사이버 팬데믹 `로그4j` 피해 0건

민간과 공공부문에서 로그4j(Log4j)의 취약점을 이용한 공격이 이어지는 가운데 국내에서 실제 피해까지 이어진 사례는 없는 것으로 나타났다. 그러나 해외에서는 공공기관을 중심으로 피해를 입는 일이 발생하면서 보안업계의 경각심은 더 증폭되고 있다.

2일 한국인터넷진흥원(KISA)과 국가정보원에 따르면 국내에서 로그4j 공격과 관련한 피해 사례는 한 건도 발생하지 않았다.

현재 KISA는 로그4j 관련 민간 영역의 피해 사례를 접수받고 있다. 국가정보원은 공공기관과 정부 부처 대상 공격 시도를 탐지하고 피해로 이어졌는지 확인하는 중이다. KISA 관계자는 "현재까지 KISA로 로그4j 관련 신고가 접수되지 않았다"며 "보안기업들이 (공격하는) IP를 원에 제보하면 차단하는 등의 조치가 이뤄지고 있다"고 설명했다.

다만 공격 시도는 빈번하게 이어지고 있다는 설명이다. 한창규 안랩 시큐리티대응센터(ASEC) 센터장은 "보안업계에서 '아파치 로그4j' 취약점을 활용한 보안위협을 예의주시하며 공격 사례 등을 분석하고 있는 상황"이라고 말했다. 국정원 역시 "공공기관을 대상으로 한 로그4j 취약점을 악용한 공격 시도는 이어지고 있으나 현재까지 시스템 장애나 내부자료 유출 등의 피해는 발생하지 않았다"고 말했다.

로그4j는 비영리단체인 아파치 소프트웨어 재단이 배포하는 자바(JAVA) 기반 오픈소스다. 인터넷 서비스 운영·관리 목적으로 로그기록을 남기기 위해 사용하는데, 무료로 사용할 수 있는 데다 사용 언어 역시 널리 쓰이는 자바여서 아마존, 트위터 등 글로벌 IT 기업은 물론 일선 기업, 정부기관까지 광범위하게 사용하고 있다.

로그4j에서 취약점이 발견되면서 세계 각국이 비상 상황이다. 해커가 로그4j의 취약점을 활용해 서버를 공격하면 내부망에 접근해 민감한 데이터에 접근하거나 악성코드 주입도 가능하다는 점에서 위협적이다. 아파치 소프트웨어 재단은 이번 상황에 대한 보안 위협 수준을 1∼10단계 중 최고 등급인 '10단계'로 평가할 정도다. 일각에서는 이 사건을 두고 '사이버 펜데믹'이라고도 평가하고 있다.

해외에서는 로그4j 관련 실제 피해사례도 발생하고 있다. 벨기에 국방부는 최근 로그4j의 보안 취약성을 이용한 사이버 공격을 받았다고 발표했다. 그 결과 메일 시스템을 포함한 컴퓨터 네트워크의 일부가 다운된 것으로 알려졌다. 우리나라도 많은 기업과 공공기관이 로그4j를 사용하고 있어 위기감이 커지는 중이다. 과학기술정보통신부 조사 결과 정보통신·금융·의료 등 국내 민간분야 주요 정보통신기반시설 147곳 중 30곳(20.4%)이 로그4j를 사용하는 것으로 나타났다. 유선희기자 view@