최근 원격수업 확대로 대학 온라인 시스템 이용이 급증하고 있는 가운데 많은 대학이 사이버 보안 위협에 노출되고 있다. 2019년부터 2020년까지 랜섬웨어 공격은 두 배로 증가했으며, 전문가들은 온라인 학습의 증가로 인해 대학교들이 새로운 위협에 직면해 있다고 경고했다. 지난 달, 연방수사국(Federal Bureau of Investigation, FBI) 역시 이러한 사이버 공격에 대한 경고를 발표했다.

캠퍼스 기능의 다양화로 인해 포괄적인 보안 프로그램을 구축하기가 어렵고, 교육 기관은 또한 방대한 수의 디지털 개인정보를 보유하고 있어 해커에게 주요 표적이 되고 있다. 대학교들은 노후화 된 IT 인프라로 인해 데이터를 안전하게 저장하거나 전송하기 어려우며 이것이 상황을 복잡하게 만들고 있다.

■ 온라인 전환으로 랜섬웨어 공격 두 배 증가

"고등 교육에서의 사이버 보안" 보고서에 따르면, 컴퓨터의 작동이 중단되게 만든 뒤 재가동을 조건으로 금품을 요구하는 악성프로그램의 일종인 랜섬웨어 공격은 2019년~2020년 기간 동안 두 배로 증가했으며 전문가들은 온라인 학습 증가로 인해 대학교들이 새로운 위협에 직면해 있다고 경고했다.

랜섬웨어 유포 초기인 2010년, 오하이오 주립대학이 공격을 받았으며 학교와 관련된 70만 명 이상의 개인정보가 이에 영향을 받았다. 개인정보가 실제로 도난당했다는 증거는 없었지만, 이 사건은 오하이오 주와 다른 주요 대학에 랜섬웨어에 대한 경각심을 일으켰다. 당시에는 랜섬웨어에 의한 공격은 새로운 위협이었으며, 지난 10년 동안 대학들은 이러한 위험에 보다 적극적으로 대처해 왔다.

FBI에 따르면 해커들은 악성 소프트웨어 등을 사용하여 취약한 네트워크에 침투한 후 관련 컴퓨터의 데이터를 암호화하여 사용할 수 없게 만드는 방식으로 위협을 가하고 있다고 한다. 그리고 이러한 정보를 담보로 삼아 대학 또는 개인에게 비용을 지불할 것을 요구하는 사례가 발생했다. 실제로 지난 8월 유타 대학(University of Utah)은 학교의 민감한 정보가 인터넷에 공개되는 것을 막기 위해 45만 US달러(한화 약 5억 300만원) 이상을 지불했다. FBI는 해커의 공격에 대해 비용을 지불하지 말 것을 강력히 권고하고 있다.

최근 4월 초에는 콜로라도 대학에서 수천 명의 학생과 교직원의 학업 및 재정정보를 포함한 개인정보를 도난당하는 사고가 발생했다. 대학 측이 FBI의 조언에 따라 해커에게 비용을 지불하지 않자 도난당한 개인정보가 다크웹(dark web)에 게시되는 사태가 발생했다. 여기에는 학생 성적 증명서, 의료 기록, 그리고 개인 식별 정보인 사회보장번호(Social Security Number) 등이 포함되었다. 콜로라도 대학은 즉시 파일 전송 서비스를 종료하고, 다른 장치로 전환했다. 그리고 학생 및 교직원을 위해 무료로 신용 및 신원 사기에 관한 상담 서비스를 제공했다. 또한 대학 정보보호 조치를 강화하고, 사이버 시스템에 대한 인식을 증진하기 위한 노력을 전개했다.

콜로라도 대학뿐 아니라 미국 내에서 적어도 9개 대학이 이와 유사한 사이버 공격을 받았다. 여기에는 마이애미 대학(University of Miami), 메릴랜드 대학 볼티모어 캠퍼스(University of Maryland at Baltimore), 예시바 대학(Yeshiva University), 하버드 경영대학원(Harvard Business School), 캘리포니아 대학 데이비스 캠퍼스(University of California at Davis), 스탠포드 의과 대학(Stanford University‘s medical school) 등이 포함됐다.

