"중소기업 10곳 중 9곳은 털렸다"…금전 피해·데이터 손실까지
카스퍼스키, 글로벌 조사 결과 발표
[파이낸셜뉴스] 전 세계 중소중견기업의 정보기술(IT)·보안 담당자 10명 중 9명가량이 최근 1년간 사이버 사고를 경험한 것으로 나타났다. 공격에 따른 재정적 손실뿐 아니라 고객정보 유출과 데이터 영구 손실 등 피해가 발생하면서 중소중견기업의 보안 대응 역량 강화가 과제로 떠올랐다.
글로벌 사이버 보안 기업 카스퍼스키는 중소중견기업의 사이버 사고 피해와 공격 유형 등을 분석한 글로벌 조사 결과를 20일 발표했다.
조사에 따르면 직원 수 500명 미만 기업의 IT 및 IT 보안 담당자 중 86%가 지난 12개월 동안 최소 한 차례 사이버 사고를 경험했다고 답했다. 주요 위협으로는 △피싱 △소프트웨어 취약점 악용 △악성코드 △랜섬웨어 △AI 취약점을 겨냥한 공격 등이 꼽혔다.
사이버 사고로 인한 피해 유형은 재정적 손실이 22%로 가장 많았다. 고객 데이터 도난과 온라인 서비스 중단, IT 인프라 통제력 상실, 업무 프로세스 중단 등도 각각 응답 기업의 약 20%에서 발생했다. 특히 16%는 복구할 수 없는 데이터 손실을, 13%는 기업 자산에 회복 불가능한 피해를 경험한 것으로 조사됐다.
공격 대상이 된 정보 중에서는 고객 데이터가 32%로 가장 높은 비중을 차지했다. 금융 관련 자격 증명과 법률 문서 등 민감한 내부 정보가 28%, 직원 자격 증명이 25%, 기업의 사업 전략이 23%로 뒤를 이었다.
부서별로는 IT 부서와 IT 보안 부서가 주요 표적이었다. IT 부서가 공격 대상이 된 비율은 50%, IT 보안 부서는 46%에 달했다. 회계·재무 부서도 24%를 기록했다. 한 차례의 사고에서 평균 3개 부서가 동시에 침해된 것으로 나타났다.
사고 이후 기업들이 가장 많이 도입한 대응 조치는 IT 보안 모니터링 솔루션(24%)이었다. 제3자 규정 준수 요건 강화와 자격 증명 관리 개선이 각각 23%로 뒤를 이었다. 직원 기기 보안 소프트웨어 도입과 IT 담당자 전문 교육에 투자한 기업도 22%로 조사됐다.
이효은 카스퍼스키 한국지사장은 "중소중견기업을 겨냥한 공격은 더 이상 랜섬웨어를 통한 금전적 요구에만 국한되지 않으며, 공격자들은 고객 및 기업 내부의 민감한 데이터를 탈취하는 데에도 집중하고 있다"고 말했다.
이어 "기업은 개별적인 보안 조치에 의존하기보다 각 기업의 규모에 맞는 보안 체계를 구축하고, 기술적 방어와 접근 제어, 직원 대상 보안 인식 교육을 함께 적용해 사이버 사고로 인한 중대한 위험을 완화해야 한다"고 강조했다.
[email protected] 최혜림 기자
