미국 오픈소스 재단 아파치(Apache) 소프트웨어 재단이 개발한 자바 기반 로깅 유틸리티인 로그4j(Log4j)의 취약점을 악용한 사이버 공격이 세계 여러 지역에 심각한 사이버 보안 피해를 일으켰다.
해커 세력은 지난해 말 발견된 로그4j의 취약점을 악용해 대다수 컴퓨터 기기에 접근한다. 사용자 행동을 기록한다. 피해 기관의 데이터를 설치하거나 악성 소프트웨어를 설치했다. 바이든 행정부는 로그4j의 사이버 보안 실패를 광범위한 영역에서 면밀하게 조사할 국토안보부 산하 사이버 안전 검토 위원회를 구성했다. 기업 정보 수집을 위해 널리 사용되는 툴이라는 점에서 피해 범위가 매우 심각하기 때문이다.
아파치 소프트웨어 재단은 로그4j의 취약점을 악용한 사이버 공격 피해 사례가 급격히 증가하자 패치 작업을 완료했다. 그러나 최근, 미국 정부 관계자는 로그4j의 취약점과 이를 악용한 사이버 공격이 여전히 매우 심각한 사이버 보안 피해를 일으킬 수 있다고 경고했다.
이에, 미국 유력 경제 전문 매체 월스트리트저널의 조이 토마스(Zoe Thomas) 기자와 더스틴 볼츠(Dustin Volz) 기자가 매체 공식 뉴스 브리핑 팟캐스트를 통해 로그4j의 문제를 이야기했다.
먼저, 사이버 보안 분야에서는 ‘고질적 취약점(endemic vulnerability)’이라는 용어가 등장했다. 로그4j가 널리 사용돼, 로그4j와 로그4j의 취약점을 악용한 공격 피해 범위가 매우 넓기 때문이다. 로그4j와 관련된 취약점 때문에 기업 네트워크와 개인 사용자가 일상에서 사용하는 기기에 발생하는 위험성이 끊임없이 발생할 수도 있다는 의미이다.
이 부분에서 볼츠 기자는 해커 세력이 악의적인 공격 작전을 개시할 의도로 로그4j 취약점을 악용한 해킹 공격을 시도하며, 사이버 보안 피해가 10년 이상 이어질 수도 있다고 전했다.
볼츠 기자는 로그4j 취약점의 여파가 만연해지는 이유로 앞서 설명한 바와 같이 로그4j가 세계 여러 조직에 널리 배포되었기 때문이라고 언급했다. 또, 사용자가 소프트웨어 패치 작업에 소홀한 점 이외에도 일부 취약점은 해커가 악용하기 매우 쉬워 추후 더 심각한 피해를 유발할 공격에 악용하기 좋다는 점도 로그4j가 고질적 취약점이 될 수 있는 요인으로 진단했다.
로그4j는 매우 심각한 사이버 보안 위협을 유발하는 취약점이며, 정부 관료도 사상 최악의 사이버 보안 취약점이 될 수 있다는 우려를 제기했다. 그러나 볼츠 기자는 지금까지 정부 관계자가 로그4j 취약점이 주요 기반 시설 장애를 유발할 정도의 피해를 낳은 매우 심각한 사이버 보안 피해 사례는 발견되지 않았다고 말했다.
한편, 국토안보부 산하 사이버 안전 검토 위원회는 로그4j 취약점 관련 피해를 국가 안보 문제로 보면서 철저한 조사를 이어왔다. 지금까지 기업이 보고한 로그4j 취약점 관련 피해 사례를 집중 조사하였으며, 그동안 언론에 널리 보도된 피해 사례를 바로 잡는 역할을 하기도 했다.
위원회는 로그4j 취약점 악용 공격 피해 완화와 신속한 대응을 위한 기업과 정부 기관 간의 협력과 정보 공유가 무엇보다도 중요하다고 강조했다. 또, 피해 기관이 대응 방안을 문의할 때는 직접 피해 복구 도움을 주기도 한다.
[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]
