글로벌 사용자 1억명! 기업용 보안 전송 프로토콜 Kiteworks > Our Latest Insights

안녕하세요 인텔렉추얼데이터입니다.

컴퓨터와 네트워크의 등장은 우리 업무 환경을 빠르게 바꿨습니다. 이제 업무를 위해 필요한 자료와 데이터를 주고받기 위해 산더미 같은 서류를 보내는 대신 온라인을 통해 대용량의 파일을 보내는 것으로 간단하게 처리할 수 있습니다.

하지만, 이러한 편리함의 이면에는 피할 수 없는 해킹과 유출의 보안 위협도 있습니다. 특히 기업의 기밀이 담긴 민감한 정보, 대규모 데이터를 전송하는 경우 해당 정보의 금전적 가치를 노리는 해커의 표적이 될 가능성이 높습니다. 그렇다고 대용량의 데이터를 온라인이 아닌 다른 방식으로 전달하는 것은 지나치게 비효율적이라는 문제가 있습니다.

무심코 온라인에 보관하고 전송한 기업의 데이터, 과연 안전할까?

대부분의 기업들이 온라인을 통해 대량의 데이터를 전송하고 있지만, 안전하지 않은 전송 방식으로 인해 매번 보안 위험에 노출되어 있습니다. 기업 내부에서 데이터 보안과 유출, 공격 위협에 대해서는 철저하게 관리하면서도 외부로 데이터를 전송할 때는 무심코 익숙한 방식, 별도의 보안 처리가 안된 메일이나 전송 방식을 사용하는 경우가 많습니다.

이렇게 전송 과정에서 온라인에 노출된 데이터는 인가받지 않은 사용자의 무단 접근, 해커들의 공격, 유출 피해로부터 결코 안전할 수 없습니다. 최근 몇 년간 급증하는 보안 사고와 해킹 피해를 고려한다면 데이터 전송 과정의 철저한 보안 시스템은 필수적이라고 할 수 있습니다.

Kiteworks, 글로벌 3,650개 기업 및 정부 기관, 1억명의 사용자가 선택한 서비스

글로벌 보안 시장에서는 이미 데이터 전송 간 해킹과 유출 방지 대책에 대해 많은 서비스들이 활발하게 사용되고 있습니다. 특히 Kiteworks는 이미 전세계 3,650개 기업 및 정부기관, 1억 명 이상 사용자를 보유한 대표적인 보안 전송 프로토콜입니다.

Kiteworks는 대규모 데이터의 암호화 전송을 지원하는 SFTP(Secure File Transfer Protocol)와 클라우드 기반으로 안전하게 중요 데이터의 공유 및 협업이 가능한 VDR(Virtual Data Room) 서비스로 구성되어 있습니다. 또한 사용 환경과 용도에 따라 기업 서버 내 직접 설치(On-Premise) 혹은 클라우드 서비스 중 원하는 형태로 설치를 지원하고 있습니다.

또한 다양한 글로벌 컴플라이언스를 준수하는 보안 솔루션으로 보다 간편하게 안전하게 해외 지사 혹은 글로벌 기업과의 데이터 전송을 위한 보안 시스템 구축이 가능합니다.

금융, 로펌, 연구, 미디어 산업까지 다양한 업무 분야의 Kiteworks 활용 사례

Kiteworks는 데이터 보안 전송과 공유가 필요한 다양한 업무 분야에서 폭 넓게 활용되고 있습니다.

로펌, 금융기관 등 민감한 고객의 정보에 대해 업무상 빈번한 공유가 필요하다면 Kiteworks가 매우 적합한 솔루션이 될 것입니다. 기존의 이메일을 통한 전송 방식이 지속적인 유출과 해킹 위험에 노출되어 있는 반면, Kiteworks를 활용하여 민감 정보를 전송, 공유할 경우 강력한 보안 암호화 보안 방식으로 데이터를 보호하여 유출 피해를 방지할 수 있습니다.

기업의 소송이나 M&A 진행 등 외부 유출이 치명적인 정보를 주고받는 경우에도 Kiteworks는 매우 좋은 선택지입니다. Kiteworks는 전송된 데이터의 무결성과 보안을 보장하면서 대량의 데이터를 간편하게 공유할 수 있는 플랫폼을 제공합니다. 또한 기업 혹은 연구 기관이 프로젝트 진행을 위한 협업 시에도 간편하게 접근 권한을 통제하고, 안전하게 데이터를 공유할 수 있습니다.

또한 Kiteworks는 엄격한 보안 규정을 준수하면서도 간편하게 미디어 파일과 같은 대용량 데이터을 공유할 수 있는 솔루션입니다. 대용량의 비공개 데이터를 세계 각국으로 전송해야 하는 미디어 기업에게도 활용도가 매우 높은 솔루션입니다.

Kiteworks 도입이 필요하다면? 국내 최초 공식 파트너 인텔렉추얼데이터와 함께

최근 Kiteworks는 기업 보안 전문 기업 인텔렉추얼데이터와 공식 파트너십을 맺으면서 본격적으로 한국 시장에 진출했습니다. 이제 솔루션 도입부터 사후 관리까지 인텔렉추얼데이터의 기업 보안 솔루션팀의 전문적인 지원을 받을 수 있게 되었습니다.

