피해액 1.8兆… 4년새 18배 늘어
개인·기업과 거래가능 주요 타깃
사용자계정 무작위 대입 로그인
추가정보 빼내 금전적이익 노려
"개인정보 보호체계 공고히 해야"
개인·기업과 거래가능 주요 타깃
사용자계정 무작위 대입 로그인
추가정보 빼내 금전적이익 노려
"개인정보 보호체계 공고히 해야"
#동창회 등의 홈페이지를 제작 및 관리하는 A사는 얼마 전 387개 단체 회원의 개인정보가 빠져나가는 해킹 공격을 당했다. A사는 해커로부터 "가상화폐 계좌로 돈을 보내지 않으면 개인정보를 유출하겠다"는 내용의 협박 메일까지 받았다. A사는 해킹 피해를 인지하고 관련 기관에 해킹 사실을 알리는 한편 경찰에 수사를 의뢰했다.
최근 개인정보를 고리로 금전적 이익을 노리는 사이버 공격이 급증하고 있다. 다양한 종류의 온라인 서비스가 생겨나며 정보주체의 개인정보 제공이 늘어나자 이를 악용해 금전적 이익을 취하려고 하는 해커들이 활개를 치고 있는 것이다.
18일 사단법인 한국랜섬웨어침해대응센터는 랜섬웨어 공격으로 인한 피해액이 2015년 1000억원 규모에서 점차 증가해 지난해 1조8000억원에 달하는 것으로 조사됐다고 발표했다. 개인정보가 4차 산업의 핵심 동력으로 자리 잡은 상황에서 개인정보는 해커들에게 좋은 먹잇감일 수밖에 없다. 특히 랜섬웨어, 암호화폐의 등장으로 개인이나 기업과 직접 거래가 가능해지면서 개인정보는 주요 타깃이 되고 있는 실정이다.
김태형 SK인포섹 EQST(이큐스트)담당은 "개인정보는 해커들이 가장 선호하는 공격의 수단이자 목표"라며 "이미 유출된 개인정보만을 갖고도 악성메일을 보내 가성비 높은 공격 성과를 얻을 수 있다"고 설명했다.
개인정보를 이용해 금전적 이익을 노리는 해커들은 불특정 다수를 대상으로 악성메일을 보내거나 '크리덴셜 스터핑' 공격 방식을 주로 사용한다. 크리덴셜 스터핑은 유출된 사용자 계정(아이디, 비밀번호)을 다른 웹사이트나 애플리케이션에 무작위로 대입해 로그인한 뒤 추가 정보를 빼가는 공격 수법이다. SK인포섹에 따르면 올해 상반기에 발생한 해킹 공격, 약 44만5000건 중에서 40%가 크리덴셜스터핑에 의한 것으로 집계됐다.
기존의 해킹 공격이 기업 시스템의 취약점을 분석하거나 새로운 악성코드를 만드는 것에 비해, 크리덴셜 스터핑 공격기법은 시간과 비용이 적게 든다. 특히 정상적인 경로로 침입해 쉽게 발각되지 않는 것은 물론 내부에 깊숙이 침입해 더 큰 피해를 입힐 수 있다.
개인정보의 중요성은 데이터 경제 시대가 도래하고, 특히 코로나19 이후 디지털 전환이 가속화되면서 더 강조되고 있다. 하지만 개인정보 보호 체계는 아직도 미흡한 실정이다. 개인정보보호위원회와 행정안전부가 발표한 '2019 개인정보보호 실태조사'를 살펴보면, 지난 한 해 동안 국민 2명 중 1명은 개인정보 오남용이나 유출과 같은 침해를 받은 경험이 있는 것으로 확인됐다.
보안 전문가들은 개인정보를 활용하는 것도 중요하지만 이에 앞서 개인정보가 해커들의 공격 수단이 되지 않도록 보호 체계부터 공고히 해야 한다고 지적한다. 개인정보보호와 관련한 정책의 수립·조정, 개인정보 보호 실태점검 및 침해조사, 개인정보 침해 모니터링 및 상황관리, 과징금·과태료 부과 등의 행정처분은 물론 AI(인공지능)·IoT(사물인터넷) 등 신기술·융복합 관련 개인정보 보호 정책, 가명처리 정책 등의 산적한 과제를 풀어내야 한다는 것이다.
보안 업계 관계자는 "개인정보와 관련된 법률은 관련 산업에 따라 이해관계가 다르고 국가 간에 법률이 상이한 점도 있어 보호와 활용 사이에서 균형을 잃지 않는 것이 중요하다"면서 "데이터 경제의 성과가 결코 개인정보 활용에만 있는 것은 아니라는 점을 명심해야 한다"고 말했다.
윤선영기자 sunnyday72@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
