가장 큰 침해사고의 요인은 기기 분실, 해킹은 2위

알려진 사고에 대한 분석 : 성급한 결론은 금물

[보안뉴스 문가용] 지난 10년 동안 벌어진 침해사고에 대한 분석 보고서가 나와 흥미를 끌고 있다. 가장 많은 사고 발생 요인은 해커가 아니라 기기 분실이었다. 전체 사고 중 기기 분실로 인한 사고가 41%를 차지한 것. 이 말은 기기 분실이 자주 일어나는 산업에서 유달리 침해사고가 자주 일어났을 거라는 추측을 가능하게 하고, 실제로 그런 면에서 악명 높은 의료업계가 가장 많은 침해사고를 겪은 것으로 나타났다.

보다 정확히 말하면 2005년부터 발생한 모든 침해사고의 26.9%가 의료업계에서 발생했다. 다만 여기서 황급한 결론을 내릴 수는 없는 것이, 이 분석에 집계된 침해사고란 것이 세상에 알려진 것만 포함하고 있기 때문이다. 즉 아무도 모르게 일어난 사건의 규모나 표적에 대해 전혀 정보가 없는 상태에서 이번 통계만을 가지고 의료업계가 제일 취약하다는 결론을 내릴 수는 없다는 것.

하지만 그렇다고 통계에 전혀 의의가 없는 건 아니니 몇 가지 사항을 요약해보면 다음과 같다. 2005년 1월부터 2015년 4월까지 일어난 모든 (알려진) 침해사고 중,

* 41%가 기기 분실로 인해 발생했다

* 25%가 해킹 및 멀웨어로 인해 발생했다

* 17.4%가 의도치 않은 실수로 인해 발생했다(기기 분실 미포함)

* 12%가 내부자로부터 발생했다.

이런 숫자들을 보면서 또 하나 알아두어야 할 것이 있는데, 사고가 일어나는 유형마다 똑같은 종류의 데이터가 유출되는 게 아니라는 것이다. 예를 들어 기기를 잃어버린다고 해서 로그인 정보나 지불카드 정보 등은 유출되지 않았지만 개인식별정보는 거의 100% 확률로 탈취된다. 그러나 이런 속사정 역시 산업마다 조금씩 달라 일반화하기 어렵다.

의료산업과 ID 도난

일단 통계상으로만 보자면 의료업계에서 가장 많은 침해사고가 있었다. 그 다음은 교육(16.8%), 정부(15.9%), 소매업(12.5%)이었다. 의료업계 내에서 사고를 일으킨 요인 중 최고는 60%를 기록한 ‘기기 분실’이었고 정작 해킹에 의한 사고는 7%에 불과했다.

의료업계의 기록은 계속된다. 그 어떤 산업보다 내부자로 인한 유출사고가 제일 많기도 했던 것(사고의 17.5%). 의료업계에서 발생한 아이디 도난의 가장 큰 요인이 바로 이 내부자 유출사고였다(44.2%). 모든 산업을 통틀어 아이디 도난이 가장 많이 일어난 곳 역시 의료업계였다(29.8%).

보고서에 따르면 내부자가 로그인 정보를 훔치는 경우는 그리 흔치 않다. 다만 판매가 가능한 개인식별정보, 의료정보, 금융정보, 지불카드 정보 등은 내부자가 호시탐탐 노리는 표적이었다.

“의료정보를 훔치는 건 2010년부터 유행하기 시작했습니다. 고급의 개인식별정보이면서 금융정보도 종종 함께 엮여 있는 경우가 많거든요. 해커로서는 아주 맛있는 먹이인 거죠. 보다 정확히 말하자면 의료정보를 훔쳤을 때 개인식별정보까지 가져가는 경우는 72.74%입니다. 금융정보까지 함께 탈취되는 건 20.79%이고요.” 이번 보고서를 작성한 트렌드 마이크로의 설명이다.

소매업계와 지불카드

지불카드 정보 도난에 있어서 가장 최악의 시대를 지나온 건 소매업계였다. 전체 지불카드 정보 도난의 47.8%나 차지한 것. 예전에야 물리적인 요소를 개입시켜 해당 정보를 탈취했다면 요즘은 POS를 노린 멀웨어와 해킹 공격이 주요 수단이 되었다. 참고로 타 업계까지 합쳐 전체 지불카드 도난 사고의 54.8%가 멀웨어와 해킹에 당한 것으로 드러났다.

정보의 가치

여전히 가장 도난이 많이 당하는 정보는 개인식별정보다. 하지만 암시장에서의 가치는 점점 떨어지고 있다. 작년에는 한 줄에 4달러였는데 올해는 1달러에 불과하다. 그렇다면 어떤 정보들이 어떤 가격에 매매되고 있을까?

* 모바일 전화기 계정 : 14

* 페이팔/이베이 계정 : 300

* FICO 점수가 높은 사람의 크레딧 리포트 : 25

* 은행 로그인 정보 : 200~500, 계좌 내 잔액 정도에 따라 달라짐

그러나 이 정보 역시 일면일 뿐이다. 정보에 대한 값어치가 시장마다, 때마다 달라지기 때문이다. 트렌드 마이크로에서는 천 명의 고객을 대상으로 정보의 값을 묻는 조사를 실시했는데, 암호가 가장 높은 가격을 기록했지만 75.80 달러에 불과했다. 다음은 의료 및 건강 관련 기록이었는데 이는 59.80 달러를 기록했다. 지불과 관련된 정보는 36.60 달러, 구매 기록은 20.60 달러, 물리적인 위치 기록은 16.10 달러였다.

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>