공격도구 된 ‘오픈소스 보안 도구’···오픈소스 보안 시급

핵심 요약

신한은행에서 대출모집인 서비스의 본인확인 절차 우회를 통해 약 2만 5천 명의 개인정보가 유출되는 사고가 발생했으며, 이 과정에서 오픈소스 침투 테스트 시스템인 'ARTEX AI'가 공격 도구로 악용되었을 가능성이 제기되었습니다. 공격자는 공개된 오픈소스 보안 도구를 활용하여 시스템의 취약점을 탐색하고, 크리덴셜 스터핑(Credential Access, TA0006)과 같은 수법으로 비인가 접근을 시도하여 개인정보를 탈취한 것으로 보입니다. 이는 공격자들이 합법적인 도구를 악용하여 탐지를 회피하고 공격 효율을 높이는 최신 공격 트렌드를 반영합니다. IT 감사인은 오픈소스 소프트웨어 및 외부 서비스 사용에 대한 보안 취약점 관리 실태, 특히 공개된 보안 도구의 악용 가능성에 대한 통제 여부를 중점적으로 점검하고, 본인확인 절차의 우회 가능성을 포함한 접근 통제 취약점을 감사해야 함을 권고합니다.

개선 권고안

• ✔기술적 조치모든 오픈소스 소프트웨어 및 라이브러리에 대한 정기적인 보안 취약점 점검을 수행하고, 최신 보안 패치를 신속하게 적용해야 함을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF) 및 봇 관리 솔루션의 정책을 강화하여 크리덴셜 스터핑 및 본인확인 우회 공격에 대한 탐지 및 차단 기능을 고도화해야 함을 권고함.
• ✔기술적 조치중요 서비스의 본인확인 및 인증 절차에 다중 인증(MFA)을 의무화하고, 비정상적인 접근 시도를 탐지하고 차단하는 시스템을 구축 및 운영해야 함을 권고함.
• ✔관리적 조치오픈소스 소프트웨어 사용 정책을 수립하고, 외부 공개 도구의 보안 위험 평가 및 관리 절차를 마련하여 공격에 악용될 가능성을 최소화해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 개인정보 보호법 및 ISMS-P 기준에 따라 재검토하고, 비상 대응 훈련을 통해 실효성을 주기적으로 검증해야 함을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기