보안 인사이트

모의해킹 주기, 1년에 한 두번으로 충분할까?

엔키화이트햇

2025. 3. 26.

2025 IT 생태계가 만든 수천 개의 공격표면

최근 몇 년 사이, 기업과 기관을 겨냥한 해킹 공격이 급증했습니다. 클라우드 업무환경과 AI 기술이 실무에서도 사용되면서 보안 사고 발생 속도는 점점 빨라지고 있으며, 공격 방식도 더욱 정교해지고 있습니다. 이에 한국인터넷진흥원(KISA)에 따르면, 국내에서 신고된 사이버 위협 피해 건수는 2023년 1,277건에서 2024년 1,887건으로 무려 48% 증가했다고 밝혔습니다.

실제로 최근 1달 간 개인정보위원회에서 제재처분을 받은 사건사고를 살펴봤을 때에도, 한달에 5건 이상의 중대한 개인정보 유출 관련 해킹 피해가 지속적으로 발생하고 있는 걸 확인할 수 있었습니다.

기업	해킹 내용	피해 규모 및 유출 내용
B사	해커가 홈페이지를 공격해 개인정보 유출	34만2253명 고객들의 개인정보 유출 (유출된 개인정보는 이름(닉네임)과 성별, 생년월일, 휴대전화번호, 주소 등 총 5개 항목)
K사	서버에 악성코드를 통한 해킹시도	임직원 개인정보 유출
D사	랜섬웨어 감염, 같은 서버로 운영되는 관계사 홈페이지와 공식 홈페이지 모두 사용이 중단	-
G사	아이디와 비밀번호를 무작위 대입해 공격하는 크리덴셜 스터핑 공격	1년간 약 158만건 개인정보가 유출이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일, 기혼 여부, 결혼기념일, 개인통관고유부호 등 총 10개 항목
G사	여러 단계를 거쳐 목표에 접근해 가는 침투 전략, 프로그램의 구조나 구축 당시 사용된 프로그램, 부처 내부 문서 등을 해킹	개발 및 구축, 운영을 담당하는 업체가 해킹당해 관련 자료가 대거 탈취
N사	게임 보안 프로그램을 무력화 사설 서버로 보안 우회 접속할 수 있게 하는 프로그램 핵심 실행 파일 제작	2,380만 원 피해
S사	아이디 탈취로 인한 인스타그램 공식 계정 해킹, 계정관리 부실, 다중인증 미적용	-
J사	웹상에서 관리하는 민감성 문서를 검색업체가 크롤링(수집)하지 못하도록 조치 필요	특정 개인(1인) 의 전입신고서가 전체 공개 (주소, 휴대전화, 주민등록번호 앞자리)
D사	3,200여건에 달하는 의심스러운 데이터베이스 쿼리(Query) 요청 다중 IP를 사용해 데이터베이스의 취약점을 스캔하는 자동화된 해킹방식으로 침투 시도	-
H사	랜섬웨어 공격	암호화된 개인정보 유출 (이름, 전화번호, 이메일, 생년월일)
…..

더 정교해지는 해킹 공격, 얼만큼 앞서가냐의 차이

과거에는 방화벽, 백신 등 몇 가지 보안 솔루션만으로도 일정 수준의 보안을 유지할 수 있었습니다. 그러나 IT 환경이 빠르게 변화함에 따라 공격 표면이 확장되고 침투 경로가 더욱 정교하게 다변화되면서, 보안이 충분히 강화되지 않은 조직이 쉽게 표적이 되고 있습니다. 특히 주요 침해사고를 주도하는 북한 해킹 조직은 다음 세 가지 핵심 공격 기법을 활용하는 것으로 나타났습니다.

S/W 공급망 공격 – IT 서비스 및 시스템 구축 업체를 해킹해 기관·기업 내부 시스템으로 우회 침투
IT 솔루션 및 소프트웨어 취약점 악용 – 기존 보안 솔루션을 우회하거나 무력화하는 맞춤형 공격 수행
다중 IP 및 자동화된 스캐닝 도구 활용 – 취약점을 지속적으로 탐색하여 침투 시도

이러한 공격 기법은 보안 전문가들에게 익숙하지만, 내부 보안 담당자 입장에서는 실제 공격의 구체적인 진행 방식과 위협의 심각성을 체감하기 어려운 경우가 많습니다. 그 결과, 단순한 취약점 점검이나 자동화된 스캐닝 도구에 의존하다가 보안 허점을 간과하고, 결국 심각한 침해 사고로 이어질 위험이 커집니다.

