새로운 보안 연구에 따르면 미국의 수처리 시설 중 다수가 직원들의 비밀번호와 활성 로그인 세션을 탈취하는 맬웨어로 노출되어 해킹 위험에 직면한 것으로 나타났다. 이 연구는 환경 보호청(EPA)에 공개적으로 등록된 66,000개 이상의 시스템을 기반으로 10,000개 기관을 확인했으며, 그 가운데 1,787개 기관에서 비밀번호와 자격 증명이 도난당한 것으로 파악됐다.
연구를 수행한 사이버 보안 기업 SpyCloud에 따르면 도난당한 비밀번호는 해커가 조직의 네트워크에 AI 도구를 사용하지 않고도 쉽게 침입하는 경로를 제공한다. 더구나 250개 기관은 원격 접속 및 운영 네트워크에 접근할 수 있는 자격 증명을 노출한 것으로 보인다. 이 분석에는 메타싱 기술 공급업체를 특정하지 않은 사례가 포함되었으며, 그 네트워크 내 한 기기가 비밀번호 도난 맬웨어에 감염되었다는 점이 확인됐다. 이 기기에서 167개 미국 유틸리티 회사의 자격 증명이 빼앗겼다.
SpyCloud의 조사 책임자 제이슨 랭커스터(Jason Lancaster)는 한 건의 침해만으로도 “백여 개의 서로 다른 조직에 대한 열쇠”가 범죄자에게 넘어갈 수 있다고 밝혔다. 이들 인사 정보 탈취 맬웨어는 저장된 비밀번호는 물론 로그인 세션 토큰도 빼낼 수 있어, 세션 토큰으로 로그인한 것처럼 행세해 다계층 인증(MFA) 우회를 어렵지 않게 만들 수 있다. 해커들은 자격 증명을 거래해 특정 조직에 접근하는 데 필요한 비밀번호나 세션 토큰을 얻곤 한다고 설명했다.
이번 연구는 최근 미국 전역의 수계 공급망 해킹 사건이 잇따르는 와중에 나온 것이다. 정부가 이들 공격을 이란 계열 해커들과 연계된 행위로 비공개로 연결 지은 바 있지만, SpyCloud는 이들 이란 연계 공격이 비밀번호 도난에 의존했다는 증거를 발견하지 못했다고 밝혔다. 대신 기계식 스위치와 물리적 제어장치에 보안 취약점이 존재하는 경우가 많았다고 지적했고, 이는 미국 사이버보안 기관(CISA)의 이전 연구와도 일치하는 내용이다.
연구진은 비밀번호 도난이 “누가 그것을 구매하거나 발견하느냐에 달려 있는” 주요 접근 수단이라고 지적하며, 수처리 분야가 이 두 가지 측면의 위험을 동시에 고려해야 한다고 강조했다. 랭커스터는 물 관리 부문이 이 같은 사실들을 동시에 인식하고 대응해야 한다고 말했다.
출처: TechCrunch