정교해지는 이메일 피싱 공격…"기업 대부분 보안 인식 수준 낮아"

글로벌 기업 35%만 피싱 시뮬레이션 실시…한국 기업은 30%

[아이뉴스24 김혜경 기자] 대부분의 사이버 공격은 시스템을 겨냥하기 전에 사람을 표적으로 삼는다. 이메일을 활용한 피싱 공격이 대표적이다. 다단계 인증 우회 등 피싱 수법이 정교해지면서 주의가 요구되지만 대부분 기업의 보안 인식 수준은 낮은 것으로 나타났다.

프루프포인트가 최근 15개국의 사이버보안 전문가 1천50명과 직원 7천500명을 대상으로 조사를 실시한 결과 글로벌 기업의 35%만 피싱 공격 시뮬레이션을 수행하는 것으로 조사됐다. [사진=프루프포인트]

9일 글로벌 보안기업 프루프포인트가 최근 15개국의 사이버보안 전문가 1천50명과 직원 7천500명을 대상으로 조사를 실시한 결과 글로벌 기업의 35%만 피싱 공격 시뮬레이션을 수행하는 것으로 조사됐다. 피싱 시뮬레이션은 모의 훈련용 피싱 메일을 만들어 직원에게 발송하는 방식으로 이뤄진다.

전체 직원을 대상으로 보안 인식 강화 교육을 실시하는 곳은 절반 수준에 머물렀다. 응답자의 3분의 1 이상은 멀웨어(악성 소프트웨어)와 피싱, 랜섬웨어의 개념을 잘 모르고 있다고 답했으며 3분의 2는 랜섬웨어와 스미싱, 보이스 피싱을 혼동했다.

프루프 포인트는 보고서를 통해 "2021년과 지난해에 걸쳐 수많은 조직들이 하이브리드 업무 환경을 도입하면서 사이버 범죄자들이 접근할 수 있는 공격 표면이 확대됐다"며 "지난해 직원들의 보안 인식 수준은 2021년과 비슷한 수준으로 나타났고 기업의 최고정보보안책임자(CIS)들은 보안 인식 프로그램을 강화하는 등 조치를 취할 계획이라고 응답했다"고 전했다.

지난해 글로벌 기업이 4분의 3은 비즈니스 이메일 침해(BEC)를 겪었다. 76%는 랜섬웨어 공격을 경험했고, 64%는 실제 감염된 것으로 조사됐다. 몸값을 지불한 곳은 63%로 나타났다.

한국 기업의 보안 인식도 낮은 수준에 머물렀다. 전체 조직의 30%만 피싱 공격 시뮬레이션을 수행했고, 66%만 전체 직원을 대상으로 보안 교육을 실시하는 것으로 집계됐다. 피싱과 랜섬웨어, 멀웨어 정의를 내릴 수 있는 직원은 각각 65%, 50%, 48%로 조사됐다.

국내 조직의 52%는 지난해 BEC 공격을 받았고, 15%는 금전적 손실을 봤다. 72%는 랜섬웨어 공격을 경험했으며 48%가 감염됐다. 이중 몸값은 지불한 곳은 58%다.

라이언 칼렘버 프루프포인트 사이버보안 전략 담당 부사장 "기존 피싱 수법도 여전히 성공률이 높지만 공격자들은 다중 인증을 우회하는 방식 등도 빈번하게 사용하고 있다"며 "지난해 이같은 수법이 눈에 띄게 증가하는 것이 확인됐다"고 전했다.

/김혜경 기자(hkmind9000@inews24.com)

▶네이버 채널에서 '아이뉴스24'를 구독해주세요.

▶재밌는 아이뉴스TV 영상보기▶아이뉴스24 바로가기

[ⓒ 아이뉴스24 무단전재 및 재배포 금지]