관련 통계자료 다운로드 글로벌 보안 취약점 수
지난해 발견된 보안 취약점이 2만개에 달했다. 보안 패치가 없는 상태로 알려진 취약점은 전체 14%나 됐다. 해커가 많이 이용한 취약점 10개 중 7개가 마이크로소프트 제품에서 나왔다.
플렉세라가 내놓은 '취약점 리뷰 2018' 보고서에 따르면 지난해 259개 기업 1856개 제품에서 발견된 보안 취약점이 1만9954개였다. 2016년 1만7445개보다 14% 증가했다. 지난해 발견된 보안 취약점은 2012년과 비교하면 두 배 늘었다.
심각한 취약점은 16.6%였고 0.3%는 극도로 치명적이었다. 지난해 발견된 보안 취약점 중 절반 이상(55.3%)이 원격 접속 기능이 가능했다. 해커가 해당 보안 취약점을 이용해 원격에서 시스템을 장악하는 내용이다.
지난해 발견된 취약점 중 86%는 공개 당일에 업데이트할 수 있는 보안 패치가 나온 상태였다. 2016년에는 81%만이 보안 패치가 나왔는데 지난해에는 5% 향상됐다. 여전히 14%는 패치가 없는 상태로 취약점이 공개됐다.
플렉세라는 보안전문가와 기업 간 협업이 되면서 취약점 공개와 패치 비중이 지속 상승했다고 밝혔다. 2012년 당시에는 71%만에 패치가 나온 상태에서 취약점이 공개됐다. 보안 패치가 나오지 않는 것은 해당 기업에 이에 대한 의식이 낮은 탓이다. 지난해 제로데이 취약점은 14개로 2016년 23개보다 줄었다.
다른 보안 기업 리코디드퓨처는 '소프트 타깃:사이버 범죄자가 사용한 10대 취약점' 보고서를 내놨다. 지난해 가장 많은 공격에 이용된 취약점 10개 중 7개가 마이크로소프트 제품에서 나왔다. 2015년과 2016년 어도비 플래시 플레이어 취약점이 가장 많이 쓰였는데 지난해 마이크로소프트 제품이 다시 1위를 차지했다.
2015년에는 10개중 8개가, 2016년에는 6개가 어도비 플래시 제품 취약점이었다. 어도비가 더 이상 플래시를 개발하지 않는다고 발표하며 해커 관심이 다시 MS 제품으로 옮겨간 것으로 보인다.
해커가 가장 좋아한 취약점은 MS 오피스 제품에서 발견된 CVE-2017-0019이다. 해당 취약점은 지난해 4월 공개됐다. MS 오피스 취약점으로 원격에서 임의 코드를 실행하는 내용이다. 해당 취약점을 이용하는 공격도구(익스플로잇)로 확산된 악성코드는 케르베르와 드리덱스, 핀피셔 등이다. 다크웹에서 해당 취약점 익스플로잇은 400~800달러 선에 거래됐다.
데이브 호그 미 국가안보국(NSA) 기술책임자는 RSA콘퍼런스에서 “국가지원 해킹 그룹은 보안 취약점이 공개되면 하루 안에 공격도구를 개발한다”면서 “제로데이 공격보다 알려진 취약점을 신속히 이용하는 공격이 많다”고 설명했다.
플렉세라는 “기업이 사용 중인 소프트웨어 자산을 파악하고 취약점 영향을 평가해야 한다”면서 “패치가 나오면 신속히 적용하는데 집중해야 사이버 피해를 줄일 수 있다”고 권고했다.
김인순 보안 전문기자 insoon@etnews.com