지난 한 해 동안 전 세계에서 14억개의 데이터가 유출됐으며, 이는 전년대비 86% 증가한 규모인 것으로 나타났다. 또한 데이터 유출 사고 중 52%는 보고됐을 당시 얼마나 많은 개별 데이터가 침해됐는지 공개되지 않았다.
젬알토가 28일 발표한 ‘데이터 유출 지수(BLI)’에 따르면, 지난해 발생한 데이터 유출 사고는 1792건이었으며, 데이터 유출 사고 중 가장 빈번하게 발생한 유형은 신원도용으로, 전체의 59%에 달했다.
BLI는 데이터 유출 사고를 추적한 뒤, 침해 데이터 개수와 데이터 유형, 유출 소스, 데이터 사용처 및 암호화 여부 등 다층적 기준에 의거해 유출 심각성을 측정하는 글로벌 데이터베이스다.
BLI는 각 유출 사고마다 심각성 점수를 매겨 비교 가능한 순위를 만들었고, 심각한 피해를 끼친 사고와 그렇지 않은 사고를 구분했다(1점부터 10점). BLI가 공개된 데이터 유출 사고를 기준으로 집계에 들어간 2013년부터 지금까지 70억 개 이상의 개별 데이터가 노출된 것으로 나타났다. 이를 환산하자면 매일 300만 개 이상의 데이터, 즉 1초꼴로 44개의 데이터 기록물이 침해되고 있는 것이다.
해킹 쉬운 SNS 노리는 공격자
지난해 미국 온라인 데이트 서비스 기업 ‘어덜트프렌드 파인더’가 해킹을 당해 4억개의 데이터가 침해되는 사고가 발생했으며, 플링, 필리핀 선거관리위원회 역시 대규모 해킹사고를 당했다.
제이슨 하트(Jason Hart) 젬알토 데이터 보안 부문 부사장 겸 최고기술책임자는 “BLI는 최근 1년간 두드러진 사이버 범죄 트렌드 4가지를 보여주고 있다. 해커들은 더 넓은 그물망을 던지고 있고, 쉽게 획득할 수 있는 계정과 신원 정보에서 출발해 고급 정보를 노리고 있다. 금융기관을 겨냥하던 범죄자들이 엔터테인먼트와 소셜미디어 사이트 같은 대규모 데이터베이스에 침투하기 시작한 경향도 뚜렷해졌다. 또한 유출된 데이터를 읽을 수 없게 암호화시켜 돈을 요구한 뒤 실제 입금이 되면 암호를 푸는 방식을 사용하고 있다”고 설명했다.
신원도용 사고 59%로 가장 많아
2016년 가장 많이 발생한 데이터 유출 유형은 신원도용으로, 전체의 59%를 차지했고, 2015년보다 5% 증가한 것으로 나타났다. 두 번째로 빈번했던 유형은 계정 액세스 기반의 유출 공격이었다. 이러한 유형의 데이터 유출 사고는 전년대비 3% 하락했으나, 유출된 기록 개수를 놓고 보면 전체의 54%가 이 유형에 해당했고 전년대비 증가율은 335%에 달했다.
이는 주로 금융기관을 노리던 사이버 범죄의 타깃 트렌드가 더 규모가 크고 더 많은 양의 개인정보가 담긴 데이터베이스로 옮겨가고 있음을 보여준다. 또 주목할 점은 불법방해 카테고리가 101% 증가해 유출된 전체 데이터 개수에서 18%의 비중을 차지하고 2015년 이후로 1474% 증가했다는 사실이다.
데이터 유출의 주요 소스로는 악성 침입자가 전체 유출 사고의 68%를 차지해 2015년보다 13% 증가한 것으로 나타났다. 악성 침입 공격으로 인해 유출된 데이터 개수는 2015년과 비교해 286% 늘어났다. 핵티비스트(Hacktivist)에 의한 데이터 유출 사례는 31% 증가했지만, 전체 유출 사고 중에서는 비중이 3%에 그쳤다.
기술분야 데이터 유출 사고 가장 크게 증가
각 업계 가운데 기술분야의 지난해 데이터 유출 빈도수가 55% 증가해 가장 큰 증가폭을 기록했다. 다만 전체 유출건수 가운데 차지하는 비중은 11%에 불과했다. 기술분야 데이터 유출 빈도수의 80%는 계정 액세스와 신원 도용과 관련된 것이었는데, 이는 지난해보다 28% 늘어났으며 2015년과 비교하면 278% 증가한 수치다.
헬스케어 산업의 경우 전체 데이터 유출 가운데 28%를 차지해 2015년보다 11% 늘어났다. 하지만 유출된 데이터 개수는 2015년 이후 75% 줄어들었다. 교육분야는 2015~2016년 기간 동안 데이터 유출 건수가 5% 늘어났으며 유출 데이터 개수는 78% 감소했다. 정부기관은 지난해 전체 데이터 유출 가운데 15%를 차지했지만 유출 데이터 개수는 2015년보다 27% 늘어났다. 금융 데이터 기업들은 유출 사고 건수가 전체의 12%이며 지난해 건수와 비교해 23% 줄었다.
기타 업종으로 분류된 산업들은 전체 데이터 유출 건수의 13%, 유출된 데이터 개수는 전체의 36%를 차지했다. 지난해보다 데이터 유출 건수는 29% 감소했지만 유출된 데이터 개수는 2015년 이후 300% 급증한 상태다. 이 가운데 소셜미디어와 연예계와 관련된 데이터 유출이 대부분을 차지했다.
“데이터 위치, 액세스한 사람 정확히 파악해야”
지난해의 경우 전체 데이터 유출 건수의 4.2%가 부분, 혹은 전체 암호화된 데이터를 대상으로 발생해 2015년 4%와 비슷한 양상을 보였다. 비밀번호는 암호화가 되어 있으나 다른 정보가 되어있지 않은 경우도 일부 있었다. 그러나 지난해 유출, 도난, 혹은 분실된 데이터 가운데 부분, 혹은 전체가 암호화된 데이터는 전체의 6% 였는데, 2015년에는 이것이 2% 정도였다.
하트 부사장은 “기업들은 데이터 위치와 액세스한 사람을 정확히 파악하고 있어야 개별 데이터 특성에 따른 보안 전략을 수립할 수 있다. 암호화와 인증은 더 이상 베스트 프랙티스를 넘어 필수 사항으로 자리잡았다. 특히 유럽 내 실시를 앞둔 정보보호 통합규제(GPDR), 미국의 각 주와 APAC 내 국가들이 자체적으로 마련하는 유출 공개법을 감안하면 더욱 그렇다. 이런 조치들은 데이터 무결성을 보호하기 위한 것이기도 하므로 정확한 정보에 기반해 올바른 결정을 내려야 기업들은 평판을 유지하고 이익을 보호할 수 있다”고 덧붙였다.
