“세계가 놀란 보안 취약점 발견”…정부, 보안 업데이트 강력 권고

“최근 10년간 가장 치명적인 취약점” (글로벌 보안기업 테너블의 아밋 요란 대표)

인터넷 서버용 소프트웨어 ‘로그4j(log4j)’에서 심각한 보안 취약점이 발견돼 전 세계에 비상이 걸렸다. 해커가 취약점을 공격할 경우, 비밀번호 없이 서버를 통해 내부망에 접속할 수 있어 자칫 심각한 피해를 초래할 수 있다. 애플, 아마존 등 글로벌 주요 정보통신기술(ICT) 기업이 해당 프로그램을 이용 중인 것으로 알려진 가운데, 국내 피해를 막기 위해 정부도 긴급 대응에 나섰다.

정부와 업계, 외신 등에 따르면 아파치재단이 개발한 자바 기반 오픈소스 ‘로그4j’에서 치명적인 취약점이 발견됐다.

‘로그4j’는 기업 홈페이지 등에서 로그 기록을 남기기 위해 사용하는 SW다. 개발자가 프로그램을 개발할 때 로그 기록을 관리하는 용도로 사용된다. 이번 취약점은 지난달 24일 알리바바클라우드 보안팀에 의해 최초 보고됐다. 자바 언어로 개발된 온라인게임 ‘마인크래프트’에서 취약점이 발견되면서 해당 문제가 본격적으로 수면 위에 올랐다.

해커가 취약점을 공격할 경우 악성 코드 감염 등의 피해를 발생 시킬 수 있다. 특히 취약점을 악용해 해커가 원격으로 기업의 내부망과 중앙컴퓨터까지 조작할 수 있는 것으로 알려져 피해 우려도 커지고 있다. ‘로그4j’ 개발 기관인 아파치재단은 이번 위협수준을 1~10단계 중 최고 단계인 ‘10단계’로 진단했다. 글로벌 보안기업 테너블의 아밋 요란 대표는 이번 취약점에 대해 “지난 10년 간 가장 크고 치명적인 단일 취약점이 될 것”이라며 “아마 현대 컴퓨팅 역사상 가장 큰 취약점”이라고 평가하기도 했다. 애플, 아마존, 트위터 등 글로벌 ICT 기업들이 서버 관리를 위해 해당 SW를 사용 중인 것으로 알려졌다. 특히 핵심 프로그래밍 언어인 ‘자바’를 기반으로 하고 있어 사실상 대다수의 기업, 기관들이 직·간접적 영향권에 들 수 있다는 우려도 나온다.

이에 정부도 긴급 대응에 나섰다. 과학기술정보통신부는 즉시 보안 업데이트를 적용해야한다고 강력 권고했다. 아파치재단은 지난 6일 해당 취약점을 해결한 보안 업데이트를 발표한 바 있다. 현재까지 국내에서 해킹 피해 사례는 발견되지 않은 것으로 나타났다.

아울러 과기정통부는 기반시설, 개인정보 보호 관리체계(ISMS) 인증기업 758개사, 기업 최고 정보책임자(CISO) 2만3835명, 클라우드 보안인증 기업 36개사, 데이터센터(IDC) 16곳 등을 대상으로 해당 내용을 긴급 전파하고 해당서버를 사용하는 기업들에게도 신속한 조치를 강조했다. 박세정 기자