총 1만4515건…작년대비 2배 ↑
구글 1000건 중 안드로이드 800건
기업 관리자 경고 무시 사례 많아
해커 공격 우려 증가…주의 필요
구글 1000건 중 안드로이드 800건
기업 관리자 경고 무시 사례 많아
해커 공격 우려 증가…주의 필요
2018년은 소프트웨어(SW) 취약점을 노린 표적공격이 증가할 것으로 예상됨에 따라 관련 기관과 기업의 주의가 요구된다.
27일 보안 취약점 통계·분석 사이트 'CVE디테일'에 따르면 2017년 한해 동안 발견된 '공개된보안취약점(CVE)'은 14515건으로 1999년 첫 조사 이후 사상 처음으로 1만건을 돌파했다. 이는 작년 6447건 대비 두 배 이상 증가한 수치로 해커들의 먹잇감과 공격 루트가 그만큼 다양해진 것으로 볼 수 있다.
기업별로 살펴보면 구글(1000건), 오라클(871건), 마이크로소프트(MS, 683건), IBM(652건), 애플(557건), 시스코(490건) 순이다. 주로 서비스와 제품군이 다양하고 사용자층이 두터운 기업일수록 많은 보안 취약점이 발견될 수밖에 없다는 것이 보안업계의 분석이다.
제품·서비스별로는 안드로이드(841건), 리눅스 커널(434건), IOS(365건), 이미지매직(346건), 맥OSX(278건), 윈도10(265건), 윈도서버 2016(249건), 2008(241건), 2012(233건), 윈도7(227건) 순이다.
CVE가 많이 발견되는 것이 부정적이지만은 않다는 보안 전문가들의 해석도 나온다.
김도원 한국인터넷진흥원(KISA) 취약점분석팀장은 "기업과 제품의 보안성이 낮아졌다기보다는 IoT 등 신규 서비스가 늘면서 SW 활용 영역이 확장되고, 버그바운티 같은 제도를 통해 취약점을 미리 찾아내는 활동이 늘어난 것이 영향을 미친 것으로 보인다"고 말했다.
문제는 기업들의 대처 방식이다. 지난 10월 악성코드 탐지전문업체 옵스왓은 글로벌 사이버 보안을 위협하는 6가지 요소 중 하나로 공개된 CVE 증가를 꼽았다.
해커들은 취약점이 알려진 후 평균 15일 안에 관련 악성코드를 제작하지만, 많은 관리자가 취약점 경고를 무시하고 있다는 게 옵스왓 측의 지적이다.
네트워크 보안 기업 포티넷이 지난 4월 발표한 '글로벌 위협 전망 보고서'에 따르면 세계 기업 10곳 중 8곳이 10년 이상 된 취약점을 악용한 공격을 받고 있는 것으로 나타났다. 이미 알려진 오래된 취약점에 대한 공격이 많았다는 것은 기업들이 보안 조치에 소홀했다는 것을 의미한다.
실제 지난 5월 전 세계를 랜섬웨어 공포로 몰아넣은 북한발 '워너크라이 사태'에서 활용된 윈도OS 보안 취약점 또한 사전에 알려져 MS가 패치 파일까지 긴급 배포했지만 무용지물이었다.
보안업계 한 관계자는 "SW 기업들은 취약점을 발견하면 이를 고객들에게 숨기려 하지 말고 관련된 주요 문제점을 철저히 설명하고 공지하려는 자세를 가져야 할 것"이라고 말했다.
이경탁기자 kt87@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