더 자세한 솔루션 정보와 도입 문의는 인텔렉추얼데이터 홈페이지에서 확인하실 수 있습니다.

다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

2022년 8월, 틱톡에서 소위 'Kia Challenge'라며 현대/기아 자동차를 훔치는 것이 유행한 적이 있습니다. 이모빌라이저가 없는 구형 현대/기아 자동차를 노려 도둑질하는 영상이 유행처럼 번진 것인데요. 이런 도둑질을 하는 10대 비행 청소년들은 일명 '기아 보이즈(Kia boys)'라 불리기도 했습니다. 이들에게 특히 현대/기아차가 먹잇감이 되었던 것은 취약한 보안 때문이라는 분석이 있었습니다. '엔진 이모빌라이저' 장치가 없어 쉽게 훔칠 수 있기 때문입니다.엔진 이모빌라이저에서 시작된 기아 보이즈 사태엔진 이모빌라이저는 도난 방지용 시동 제어장치로, 자동차 키를 꽂는 곳에 특정 암호를 저장한 칩을 내장하는 장치입니다. 차주가 이 암호와 같은 번호를 가진 자동차 키를 꽂아야 잠금장치가 해제되고 자동차에 시동이 걸리게 되죠. 유럽연합(EU), 캐나다 등은 차량 내 이모빌라이저 장착을 법으로 의무화했으며, 국내에서 보편적으로 쓰이는 스마트키·버튼 시동 시스템 또한 이모빌라이저 기능을 기본으로 합니다. 하지만 미국에서는 여전히 선택 사항이었고, 구 현대/기아차의 취약점이 노출됐죠.실제 위스콘신주 밀워키에서는 신고가 들어온 도난 차량 가운데 66%가 현대/기아차인 것으로 조사되기도 했는데요. 현대는 부랴부랴 모든 판매 차량에 자체적으로 이모빌라이저를 표준 탑재하기로 했습니다. 하지만 여전히 구버전 차량들에는 문제가 있었죠. 이런 이유로 미국의 대형 자동차보험사 일부는 현대/기아 차량에 대한 보험료를 인상하거나, 아예 신규 보험가입을 거부하기도 했습니다.소프트웨어 업데이트로도 막지 못한 차량 도난이에 대응하기 위해 지난 2월, 현대자동차측은 도난방지 소프트웨어 업데이트를 진행, 미 도로교통안전국(NHTSA) 추산치로 약 830만대 규모의 업데이트를 했지만 무용지물이었습니다. 업데이트 이후 15시간만에 2020년 기아 옵티마(K5)가 도난을 당한 것이죠. 전문가들은 USB 케이블을 이용한 기존 도난 수법이 적용되었다고 분석했습니다.현대자동차 미국 법인측은 보완책으로 보안 키트를 추가로 개발해 고객들에게 제공했습니다. "우리가 제조한 차량은 모든 미국 안전 기준에 부합하거나 초과한다"면서도 "차량 절도 방법을 무력화할 수 있는 새 보안키트를 10월 1일부터 판매하겠다"고 설명했는데요. 하지만 소송은 막지 못했습니다. 미국 내 여러 주에서 현대기아를 상대로 도난사건 발생에 관련해 집단소송이 제기되었죠. 위스콘신을 포함한 7개 주 법원에서는 최근 '설계 결함으로 차량이 도난당했다'며 현대차에 손해배상을 요구하는 소송이 잇따라 제기되었는데요. 현대측은 미국 당국이 요구하는 도난 방지 요건을 갖췄다고 맞섰지만 결국 최대 2700억 원 가량의 현금 보상이라는 합의점에 도달하게 되었습니다.차량 번호만 알면 원격 제어 가능? 새로운 차량 해킹 악몽문제는 현대에게 또 시련이 다가왔다는 겁니다. 차량 번호만 알고 있으면 원격제어가 가능한 희대의 취약점이죠. 지난 26일, 화이트 해커이자 취약점 현상금 사냥꾼 샘 커리는 자신의 유튜브에 '기아툴(Kia Tool)'이라는 커스텀 어플리케이션으로 2022년형 기아 EV6를 해킹하는 모습을 직접 게시했습니다. 어떻게 이게 가능했던 걸까요?그 원인은 취약한 API 구조와 미국 시장의 특수성에 있었습니다. 미국 시장에서 차량 딜러의 권한은 꽤나 큰데요. 우리나라에서 차량을 구매할 때는 자동차 제조 회사에 소속된 영업사원과 대리점에서 상담을 하게 됩니다. 영업사원을 거치는 구조긴 하지만 기본적으로는 자동차 제조 회사에서 직접 고객이 사는 거죠. 고객은 원하는 차에 대한 옵션을 선택하고 대리점에서는 이걸 주문해 주는거죠. 주문대로 공장에서 생산해 주는거고요.하지만 미국은 '딜러가' 원하는 차를 딜러가 미리 주문해서 받고, 그것을 다시 고객에게 파는 시스템입니다. 또 한국과 달리 딜러는 각 주의 DMV(Department of Motor Vehicles)와 협상하여 번호판을 발급해주는 역할도 하는데요. 그러다 보니 권한이 상당히 강력합니다. 고객들 차대 번호만 알고 있으면 고객 개인정보를 모조리 출력해 볼 수도 있고, 차량 소유주의 개인정보를 임의로 변경할 수도 있습니다. 