소닉월 SMA 제로데이 악용…기업 네트워크 침투 후 랜섬웨어 배포

핵심 요약

Inc 랜섬웨어 조직이 소닉월 SMA 1000 시리즈 원격접속 장비의 제로데이 취약점(CVE-2026-15409, CVE-2026-15410)을 연계 악용하여 기업 내부망에 침투하고 랜섬웨어를 배포한 사건입니다. 공격자들은 패치 공개 이전에 해당 취약점을 악용하여 Initial Access(T1190)를 확보했으며, 이는 외부 노출 시스템의 보안 취약점을 통한 침투 전술에 해당합니다. 이 사건은 원격접속 시스템의 제로데이 취약점 관리 및 신속한 패치 적용의 중요성을 강조하며, 외부 노출 시스템에 대한 지속적인 취약점 점검 및 위협 모니터링 체계 구축이 IT 감사인의 주요 점검 대상임을 시사합니다.

💡 개선 권고안

• ✔기술적 조치SonicWall SMA 1000 시리즈를 포함한 모든 원격접속 장비에 대해 SonicWall에서 제공하는 최신 보안 패치(CVE-2026-15409, CVE-2026-15410 관련)를 즉시 적용하고, 해당 장비의 보안 설정을 강화할 것을 권고함.
• ✔기술적 조치외부 노출 시스템에 대한 정기적인 취약점 스캔 및 모의 해킹을 수행하고, 발견된 취약점에 대해서는 CIS Controls v8에서 권고하는 CVSS 기반의 패치 SLA를 수립하여 준수율을 철저히 관리할 것을 권고함.
• ✔기술적 조치EDR, SIEM, IPS 등 보안 솔루션의 탐지 규칙을 최신 위협 정보(제로데이, 랜섬웨어 공격 기법 등)와 연계하여 지속적으로 업데이트하고, 이상 행위 탐지 및 즉각적인 차단/격리 기능을 고도화할 것을 권고함.
• ✔관리적 조치원격접속 시스템에 대한 접근 통제 정책을 재검토하고, 다단계 인증(MFA) 적용을 의무화하며, 불필요한 계정 및 권한을 최소화하는 등 강력한 접근 통제 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치제로데이 공격 및 랜섬웨어 감염 등 고도화된 침해사고에 대비하여 침해사고 대응 계획(IRP)을 주기적으로 검토하고, 실제 상황을 가정한 모의 훈련을 통해 대응 체계의 유효성을 점검하고 개선할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문