시스템 내부에서 수평 이동하며 침투 범위를 넓혔다 .

기관의 필수 조치: 이 문제의 해결 방안은 기술적이기보다는 조직적이다. ACS는 접근 권한 제어, 데이터 보호 규칙, 취약점 관리 절차, 사고 발생 시 의무 보고를 명시한 엄격한 외주 업체 보안 관리 표준을 마련할 것을 요구한다. 서류상으로만이 아니라 실제로 규칙이 지켜지는지 정기적인 보안 감사 및 규정 준수 여부를 점검해야 한다 .

4. 방치된 네트워크 경계 장비의 취약점

위험 요인: 라우터, 방화벽, VPN 장비 등 네트워크 경계에서 1차 관문 역할을 하는 장비들의 펌웨어가 업데이트되지 않거나 위험한 구성 오류가 방치되어, 공격자에게 네트워크 외곽의 쉬운 침입 경로를 제공했다 .

기관의 필수 조치: ACS는 강력하지만 단순한 전략적 전환을 권고한다. 바로 모든 아웃바운드 연결에 허용 목록(Allowlist) 기반 접근법을 도입하여 불필요한 통신 포트를 기본값으로 차단하는 것이다. 또한 모든 경계 장비의 모델 번호와 펌웨어 버전을 전수 조사하고, 단순히 패치를 적용하는 데 그치지 않고 실제로 적용되었는지 재확인하는 지속적인 업데이트 및 검증 프로세스도 갖춰야 한다 .

5. 클라우드를 악용한 지능형 소셜 엔지니어링 공격

위험 요인: 공격자들은 피싱, 사칭 등 전통적인 소셜 엔지니어링 수법에 손상됐거나 잘못 설정된 클라우드 서비스를 혼합하여 민감 데이터를 빼내고 있다. 직원이 악성 링크나 첨부파일을 클릭하는 순간, 정상적으로 보이는 클라우드 저장소를 통해 데이터가 외부로 유출되었다 .

기관의 필수 조치: ACS는 두 갈래의 방어 체계를 구체적으로 명시한다. 첫째, 이메일 필터링과 샌드박스(Sandbox) 탐지 기능을 도입해 수상한 첨부파일과 링크가 사용자에게 도달하기 전에 차단해야 한다. 둘째, 클라우드 환경을 폐쇄적으로 통제해야 한다. 공유 드라이브 권한을 제한하고, 파일 업로드 검사 기능을 활성화하며, 클라우드 링크에 대한 보안 검사를 수시로 실시해 악성 파일의 확산을 막아야 한다 .

진화하는 위협 속, '내부 통제'로의 패러다임 전환

2025년 통계는 더 큰 그림을 보여준다. 전체 사고 건수는 2024년보다 29건 감소했지만, 압도적 다수의 침해 사고(3분의 2 이상)가 도난된 자격 증명부터 백도어 심기에 이르기까지 '무단 접근'에서 비롯되었다는 점이다 . 심각도 측면에서는 전체의 87.33%가 가장 낮은 1단계였고, 9.78%는 2단계, 2.89%는 3단계로 평가되었으며, 최고 위험 등급인 4단계 사고는 단 한 건도 기록되지 않았다 .

ACS가 선정한 이번 5대 위험군은 과거의 공식 지침에서 분명한 변화를 의미한다. 2025년 초만 해도 취약한 암호화 방식, 미흡한 인젝션 공격 차단, 고장난 접근 통제 등이 주요 위협으로 지목됐었다 . 그러나 이번 새 리스트는 기존의 경계 방어 체계만으로는 잡아내기 어려운 '사람'과 '공급망'이라는 연결 고리를 정조준하고 있다.

각 기관에 전달된 메시지는 단호하다. ACS는 모든 위험 요소를 '감사 가능한' 구체적 조치와 연결 지었다. 즉, 모든 다운로드를 승인하고, 모든 경계 장비에 패치를 적용하고, 모든 협력업체를 감사하고, 모든 이메일을 잠재적인 적성 행위로 간주하는 것이다. 보고된 사고의 68.6%가 내부 침투로 확인된 이 위협 환경에서, 방어의 핵심은 더 이상 외부 경계를 차단하는 데 그치지 않고, 바로 그 내부에서 무엇이 일어나고 있는지 통제하는 데 달려 있다 .