2024 엔키화이트햇 공격 기법 TOP 5

침해사고를 선제적으로 방어하는 가장 효과적인 방법은 공격자의 관점에서 취약점을 식별하고, 공격자가 실제로 활용할 수 있는 침투 경로를 고려하여 보안 상태를 점검하는 것입니다. 즉, 창의적인 공격 기법을 이해하고 활용할 수 있는 전문가를 통해 레드팀 테스트, 모의해킹과 같은 실전형 보안 검증을 수행하는 것이 필요하죠. 실제로 엔키화이트햇이 2024년에 수행한 모의해킹 프로젝트를 분석한 결과, 북한 해킹 조직을 비롯한 실제 공격 그룹들이 활용하는 전술과 유사한 공격 기법을 확인할 수 있습니다.

미관리 자산을 악용한 레거시 시스템 장악
공급망 공격을 통한 내부 확산
관리 솔루션의 0-day 취약점 악용으로 권한 상승 및 내부 확산
1-day 취약점을 이용한 구버전 서비스 장악
크리덴셜 스터핑을 통한 계정 탈취

결국 철저한 보안관리는 공격자와 같은 시선을 갖고 있는 사람이 먼저 움직여 대응하는 과정이 필요합니다. 실제 해킹과 동일한 방식으로 보안 검증을 수행하는 것이, 침해사고를 막을 수 있는 가장 현실적인 해결책인 것이죠.

모의해킹, 연 1~2회로 충분할까?

많은 기업이 연 1~2회 정기적으로 모의해킹을 수행하지만, 해킹 공격 기법은 하루가 다르게 진화하고 있습니다. 기업이 서비스를 업데이트할 때마다 새로운 취약점이 발생할 가능성도 높아지죠. 하지만 지금의 모의해킹은 기업의 취약점을 골든타임에 대응할 수 없다는 아쉬움이 있습니다.

365일 언제 터질지 모르는 해킹 공격

해커들은 새로운 공격 기법을 개발하며 끊임없이 기업 시스템의 빈틈을 노립니다. 담당자가 원하는 시점에 맞춰 공격하지도 않죠. 기업의 빈틈이 보이는 순간 침투하는 것이기 때문에, 서비스 업데이트 등 기존 체계에서 변동사항이 있을 때 바로 대응할 수 있도록 모의 공격체계도 지속적으로 운영되어야 합니다.

보안 담당자의 불필요 페이퍼 워크

매번 새로운 모의해킹 프로젝트를 기획하고, 예산을 확보하고 승인받는 과정이 반복되면 보안팀의 불필요한 페이퍼워크도 늘어나죠. 이러한 불편함을 완화할 수 있도록 필요할 때마다 즉시 테스트를 수행할 수 있는 체계가 필요합니다.

모니터링 없는 폐쇄적인 소통방식

기존 용역 투입으로 진행되는 모의해킹은 내부 담당자가 진행 과정을 투명하게 알 수 없었습니다. 크리티컬한 이슈가 있지 않는 이상 취약점에 바로 공유받고 대응할 수도 없죠. 펜테스터가 침투 업무에 얼만큼 충실한지도 명확하게 파악할 수 없었습니다. 하지만 보안팀은 "펜테스터가 어떤 침투를 수행하고 있는지, 어디까지 파고 들었는지" 먼저 알고, 실시간으로 도출되는 침투 시나리오를 파악하고 있어야 취약점을 빠르게 대응할 수 있습니다.

따라서 "6개월 전 진행한 모의해킹에서 문제가 없었으니 오늘도 안전하다"는 보장할 수 없습니다. 공격 기법은 계속 발전하고, 신규 취약점이 지속적으로 등장하며, 수행 전문가의 역량도 변수로 작용하기 때문이죠. 이제는 보다 정교한 보안 관리와 지속적인 모니터링, 실시간 대응이 가능한 체계가 필요한 시점입니다.

이제는 구독형 보안이 필요한 시대

기업에서 개인정보 유출 사고가 발생하면, 가장 먼저 책임을 묻게 되는 것은 당연하게도 보안팀 담당자입니다. 24시간 관제를 하더라도 인지하지 못했던 경로에서 발생한 사고에 "보안팀은 왜 먼저 알지 못했는가"라는 질문이 돌아올 수 밖에 없죠. 공격자는 한 번만 성공하면 되지만, 보안팀은 단 한 번의 실수도 허용되지 않는 다소 억울한 상황입니다.

