메타버스의 악의: 새로운 개척지에서 마주한 사이버 위협과의 싸움

이 기사는 Infosecurity Magazine에 게재되었으며, 내용을 업데이트하여 이곳에 다시 발행했습니다.

‍

A few years ago, we talked a lot about how cybersecurity is the Wild West, and there was a desperate need for more people to care about it in general, not to mention the very real risk to life that many cyberattacks could pose. 

2023년 현재, 특히 영향력 있는 여러 국가의 정부 차원에서 어느 정도 진전이 있었다는 점은 고무적입니다. 하지만 우리에게 진정으로 안전한 코드와 소프트웨어를 향한 여정은 끝이 없습니다. 최근 디지털 분야의 총아로 떠오른 메타버스는 코드 수준의 취약점과 사회 공학적 해킹 모두에 있어 방대한 새로운 공격 표면을 제공합니다.

하지만 우리는 허상에 불과한 이 새로운 전장에서 싸울 준비가 전혀 되어 있지 않습니다.

혼합 현실은 위험을 가중시킵니다

메타버스는 현재 큰 인기를 끌고 있지만, 사실 그 개념은 오래전부터 존재해 왔습니다. 온라인 플랫폼인 세컨드 라이프(Second Life)는 2003년부터 운영되어 왔으며, 사용자의 아바타가 음성 및 텍스트 채팅으로 소통하고 게임을 즐기며 아디다스와 같은 기업이 공식 가상 매장을 운영하는 등 완전히 맞춤화된 온라인 세계를 제공해 왔습니다. 순수 게임 분야에서는 포트나이트나 월드 오브 워크래프트와 같은 대규모 다중 사용자 온라인(MMO) 게임이 방대한 세계를 제공하며, 가상 아이템을 구매하기 위해 실제 돈을 지불하는 소액 결제에 점점 더 의존하고 있습니다. 포트나이트는 출시 첫 2년 동안에만 43억 달러의 소액 결제 수익을 올렸습니다.

메타버스 개념은 단순히 일시적인 유행에 그치지 않고, 마크 저커버그가 주도하는 주류 시장으로의 진입을 앞두고 있음이 분명합니다. 이는 우리가 알고 있는 인터넷, 혹은 적어도 소셜 미디어와 전자 상거래의 흥미로운 진화이지만, 사이버 공격과 파괴적인 악용의 기회 또한 상상을 초월합니다.

메타버스의 공격 표면은 웹 기반 소프트웨어, API, 결제 게이트웨이를 훨씬 넘어설 정도로 광범위합니다. VR 헤드셋과 액세서리와 같은 주변 장치 또한 핵심 데이터에 위협이 되며, 이러한 장치에 탑재된 소프트웨어가 취약할 경우 해커들에게는 매우 편리한 침입 경로가 됩니다.

럿거스 대학교의 보안 연구원들은 올해 초, 가상 현실 헤드셋의 음성 명령 기능이 어떻게 심각한 개인정보 침해, 즉 '도청 공격'으로 이어질 수 있는지 조사한 최초의 연구인 페이스-마이크(Face-Mic)를 발표했습니다. 이 연구는 매우 흥미로운데, 공격자가 내장된 모션 센서가 있는 가상 현실(AR/VR) 헤드셋을 사용하여 음성과 관련된 얼굴 제스처를 기록함으로써 음성 인식 제어를 통해 전달되는 신용카드 정보나 비밀번호와 같은 민감한 정보를 탈취할 수 있음을 보여줍니다. 문제의 근본 원인은 사용자 인증의 부재로 보입니다. 가속도계와 자이로스코프에 대한 접근 권한이 별도로 필요하지 않기 때문에, 복잡한 얼굴 움직임, 뼈를 통한 진동, 공기 중 진동을 기록하여 사용자의 패턴에 따라 은행 PIN 번호부터 매우 제한적인 의료 기록까지 모든 것을 추론할 수 있습니다.

메타버스에서 사용자의 모든 움직임은 데이터 포인트가 되며, 허술한 소프트웨어 보안으로 인해 이에 접근할 수 있게 된다면 공격자들이 이를 노릴 유인은 엄청나게 커집니다.

스마트 컨트랙트, 더 똑똑해진 공격자들을 마주하다

메타 경제는 탈중앙화, 비물질화, 유연성, 그리고 무엇보다 타협 없는 보안을 요구합니다. 현재 시바 이누와 같은 다양한 암호화폐 커뮤니티에서 메타버스 소액 경제가 성장하고 있습니다. 가상 부동산이나 기타 무형 자산을 구매하기 위해 블록체인에 저장된 스마트 컨트랙트가 활용됩니다.

