취약한 사내 인터넷 보안·신원 도용으로 인한 사고 급증

[산업일보]
지난 상반기 전 세계적으로 918건의 데이터 유출 사고가 발생, 19억 개에 달하는 데이터 기록이 침해된 것으로 나타났다. 이는 지난해 하반기 기록보다 164% 급증한 수치다.

데이터의 대부분은 22건의 대형 데이터 유출 사고 때 유출됐으며, 각 사고별 유출 데이터 개수는 100만 개를 넘는다. 전체 918건 가운데 59% 정도인 500건 이상의 데이터 유출 사고는 유출 데이터 개수가 알려지지 않았거나 집계가 불가능했다.

디지털 보안 기업 젬알토가 공공 데이터 유출에 대한 글로벌 데이터베이스인 Breach Level Index 분석결과, 집계 결과를 공개하기 시작한 2013년 이후 현재까지 90억 개 이상의 데이터 기록이 유출된 것으로 나타났다. 2017년 상반기의 경우 의료기록, 신용카드 혹은 금융 데이터, 개인정보가 하루 1,000만 개 꼴로 유출됐으며, 초단위로 환산하면 1초당 122개 수준이다. 특히 유출 이후 사용이 불가능하게끔 암호화 된 데이터는 전체의 1%에도 미치지 못해 지난해 하반기(4%)보다 감소한 모습을 보였다.

젬알토의 제이슨 하트(Jason Hart) 부사장 겸 최고기술자(데이터 보안)는 IT 컨설턴트 회사인 CGI와 옥스포드 이코노믹스가 Breach Level Index 기록을 활용해 발표한 보고서에를 인용, “조사 대상 기업 가운데 2/3 가량이 유출 사고 이후 주가에 부정적 영향을 받은 것으로 나타났다. 데이터 유출 기업 65개 가운데 한 곳은 사고 발생으로 기업 주주들이 입게 되는 손해 규모가 524억 달러에 달하는 것으로 집계했다”면서 “미국과 유럽 등 각국 규제당국은 데이터 보안 소홀에 대해 금전적 가치로 보상하는 방향으로 자국민의 프라이버시, 데이터 보호를 법으로 명문화하는 추세에 있다. 따라서 데이터 유출이 주가에 미치는 영향은 더 커질 것으로 보인다. 이제 보안은 사후 대책이 아닌, 기업과 소비자들이 사전에 대비하고 기대하는 사안이 됐다”고 밝혔다.

전체 데이터 유출 사고 가운데 악의적 외부 공격이 차지하는 비중이 가장 컸으며, 지난해 상반기보다 23% 증가한 74%를 기록했다. 그러나 유출된 데이터 개수는 전체의 13%에 불과했다. 반면 악의적 내부 공격의 경우 전체 유출 사고 중 8% 정도였지만, 이로 인한 유출 데이터 개수는 지난해 하반기 50만 개였던 것이 올해 상반기에는 2천만 개를 기록해 무려 4천114%나 증가했다.

상반기 발생한 데이터 유출 사고 중 74%가 신원 도용으로 연결됐으며, 이는 지난해 하반기(49%)보다 증가한 수치다. 신원 도용으로 인한 데이터 유출 개수는 255% 급증했다. 가장 눈에 띄는 변화는 유출 데이터의 81%가 불법 행위로 인해 발생했다는 점이다. 그러나 유출 사고 가운데 불법 행위가 차지하는 비중은 1% 남짓에 불과했다. 2016 BLI 보고서에서 드러났던 사용자 계정 공격 급증세는 상반기에 주춤해 46% 감소한 것으로 나타났다.

Breach Level Index에서 집계한 대부분의 업종에서 데이터 유출 개수가 100% 이상 증가하는 모습을 보였다. 교육 분야의 경우 사고 건수는 103%, 유출 데이터 개수는 4,000% 넘게 늘어났다. 이는 중국의 대형 민간 교육 기관들이 외부의 악의적 공격으로 인해 수백만 개에 달하는 데이터를 유출시킨 데 따른 것이다. 헬스케어 분야는 지난해 하반기와 비슷한 양상을 보였으나, 유출된 데이터 개수는 423% 증가했다. 영국 국민보건서비스(NHS)가 상반기에 600만 개가 넘는 데이터를 유출한 여파가 컸다. 엔터테인먼트 분야 역시 지난해 하반기보다 220% 증가했으며 금융서비스, 정부기관 분야도 유출 데이터 개수가 크게 늘었다.

북미지역이 데이터 유출 사고 건수와 유출 데이터 개수 모두 전체의 86% 이상을 차지했는데, 사고 건수는 23%, 유출 데이터 개수는 201% 증가했다. 북미지역은 전통적으로 언론에 공개된 데이터 유출 사고와 데이터 개수가 가장 높은 지역이었으나, 2018년 유럽의 GDPR(통합 개인정보보호 법규), 호주의 프라이버시법(데이터 유출 의무 신고)이 발효되면 이 같은 양상이 바뀔 수도 있다. 현재 유럽은 데이터 유출 사고 가운데 49% 정도를 차지하고 있으며(유출 데이터 개수는 전체의 5%), 이는 지난해 하반기(35%)보다 하락한 수치다.