보안위협이 급증하자 이에 대응하기 위해 기업 및 기관들은 시스템 보안 취약점을 미리 발견하기 위해 가상으로 해커와 같은 방법으로 해킹을 합법적으로 시도하는 ‘모의해킹’ 서비스에 관심을 보이고 있다.

모의해킹은 인가 받은 해킹 전담 컨설턴트에 의해 외부 또는 내부 네트워크상에서 실제 해커가 사용하는 최신 해킹기법 및 도구를 이용해 네트워크, 서버 및 응용 프로그램의 취약점을 통해 정보 시스템으로의 침투 가능성을 진단하는 서비스다.

모의해킹을 통해 서버, 네트워크, 어플리케이션 상에 존재하는 취약점들을 심층적으로 분석함으로써 현재 보안수준을 평가하고 이에 대한 종합적인 대응책과 권고안을 제시해 보안성을 강화하는 것이 목적이다.

모의해킹 시장은 과거와 다른 양상으로 변화하고 있다. 단기간 프로젝트 형식에서 연단위 서비스를 요구하는 곳도 늘어나고 있다. 과거에는 웹 모의해킹에만 수요가 몰렸었지만, 이제 모바일과 사물인터넷(IoT) 등으로 영역이 확대되고 있다. 최근 몇 년간 꾸준히 증가하는 모의해킹 수요에 일부 보안업체에서는 대응할 인력이 부족하다는 소리가 나올 정도다.

국내 정보보호산업 실태조사 보고서에 따르면 진단 및 모의해킹 분야 매출은 2013년 187억6900만원, 2014년 287억4900만원, 2015년 350억8100만원으로 매년 크게 증가하고 있다. 주로 100인 이상 기업에서 주로 판매되고 있는 상황이다.

이 보고서에서는 진단·모의해킹 예상 매출액에 대해 2016년 289억8000만원, 2017년 333억8600만원, 2018년 387억1200만원, 2019년 449억6800만원, 2020년 521억5900만원으로 내다봤다.

김태형 SK인포섹 전략해킹팀장은 “주로 금융권에서 연단위 모의해킹 사업 발주가 나타나고 있다”며 “정확하게 집계하기는 어렵지만, 모의해킹 수요가 2배가량 늘었다”고 말했다.

금융사와 일정 규모 이상의 기업들은 1년에 수차례 새롭게 서비스와 웹페이지를 선보이고 있기 때문에 이와 관련해 보안인력과 시스템도 갖추고 있다. 그럼에도 공격에 대한 불안감은 남아 있는 상태다.

과거에는 새로운 서비스와 사이트를 공개할 때, 이에 맞춰 2~3달간 모의해킹 프로젝트를 진행했었다. 하지만, 이제 1년간 상시적으로 계속 모의해킹을 하자는 쪽으로 움직이고 있는 것. 보안업체 입장에서도 사업 안정성과 인력 운영 측면에서 긍정적인 변화라는 입장이다.

별도 모의해킹 전문팀을 보유한 에이쓰리는 연단위보다는 단기 프로젝트 위주로 사업을 꾸리고 있다. 늘어나는 모의해킹 수요에 대응하기도 바쁠 정도라 연단위 프로젝트까지 진행할 여력이 없다는 기분 좋은 푸념이다.

에이쓰리 측은 “모의해킹 전문팀은 12명으로 구성돼 있는데, 100% 가동되고 있어 인력 자체가 모자를 정도로 진행되고 있다”며 “지속적으로 모의해킹 수요가 늘고 있어 인력 배치가 어려울 정도”라고 전했다.

이와 관련해 정대근 에이쓰리 보안기술팀 팀장은 다양한 분야로 확대되는 모의해킹 수요에 주목했다. 생체인증, 모바일, IoT, 비대면 거래 등과 관련한 모의해킹 수요가 늘고 있기 때문이다.

정 팀장은 “최근에는 모바일로 금융거래를 많이 진행하다 보니, 이 분야와 관련된 모의해킹 문의가 늘고 있고 생체인증과 파이도(FIDO) 관련 모의해킹 수요도 증가하고 있다”며 “모바일 앱으로부터 자신의 인증정보를 업로드해 계좌를 개설하는 비대면 서비스가 많아지고 있기 때문에, 이런 부분에 대한 실질적 점검을 요청하고 있다”고 설명했다.

또 “각종 페이 등이 늘어나면서 온라인 송금 서비스와 온라인 결제 시스템에 대한 수요도 증가하고 있다”며 “최근에는 IoT 관련 모의해킹도 늘어나고 있다”고 덧붙였다.

김형준 안랩 컨설팅본부 상무도 “기업들의 보안 인식이 올라가고, 보안 컨설팅 의무 대상이 증가하면서 모의해킹 수요도 늘어난 것”이라며 “IoT, 클라우드, 제어계측, 모바일 등 새롭게 주목받는 분야에서 모의해킹 수요도 늘고 있다”고 제언했다.

<최민지 기자>cmj@ddaily.co.kr