◆ 대학교가 사이버 범죄의 표적이 되는 이유

IT 컨설팅 회사인 Tambellini Group의 연구 부사장인 Dave Kieffer는 사이버 범죄자들이 대학을 표적으로 삼고 있는 이유로, 대학교 기능의 다양성으로 인해 포괄적인 보안 프로그램을 구축하기가 어렵고, 교육 기관은 또한 방대한 수의 디지털 개인정보를 보유하고 있어 해커에게 보물 창고로 여겨진다는 점을 가리킨다. 연구 중심 대학교의 지적 재산도 점점 더 표적이 되고 있으며, 대학교에서 흔히 볼 수 있는 노후 IT 인프라는 데이터를 안전하게 저장하거나 전송하기 어렵게 만들어 상황을 복잡하게 만들고 있다.

코로나19로 인해 지난봄에 대부분의 대학교가 수업과 활동의 대부분을 온라인으로 전환했을 때, 위에서 언급한 여러 종류의 취약성으로 인해 사이버 보안 위험 수준이 높아졌다. 학생과 교직원이 전 세계에 분산되어 있어 보안 시스템 유지가 불필요해 보일 수 있지만, 온라인 학습 증가로 인한 새로운 위협의 증가로 사이버 보안 시스템을 유지해야 한다.

■ 팬데믹 시대의 보안 위험

 팬데믹이 시작되기 전, 오레곤 Mt. Hood Community College의 교직원들은 주로 대학에서 제공하는 사무기기들을 사용했지만, 코로나19 발생 이후 대부분의 직원이 집에서 일하기 시작하면서 더 많은 개인용 노트북, 태블릿, 전화를 사용하여 업무를 수행해야 했다. 직원들은 원격 작업으로 전환하는 동안 가상 사설망(VPN) 연결을 통해 대학의 내부 시스템에 접근해야 했기 때문에 많은 어려움을 겪었다.

 대학 네트워크에 대한 가장 큰 위험 중 두 가지는 보안이 되지 않는 와이파이 연결과 로그인 정보를 도난당하기 쉬운 관리 시스템이다. VPN 사용은 보안 연결의 필요성을 해결했지만, 안전한 로그인 설정을 하는 것이 더 어려웠다. Mt. Hood Community College는 직원들에게는 새로운 다단계 인증 솔루션을 출시했다. 직원들은 로그인을 하려면 암호와 문자 메시지(SMS)를 통해 전달된 코드 등의 두 가지 이상의 정보를 입력해야 했다.

 또한 대학교들은 Windows XP 또는 Windows 7과 같은 패치 및 업데이트가 지원되지 않는 소프트웨어와 운영 체제의 사용으로 인해 보안이 더 취약해졌으며, 이는 랜섬웨어 공격의 원인이 되고 있다. 최근 보고서에 따르면 고등교육 기관에 대한 랜섬웨어 공격은 2019년~2020년 기간 동안 두 배로 증가하여 평균 447,000 달러의 손실이 발생했다. 이 보고서는 랜섬웨어 공격이 대학의 가장 큰 사이버 위협라고 경고했다.

 대부분의 랜섬웨어 공격은 피싱으로 시작된다. 피싱은 범죄자가 사용자의 이메일, SMS 및 소셜미디어를 통해 악성 링크를 보내고, 사용자가 링크를 클릭하거나 피싱 이메일의 첨부 파일을 열면 악성소프트웨어가 다운로드 되거나 로그인 정보가 노출된다.

