지난 25일, 넥슨은 자사가 서비스하는 '메이플스토리' 이용자 1,320만 명의 개인정보가 해킹으로 인해 유출됐다고 밝혔다.

회사측이 로그 분석을 통해 확인한 이번 사고의 경유는 해커가 회사 고위층 PC에 악성코드를 감염시킨 뒤 백업서버에 침입해 개인정보를 빼돌리는 방식으로 밝혀졌다. 이는 올해 보안 업계에서 중점적으로 논했던 신종 공격 형태 '지능형 지속위협(Advanced Persistent Threat, 이하 APT)'의 주요 수법이다.

APT는 특정 대상에게만 가해지는 지속적이고 발전된 형태의 해킹 공격 방식을 뜻한다. 이 형태의 공격에 쓰이는 해킹 툴들은 여러 개의 모듈로 나뉘어 보안 솔루션을 피하고, 해킹 작업을 은닉하는 '루트킷' 바이러스를 대동하기도 한다. 접근 수단도 일상 속에서 흔히 발생하는 '클릭'을 통한 것이라 피해자가 알아채는 것은 거의 불가능하다.

지난달 안철수연구소에서 개최한 ISF2011 행사에서는 APT 형태의 공격이 어떻게 이뤄지는지 시연을 통해 보여주며 청중들의 경각심을 불러 일으키기도 했다. 해당 시연 내용으로 APT 공격의 진행 과정을 알아보면 다음과 같다.

A사와 경쟁 중인 B사는 A사의 핵심 정보를 획책하기 위해 해커에게 의뢰를 한다. 의뢰를 받은 해커는 먼저 A사의 고위 인사 리스트를 확인하고, 그 중 적합한 인물인 C를 고른 뒤 그의 인터넷 사용 패턴을 조사한다. C는 자동차 마니아로 어떤 자동차 동호회 사이트에 가입돼 있었다.

해커는 소셜네트워크서비스 쪽지를 통해 C에게 '자동차 관련 혜택 이벤트에 당첨되었다'는 멘트와 함께 악성코드가 포함된 가짜 소개서 다운로드 링크를 전달한다. C는 아무 생각 없이 그 소개서 파일을 받아 악성코드에 감염되고, 쪽지는 흔적도 남지 않고 사라져 증거가 없어진다.

이제 해커는 A기업 고위 간부인 C의 PC에 조금씩 해킹 경로를 확보해나가기 시작한다. 필요한 정보가 든 파일의 위치를 알아낸 뒤 같은 PC 내에서 파일을 복사하듯 빼내고, C의 PC는 증거가 남지 않도록 시스템을 초토화시켜버린다.

이후 A사는 주요 전략 정보가 유출돼 큰 타격을 입고, B사는 반사이익으로 큰 성과를 거둔다. A사가 정보 유출 경로를 깨달은 건 긴 시간이 지나서였다.

↑ 내부 인사에게 소셜네트워크를 통해 해킹툴을 침입시키는 과정을 시연해보여주고 있다.

위 시연 속 사례처럼 APT는 지난 구글 해킹 사건 ‘오퍼레이션 오로라’, 이란 원전을 마비시킨 ‘스턱스넷, RSA사의 OTP 기술 유출, 그리고 농협 해킹처럼 장기간 준비 끝에 내부 인사를 통해 침입해 안에서부터 정보를 끌어내는 수법이 사용됐다.

즉, 넥슨의 메이플스토리 역시 이들과 같은 방식으로 해킹을 당한 것. 게이머들과 근접한 영역에서 발생한 이번 사건은 신종 공격 형태인 APT가 내부 사람으로 인한 인재(人災)이기도 하다는 점을 상기시키고, 업계인들에게는 보안에 대한 위기 의식을 가져야한다는 교훈을 남겼다.

한 보안 업계 관계자는 "APT공격은 비단 온라인게임사나 다른 특정 기업을 노리는 것이 아니고, 악성해커가 목적하는 정보의 종류에 따라 그 타겟이 달라진다"며 "개인정보를 많이 보유하고 있는 기업은 특히 조심할 필요가 있으며, 이 같은 APT 공격에 대응하려면 최신보안 솔루션 투자, 주기적 내부 보안교육 철저 및 이행, 전사적 최신 백신 업데이트 유지 등 보안과 관련된 여러 방면에서 전방위 대응이 필요하다"고 조언했다.

[이현 기자 talysa@chosun.com] [gamechosun.co.kr]

◆ [앱순위]국산 게임, 유료에선 ″울적″ 무료에선 ″방긋″
◆ [일정] 오픈베타 나서는 카오스, 기대작 CBT도
◆ 배기성 曰 ＂리니지2 배틀토너먼트는 별들의 전쟁＂
◆ 앵그리버드, 로비오의 몸값은? 2조 매각 제안 거절

※ 도전하세요. Web APP Programming 개발자 과정 교육생 모집

ⓒ기사의 저작권은 게임조선에 있습니다. 허락없이 무단으로 기사 내용 전제 및 다운로드 링크배포를 금지합니다.