'블록체인'이라는 단어를 들으면 어느 정도 기술 지식이 있는 일반인들은 이를 디지털 화폐의 미래를 위한 안전하고 익명성이 보장된 시스템으로 이해합니다. 하지만 여기에는 작은 문제가 있습니다. 완벽한 온라인 요새는 없으며, 스마트 컨트랙트도 예외는 아닙니다. 스마트 컨트랙트는 본질적으로 작은 프로그램이며 해킹이 가능합니다.

스마트 컨트랙트는 정수 오버플로우 및 언더플로우, 리플레이 공격, 그리고 사용자의 암호화폐 잔액을 모두 탈취할 수 있는 치명적인 블록체인 중심 버그인 재진입 공격과 같은 몇 가지 흔한 취약점으로 인해 악용될 위험이 있습니다. 이러한 모든 공격은 악용 가능한 취약점을 만드는 잘못된 코딩 패턴과 안전하지 않은 설계 원칙으로 인해 발생합니다.

이 기술은 앞으로 더욱 널리 사용될 것이지만, 현재로서는 안전하고 결함 없는 메타버스를 보장할 만큼 보안 의식을 갖춘 개발자를 충분히 확보하기 어려운 실정입니다. 기업들은 특히 데이터와 자산이 걸려 있는 경우 메타버스 참여의 규모를 이해해야 하며, 그렇지 않은 시나리오는 상상하기 어렵습니다.

규제 없는 환경, 그리고 여전히 당신은 상품입니다

영화, TV, 세컨드 라이프, 비디오 게임에서 보았듯이 메타버스 환경은 우리가 원하는 누구든 될 수 있게 해줍니다. 가상 세계에서 가능성은 상상력에 의해서만 제한되며, 이러한 유연성은 사용자들에게 큰 매력입니다. 하지만 단점은 메타(Meta)와 같이 계획된 규모에서는 보안 관점에서 완벽하게 통제하기에는 너무 방대하고 탈중앙화되어 있다는 점입니다. 사기는 불가피할 것이며, 숙련된 범죄자들은 사회 공학적 관점에서 더 많은 것을 이용할 수 있게 될 것입니다.

민감한 사용자 데이터는 새로운 금이며, 메타버스는 예상되는 채택률이 계획대로 진행된다면 지금까지 우리가 본 것 중 가장 풍부하고 완벽한 데이터 소스가 될 잠재력을 가지고 있습니다. 메타버스 관련 소프트웨어 빌드가 현재의 규제 표준 및 규정 준수 조치를 따를 것으로 가정할 수 있지만, 급격히 확장되는 디지털 세계와 그 경제를 지원하기 위해서는 이러한 조치들에 대한 업데이트가 필요할 것입니다. 이를 위해서는 기업들이 메타버스에 기여하는 부분에 대한 보안 책임을 지고, 개발자를 포함한 소프트웨어 작업에 참여하는 모든 사람이 모든 단계에서 보안을 고려하고 구현할 수 있도록 사내 보안 성숙도를 높이는 것이 핵심입니다.

메타버스 성공의 핵심, 왜 보안 코딩인가

현실에서 꿈꾸던 모습의 아바타로 무법천지의 디지털 세계를 누비는 것은 즐거운 일일지 모르지만, 모든 '캐릭터' 뒤에는 실제 사람이 있다는 사실을 잊어서는 안 됩니다. 실제 사람들의 데이터와 자산이 걸려 있는 이상, 이는 단순한 게임과는 차원이 다른 문제입니다.

사이버 보안 분야에서는 실수가 치명적인 결과를 초래할 수 있음을 잘 알고 있습니다. 메타버스가 널리 보급되고 소비자들의 신뢰를 얻으려면 메타버스를 구성하는 모든 요소의 무결성을 결코 부차적인 문제로 치부해서는 안 됩니다.

기업은 지금 당장 현실적인 보안 성숙도 평가를 통해 보안 계획을 수립해야 하며, 특히 소프트웨어 개발자의 보안 역량 강화에 집중해야 합니다. 럿거스 대학교의 연구에서 볼 수 있듯이, 접근 제어는 대규모 데이터 유출로 이어질 수 있는 치명적인 취약점 중 하나입니다. 보안 의식을 갖춘 개발자라면 코드가 커밋되기 훨씬 전, 작성 단계에서부터 이러한 문제를 훨씬 효과적으로 해결할 수 있을 것입니다.

메타버스에서 대규모 데이터 유출 사고가 발생한 후에도 사이버 보안 인력 부족을 핑계로 삼을 수는 없습니다. 우리에게는 최선을 다하는 것을 넘어 소프트웨어 보안 표준을 근본적으로 높일 수 있는 도구가 이미 주어져 있습니다. 지금이야말로 메타버스의 설계자들을 교육하는 데 투자하고, 우리가 아는 제품과 서비스를 가상 세계에서 새롭게 재창조하여 그 결실을 거둘 때입니다.