조상현 네이버 CISO "포스트 코로나 시대 본인인증 강화해야"

[아이뉴스24 최은정 기자] 신종 코로나바이러스 감염증(코로나19) 확산으로 발생한 다양한 보안 위협에 대해 개인과 기업, 기관·국가가 공동 대응할 수 있는 협력 체계와 함께 본인인증 등이 더 강화돼야 한다는 지적이 나왔다.

조상현 네이버 최고정보보호책임자(CISO)는 16일 열린 '제26회 정보통신망 정보보호 온라인 콘퍼런스'에서 '포스트 코로나' 시대 보안에 관한 주제발표를 통해 이 같이 말했다.

또 "새로운 업무 방식과 새로운 사이버 보안 이슈에 대한 위기 관리 대책을 함께 마련해 실행해야 할 때"라고 강조했다.

이와 관련 해커가 가짜 인터넷포털 로그인 페이지를 만들어 사용자 계정을 탈취하고, 다른 웹사이트에 무작위로 대입·로그인 해 악성행위를 하는 '크리덴셜 스터핑' 공격을 예로 들었다.

인터넷 포털을 이용할 때 아이디와 비밀번호를 입력해야 하는 것을 악용한 공격이 늘고 있는 것.

앞서 SK인포섹도 올해 발생한 고위험도 해킹 공격 약 44만5천건 중 40%가 이 같은 '크리덴셜 스터핑 '에 의한 사용자 계정 탈취로 집계했다.

조상현 CISO는 "현재 여러 포털에서 이 같은 피싱 로그인 페이지에 대한 해결책을 고민하는 중"이라며 "도메인 하나를 구축하는 비용도 낮아 해커 입장에서는 (이러한 해킹 방식이) 가성비가 높은 셈"이고 설명했다.

이어 "아이디, 비밀번호가 노출되더라도 '2차 인증'을 활성화 하는 등 개인인증 체계를 강화할 수 있다"고 조언했다.

코로나19로 원격근무 등 비대면 환경이 확대되면서 이 같은 보인확인은 더욱 중요한 문제가 됐는 설명이다.

조 CISO는 "기업은 원격 회의로 참가하는 직원이 실제 맞는지 여부를 카메라 등을 통해 확인해야 한다"며 "포스트 코로나 시대에는 신원확인 절차가 더욱 필수"라고 강조했다.

본인 인증 등 절차 강화와 함께 이에 대응할 플랫폼의 공동 활용 등 협력체계의 중요성도 강조했다.

가령 구글의 경우 웹브라우저 크롬에서 사용자 안전성을 높이기 위해 '인증서 투명성' 개방형 플랫폼을 제공하고 있다.

이 플랫폼은 SSL용으로 발급되는 인증서에 대한 정보를 투명하게 공개하고, 누구나 해당 정보를 조회할 수 있게 해 인증서의 오·남용을 방지하는 것. 아울러 인증서 발급자에는 더 높은 책임을 요구한다.

조 CISO는 "최근 네이버 관련 피싱 사이트(https://nid.naverdns[.]co)에 사용된 도메인을 해당 플랫폼에 입력·추적하면 인증서에 포함된 다른 DNS 정보, 생성 이력 등을 확인할 수 있다"며 "현재는 피싱 사이트로 쓰여지지 않더라도 추후 가능성이 있어 이를 지속적으로 모니터링 하는데 도움이 된다"고 설명했다.

그러면서 "(국내서도) 기업과 기관들이 함께 풀었으면 하는 문제"라며 "이렇듯 축적된 데이터를 잘 활용하는 방향을 생각해봐야 한다"고 제안했다.