9월이 끝나가는 시점, 가장 많은 취약점을 세상에 배출해 낸 기업은 구글, MS, 오라클인 것으로 집계됐다. 이들이 대처를 못했다기보다 워낙 이 세 회사를 노리는 공격자들이 많은 탓이다. 사용자들의 ‘보안 참여’가 요구된다.
[보안뉴스 문가용 기자] VPN 전문 업체인 아틀라스VPN(AtlasVPN)이 모바일 보안 생태계에 관한 보고서를 발표했다. 현재 모바일 생태계에서 발견되는 각종 취약점들을 조사한 것으로 2021년 전반기 동안 가장 많은 취약점을 배출(?)한 업체는 구글, 마이크로소프트, 오라클이라고 결론을 내리고 있다.
보고서에 의하면 인터넷 역사상 가장 큰 보안 침해 사고들이 2021년 전반기에 발생했다고 한다. 이는 대형 랜섬웨어 사고가 전반기에 몰아서 일어나다시피 했기 때문이다. 대형 랜섬웨어 사건이란, 콜로니얼 파이프라인(Colonial Pipeline), 카세야(Kaseya), JBS 푸드(JBS Foods) 사건을 뜻한다.
한편 iOS 생태계에서도 세상을 뒤흔드는 사건이 발생했다. 이스라엘의 스파이웨어 제조사인 NSO그룹(NSO Group)의 고객들인 정부 기관들이 페가수스(Pegasus)라는 스파이웨어를 활동가, 기자, 정치인들의 장비에 심은 것이 드러난 것이다. 이 때문에 ‘보안’을 셀링포인트로 삼던 애플의 이미지가 크게 실추됐다.
하지만 이번 아틀라스VPN 보고서에 따르면 가장 위험을 많이 초래하는 기업은 마이크로소프트, 구글, 오라클이라고 한다. 그 중 1위는 구글로 2021년 현재까지 가장 많은 취약점이 보고된 기업에 이름을 올렸다. 각종 구글 제품과 서비스에서 발견된 취약점은 2021년 현 시점 총 547개이며, 이 취약점의 영향을 받는 사용자들은 30억 명이 넘는 것으로 집계되고 있다.
2위는 마이크로소프트로, 현재까지 MS의 제품과 서비스에서 발견된 취약점은 총 432개인 것으로 집계됐다. MS는 올해 이른 바 익스체인지 서버(Exchange Server) 사태 때문에 여러 사건에 연루됐다. 432개 취약점 중 다수가 이 익스체인지 서버라는 플랫폼과 관련이 있다고 아틀라스VPN은 밝혔다.
오라클의 서비스와 제품에서 발견된 취약점은 총 316개다. 이로써 오라클이 3위에 올랐다. 오라클의 제품들 중에서도 웹로직 서버(WebLogic Server)가 가장 취약한 것으로 밝혀졌다. 웹로직 서버는 자바 기반 애플리케이션들을 개발, 구축, 실행하는 데 특화된 플랫폼이다. 공격자들이 여기서 발견된 취약점을 익스플로잇 하는 데 성공할 경우 원격에서 애플리케이션들에 접근할 수 있게 된다.
그 다음으로는 네트워크 장비 제조사인 시스코(Cisco)와 소프트웨어 제조사인 SAP가 4~5위에 올랐다. 각각 200개와 118개의 익스플로잇이 발견됐다. 보다 상세한 내용은 여기(https://atlasvpn.com/blog/google-and-microsoft-accumulated-the-most-vulnerabilities-in-h1-2021)서 열람이 가능하다.
아틀라스VPN은 “구글과 마이크로소프트 제품들의 취약점들은 공격자들이 적극적으로 연구하고 익스플로잇 한다”며 “한 번의 연구 성과와 공격 성공으로 수많은 사용자들을 노릴 수 있기 때문”이라고 설명한다. “이런 IT 대기업들은 아무리 잘 해도 취약점을 0으로 낮출 수 없습니다. 노리는 사람이 너무 많고, 그 방법도 다양하기 때문입니다.”
따라서 위와 같은 기업들이 제공하는 서비스를 사용하는 사람들이라면 해당 플랫폼에서 발생하는 각종 보안 소식에 관심을 가질 필요가 있다. 사건이 발생함에 따라 나오는 보안 권고 사항 및 위험 완화 대책, 더 나아가 패치를 제때 적용하는 것이 중요하다.
3줄 요약
1. 올해 가장 많은 취약점 낸 회사는 구글, MS, 오라클, 시스코, SAP,
2. 이런 회사들의 플랫폼은 공격 효율성이 매우 높아 취약점 연구가 공격적으로 이뤄지고 있음.
3. 따라서 서비스 및 플랫폼 사용자들도 보안 소식에 관심을 가져야 함.
[국제부 문가용 기자(globoan@boannews.com)]
확실히 IT 업계의 대기업들이 공격을 많이 당하기도 하고 취약점을 발견하는 것으로 보인다. 구글, 오라클, MS 같은 회사들이 해킹당한다면 피해를 입는 크기가 상상을 초월할 것이라고 예상한다. 이에 따라서 사람들은 대기업의 서비스를 이용을 한다면 보안 권고 사항이나 업데이트를 미루지 말고 제 때 해야 한다고 생각한다.