물론 자동차 딜러가 되기 위해선 교육을 이수하고 라이선스를 취득해야 합니다만, 이렇게 잠재적으로 정보가 유출될 수 있다는 것 자체부터 보안 취약점으로 작용할 수 있었습니다. 그리고 그것이 현실로 일어났죠.사물인터넷(IoT) 기능 위한 API에서 발견된 보안 취약점기아자동차 역시 시대에 맞춰 사물인터넷(IoT) 기능을 채택하고 있는데요. 자동차 잠금을 해제하는 등의 원격 작업을 수행하기 위해서는 별도의 WebAPI를 사용해서 통신합니다. 문제는 이 API 서버의 구조였습니다. 앞서 딜러의 역할이 크고 많은 것을 한다고 말씀드렸는데요. 딜러의 세션 키와 VIN, 차대 번호만 알고 있으면 특정 차량의 소유자 정보를 변경할 수 있게 됩니다.문제는 딜러로 가입해서 세션 키를 발급받는 것은 별다른 제약 없이 누구나 할 수 있다는 겁니다. 또 딜러 시스템과 API 서버는 분명히 별개로 분리되어 있었지만, 이 딜러 시스템이 API 서버와 거의 동일한 API 구조로 만들어져 있어서 도메인 앞부분만 변경하면 거의 동일한 결과를 얻을 수 있다는 겁니다. 그래서 공격자는 임의로 딜러 토큰을 생성하고 → 해당 토큰으로 공격 대상 차량의 VIN을 입력해서 개인정보를 받은 뒤 → 차량 소유자 개인정보를 공격자로 변경하고 → 차량 원격 조작 API 서버에 붙어 원격 조작을 수행, 차량을 탈취할 수 있었던 것입니다.그런데 이 취약점이 현대차에만 작동하는 것은 아니었다는 게 문제입니다. 벤츠, BMW, 모든 일본차 브랜드, 심지어 롤스로이스까지 완전히 동일한 방식으로 차량을 탈취할 수 있었던 겁니다. 벤츠의 경우 이 딜러 계정으로 웹 사이트의 소스 코드가 담긴 Git 보관소에 접근할 수 있기까지 했습니다. 이것은 사람에 대한 라이선스 발급과 교육 등으로 안전장치를 만들어 놓았다 하더라도 본질적으로 비지니스 로직 자체가 취약점을 가지고 있고, 가장 약한 취약점 고리가 드러나는 순간 보안 사고가 발생할 수 있다는 것을 잘 보여줍니다.API의 근본적 보안 문제, 기술적인 안전장치 필요해기본적으로 API는 숨길 수 없고, 쉽게 찾을 수 있는 구조입니다. 또한 요즘 차량들은 모두 인터넷에 연결되어 있는 구조라서 공격할 수 있는 방법이 매우 많기도 하죠. 물론 이 취약성은 지난 6월에 발견, 9월 26일에 모두 조치되었음이 확인 및 공개되어서 지금은 사용할 수 없는 방식입니다. 이 방식으로 차량을 탈취당한 피해자도 아직까지는 없었다고 알려져 있습니다. 하지만 이 취약점으로 12개 완성차 브랜드 웹사이트를 해킹할 수 있었했고, 수백만대 차량을 원격 제어할 수 있었습니다.이번 사건에 대해 스테판 새비지 교수는 "스마트폰 지원 기능을 통해 젊은 층에 어필하려는 기업들의 노력이 웹사이트를 통해 차량을 원격으로 제어할 수 있는 취약점을 늘렸다. 이러한 사용자 기능과 클라우드 기능을 휴대폰에 연결하면 생각지도 못했던 것들이 공격이 시작된다"고 말했습니다.많은 기업들이 보안 프로세스를 채택하면서 기술적인 방어만 중시하기도 하고, 업무체계 부분의 방어만을 중시하기도 합니다. 하지만 중요한 것은 항상 보안 취약점은 가장 취약한 연결고리를 끊고 들어온다는 것입니다. 그 고리가 제도 등의 문제로 개선될 수 없다면, 단순히 라이선스를 소유한 사람의 도덕성에 의존하는 것이 아니라 기술적으로도 이중 삼중의 방어장치를 통해 보다 더 꼼꼼한 방어 조치가 수행되어야 할 것입니다.

Oct 18 2024

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

글로벌 사용자 1억명! 기업용 보안 전송 프로토콜 Kiteworks

전자증거개시 진행 시 불리한 증거를 고의로 감춘다면?

다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

제출이 완료되었습니다.

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요.

글로벌 사용자 1억명! 기업용 보안 전송 프로토콜 Kiteworks

전자증거개시 진행 시 불리한 증거를 고의로 감춘다면?

다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

제출이 완료되었습니다.

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.