기술 지원 사기, 이메일 침해, 랜섬웨어 공격이 가장 많아
기업 내 송금 정책과 기본 보안 위생 강화로 대부분 방어 가능

[보안뉴스 문가용 기자] 2016년 한 해 동안 사이버 범죄는 얼마나 일어났을까? 금액으로 따지면 기술 지원 사기 범죄의 피해자들은 거의 80억원을 잃었다. 아직 한국에서는 생소한 범죄이지만, 기술 지원 사기는 미국에서 가장 중요한 사이버 범죄 유형 중 하나다. 그 외 중요 사이버 범죄에는 기업 이메일 침해(BEC)와 랜섬웨어, 협박 등이 있다고 한다.


이는 FBI가 운영하는 범죄신고센터(IC3)가 발표한 내용이다. IC3는 지난 한 해 총 298728 건의 사이버 범죄 관련 신고를 접수했고, 총 피해액은 1조 3000억원이 넘는다고 한다. 하지만 이는 빙산의 일각일 뿐이다. FBI에 의하면 미국 내에서 사이버 범죄에 당한 사람들 중 신고를 하는 사람은 15%에 불과하기 때문이다. 이는 매우 적은 비율이다.

IC3는 기업체를 겨냥한 이메일 공격(BEC)과 개인을 겨냥한 이메일 공격(EAC)를 하나의 항목으로 보고 있는데, 이는 “두 유형의 공격 방법이 실제 상당히 흡사하기 때문”이라고 한다. BEC 공격의 경우 공격자가 노리는 건 임원진의 이메일 계정이라는 게 거의 유일한 차이라고 한다.

흔히 BEC 공격이라고 하면 임원진을 사칭해 어딘가로 돈을 송금하라는 메일을 재무부 직원에게 보내는 것으로 생각하는데, 최근에는 여기서 더 발전해 회사 공식 이메일 계정을 침해하고 개인식별정보와 세금 관련 정보를 요구하는 식으로까지 나아갔다.

작년 IC3로 들어온 BEC/EAC 관련 신고 건수는 12,005건이며 총 피해액은 3600억원에 달한다고 한다. 2016년에 한해서 가장 큰 피해를 입힌 사이버 범죄 유형이며, 피해자들 대부분은 미국인이라고 한다.

이 통계가 나오기 전, 올해 초부터도 FBI는 BEC 공격에 주의하라는 권고문을 여러 번 발표하기도 했다. 당시 FBI는 BEC 공격 한 건당 평균 피해액이 14천만원이라고 했다. 비슷한 시점에 보안 전문업체인 프루프포인트(Proofpoint) 역시 이메일 계정 침해 공격이 2016년 10월과 12월 사이에 45% 증가했다고 발표했다.

이러한 유형의 공격은 기업체들이 송금 정책을 변경함으로써 쉽게 방어가 가능하다. 이메일만으로 송금 지시가 불가능하도록 사내 규정을 만드는 것이 가장 간단한 해결 방법이다. CEO나 높은 임원진 그 누구도 이메일로 이를 할 수 없도록 못 박아 두어야 한다. 또한 재무를 담당하는 직원들의 보안 교육도 주기적으로 진행할 것이 권고되고 있다.

한국에서 가장 주목받고 있는 사이버 공격 유형인 랜섬웨어는 미국에서도 기승을 부리고 있다. 2016년 한 해 동안 IC3가 접수한 랜섬웨어 관련 신고는 총 2673건이었으며, 총 피해액은 24억원이라고 한다. 최근의 워너크라이 사태 때문에 랜섬웨어가 갑작스럽게 부각된 것처럼 보이지만 이미 2016년 한 해를 한 마디로 표현하면 ‘랜섬웨어’일 정도로 이 공격은 오래전부터 보안 업계를 괴롭혀왔던 것이었다.

“랜섬웨어의 가장 무서운 점은, 공격자가 해킹 기술을 전혀 몰라도 공격이 가능하다는 겁니다.” 보안 업체 IP 아키텍츠(IP Architects)의 회장인 존 피론티(John Pironti)의 설명이다. “범죄의 진입 장벽을 크게 낮췄다는 점에서 랜섬웨어의 영향력은 우리가 아는 것보다 훨씬 크고, 실제로 랜섬웨어의 도입으로 사이버 범죄 시장은 산업화를 겪으며 성장 중에 있지요.”

하지만 랜섬웨어 공격이란 게 고차원적이지 않기 때문에, 방어 역시 ‘기본기’로 할 수 있다는 장점이 있다. 존 피론티는 “접근권 관리, 부지런한 패치, 트래픽 모니터링 등 기본적인 보안 위생 실천으로 랜섬웨어는 대부분 막을 수 있다”고 설명한다. “하지만 지독히도 재미없고, 가시적인 보람도 나타나지 않는 행위들이죠. 그래서 아무도 안 하고, 랜섬웨어에 걸리고 마는 겁니다.”

그 외 보안 전문가들은 “앞으로 PC를 노린 랜섬웨어가 계속해서 증가할 것”이라고 예상한다. 이는 랜섬웨어 공격자들이 기업들을 겨냥하는 방식으로 선회하고 있기 때문이다. “모바일을 금지시키거나 사용 자제시키는 업체들은 있지만 PC 안 쓰는 업체는 없습니다. 개인이 낼 수 있는 돈보다 회사가 낼 수 있는 돈이 더 많기도 하고요. 이 두 조합을 생각해보면 앞으로 PC 환경에서의 랜섬웨어 공격이 늘어날 것이라는 건 뻔한 일입니다.”

기술 지원 사기 범죄도 심각한 수준이다. 범죄자들이 소프트웨어 및 하드웨어 제조사인 것처럼 위장해 고장 난 컴퓨터나 모바일 기기를 고쳐주는 대가를 받는 방식의 범죄다. 고장 난 것을 고쳐주는 것이 핵심인데, 사용자들 몰래 랜섬웨어나 바이러스를 심거나 개인정보를 탈취하는 등 이상 현상을 먼저 일으킨 후 피해자들에게 접근하는 것이다.

기술 지원 사기 범죄와 관련된 신고는 총 10,850건이었으며, 피해액은 78억원에 달한다고 한다. IT 기술을 잘 모르는 55세 이상 장년층과 18~34세의 청소년들이 주 피해 계층이라고 한다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>