 최근 몇 년 동안 대학교들은 집중적으로 데이터 유출을 겪었다. 팬데믹 이후 시작된 원격교육 등, 학습 및 일상 업무에 사용된 기술들은 사이버 범죄자들에게 새로운 기회를 열어주었고, 학교들은 사이버 공격에 더욱 취약해졌다. 원격학습과 원격업무의 보편화는, 보안이 되지 않은 네트워크를 통해 민감한 정보가 노출되거나, 권한이 없는 사람들이 민감한 정보를 공유할 수 있는 계기가 됐다. 데이터 유출은 악의를 가진 외부인에 의해서만 발생하는 것이 아니라, 암호화되지 않은 이메일로 학생 기록이 포함된 스프레드시트를 전송하는 등 개인정보 보안 규칙을 위반하는 내부자에 의해 발생하기도 한다.

■ 사이버 공격의 위협을 감소시키는 방법

사이버 공격은 대학과 개인정보가 노출될 수 있는 학생과 교직원들에게 많은 손실을 가져온다. 이에 전문가들은 대학이 해커의 공격에 대응하는 데 도움이 되는 몇 가지 조언을 제공했다. 

▶ 대학은 개인정보 노출 등 보안사고 발생에 대한 책임을 져야하며, 대학교 총장과 이사회가 관심을 갖고 사이버 보안과 위험에 대해 관리해야 한다.

▶ IT 예산은 소프트웨어, 하드웨어 및 네트워크 업그레이드를 지속적으로 고려하여 편성해야 한다.

▶ 학교 네트워크 원격 접속에 대한 엄격한 보안 조치가 이루어지도록 해야 한다. 해커들은 약간의 틈만 발생해도 바로 침투할 위험이 있기 때문에 가상의 보안 네트워크를 사용하는 것도 한 방법이 될 수 있다. 

▶ 서로 연결되지 않은 대학교 인트라넷으로 인해 한 사람이 여러 개의 ID를 갖게 된다. ID 수를 줄이기 위해 네트워크 통합을 고려하고 ID와 접근관리 시스템을 구축해야 한다. 

▶ 가능하다면 모든 네트워크 연결에 로그인 시 두 가지 이상의 신분 정보를 요구하는 다단계 인증 시스템을 사용하는 것이 좋다. 이를 통해 보안을 강화해야 한다. 사용자 이름과 비밀번호에만 의존하는 것은 충분치 않을 수 있다.

▶ IT 및 보안 담당자들이 보유하고 있는 정보의 위치, 이동 방법 등 내부 데이터를 더 잘 이해할 수 있게 해주는 정보관리 프로그램을 사용해야 한다. 정보에 관해 더 많이 알수록 더 잘 보호 할 수 있다.

▶ 인트라넷에 연결되지 않은 데이터 백업 시스템을 설치해야 한다. 3-2-1 백업 전략이 유용하다. 이 전략은 3개의 자료 복사본을 만들어서 2개는 서로 다른 공간에 저장하고, 1개는 복구를 위해 해당 시스템 외에 저장하는 전략이다. 더불어 자료를 빠르게 복구하는 방식을 연습할 필요가 있다. 

▶ 민감한 사이트에 접근할 수 있는, 즉 보안 권한이 높은 인원수를 줄여야 한다. 

▶ 대부분의 학생들은 컴퓨터와 함께 자랐으며 개인정보 보호 및 보안문제에 민감하지 않을 수 있다. 모든 학생은 물론 교직원에게 보안의 중요성을 인식시키기 위한 교육이 필요하다. 예를 들어, 학생 및 교직원이 개인정보 사기를 위한 피싱(phishing) 이메일을 클릭하지 않도록 교육해야 한다.

* 출처1: 한국교육학술정보원 2021 디지털 교육 글로벌 동향 2021년 제5호(통권149호)
* 원문1: “Shift online exposed and expanded college cybersecurity vulnerabilities”
https://www.highereddive.com/news/shift-online-exposed-and-expanded-college-cybersecurity-vulnerabilities/597451/ (Higher Ed Dive, 2021.03.31)
* 출처2: 교육정책네트워크 웹진_ 해외교육동향 제398호(2021.04.28.)
* 원문2: “Cyberattacks Are Spiking. Colleges Are Fighting Back”
https://www.chronicle.com/article/cyberattacks-are-spiking-colleges-are-fighting-back (The Chronicle of Higher Education, 2021.04.14)