이에 엔키화이트햇이 제공하는 OFFen PTaaS 서비스는 보안팀 담당자의 부담을 덜어주기 위해 탄생했습니다. 1년에 1,2번하는 단발적인 모의해킹을 넘어, 화이트해커에게 지속적으로 관리받을 수 있는 모의해킹 프로젝트 관리 대시보드를 제공합니다. 기존 모의해킹이 ‘연 1~2회 점검’하는 방식이라면, OFFen PTaaS는 ‘지속적으로 모니터링하고, 화이트해커에게 필요할 때마다 점검을 요청할 수 있는 서비스’입니다.

필요할 때마다 즉시 테스트 가능
기존처럼 매번 기안을 올리고 예산을 확보하는 과정 없이, 선 충전된 크레딧 혹은 구독형 요금제로 필요할 때 바로 프로젝트 착수를 요청할 수 있습니다.
진행 상황을 대시보드에서 실시간으로 확인
펜테스터가 오늘 어떤 작업을 수행하는지 알 수 있습니다. 더불어 특정 취약점을 발견할 수 있었던 공격 과정도 MITRE ATT&CK 시나리오를 통해 가시적으로 확인할 수 있죠. 보안팀은 모의해킹 진행 상황을 실시간으로 확인하고, 발견된 취약점에 대한 즉각적인 조치를 할 수 있습니다.
이슈 리포팅으로 수월해지는 취약점 대응
OFFen PTaaS 에서는 현재 도출한 이슈에 대해 바로 공유할 뿐 아니라 실질적인 해결방안까지 제시합니다. 규격화된 스크립트가 아닌, 기업 환경에 최적화된 맞춤 코드를 개발하고 PoC를 제공합니다.

화이트해커의 노하우를 경험하세요

모의해킹의 효과는 수행하는 전문가의 창의적인 역량과 성실성에 절대적으로 좌우됩니다. 하지만 많은 모의해킹 업체들은 한정적인 인력 풀로 운영되면서, 초급 화이트해커 위주로 프로젝트가 진행되거나 형식적인 점검에 그치는 경우가 많습니다. 결국 도출된 취약점이 정말 크리티컬한 위협인지, 제대로 된 점검이 이루어졌는지에 대한 의문이 생길 수밖에 없죠.

엔키화이트햇은 오펜시브 보안 전문 기업으로, 약 90여명의 임직원 중 80% 이상이 기술 인력이고 , 그 중 50% 이상이 화이트햇 해커 인력으로 구성되어 있습니다. 이들의 침투 기술력은 CTF 대회에서 꾸준히 상위 랭킹을 기록할 만큼 뛰어나며, 직접 CTF 대회 문제를 출제하고 운영할 정도의 노하우를 갖추고 있습니다. (엔키화이트해커 더 알아보기) 이러한 전문성은 이미 많은 기업들에게 신뢰받고 있으며, 자세한 사항은 최근 진행한 LG U+ 블랙박스 모의해킹 프로젝트에서도 확인할 수 있습니다. *(LG U+ 기사 링크) 이렇듯 엔키화이트햇은 모의해킹 및 레드팀 서비스 수행 시 단순한 취약점 점검을 넘어, 실제 공격자의 시각에서 보안 취약점을 면밀히 분석하고, 가장 현실적인 대응 방안을 제시하는 것을 목표로 합니다.

OFFen PTaaS는 모의해킹의 투명성과 효과성을 높이고 해결책을 빠르게 도출하기 위해 개발된 서비스입니다. 기존 모의해킹이 폐쇄적인 방식으로 진행되었다면, OFFen PTaaS는 고객사와 실시간으로 소통하며 보안 문제를 함께 해결할 수 있도록 설계되었습니다. PTaaS를 통해 모의해킹 뿐 아니라 취약점 진단부터 레드팀 서비스까지 제공하고 있습니다. 기업 환경에 최적화된 다양한 공격 시나리오를 기반으로 실제 발생할 수 있는 보안 위협을 선제적으로 탐지하고 해결책을 제시합니다.

모의해킹은 단순한 점검이 아닙니다. 보안팀이 미처 인지하지 못한 공격 경로와 취약점 대응 방법까지 학습할 수 있는 기회죠. 엔키화이트햇의 OFFen PTaaS를 통해 필요할 때마다 빈틈없이 보안을 점검하고, 화이트해커의 노하우를 내재화하여 기업의 보안 대응 역량을 강화하세요.