프루프포인트, 2023 피싱 현황 보고서 발표

프루프포인트가 피싱 현황(State of the Phish) 보고서를 발표했다. 올해로 9년째 발간되고 있는 이번 보고서에 따르면 사이버 공격자들이 새로운 방법과 기존에 사용된 방법을 모두 사용해 기관, 기업 등 다양한 조직에 사이버 위협을 가하고 있다.
 
올해 보고서는 작년에 전송된 1,800만 건 이상의 최종 사용자 보고 이메일과 1억 3,500만 건의 피싱 공격 시뮬레이션을 포함하는 프루프포인트의 원격 측정을 기반으로 작성되었다. 또한 이 보고서는 한국을 포함해 15개국에서 7,500명의 직원과 1,050명의 IT 보안 전문가의 인식을 조사해 실제 공격 환경이 갖춰지는 보안 인식과 사이버 보안의 놀라운 격차를 보여줬다.

연구 결과에 따르면 지난 1년 동안 위협 행위자는 더욱 복잡한 이메일 공격을 시도했다. 매일 수십만 개의 전화 지향적 공격(이하 TOAD) 전송 및 다중 인증(MFA) 우회 피싱 메시지를 유포해 거의 모든 조직을 위협했다. TOAD는 이메일을 통해 수신자가 가짜 ‘콜 센터’를 통해 위협 행위자와 전화로 직접 대화를 시작하도록 유도하며, 2021년 말 첫 등장 이후 공격 건수가 꾸준히 증가하고 있다.

지난해 글로벌 조직의 3/4이 지난해 BEC 공격 시도를 보고했다. 또한 조직의 76%가 지난해 랜섬웨어 공격 시도를 경험했으며 64%는 감염되었다. 랜섬웨어에 감염된 조직 중 관련 비용(몸값)을 지불한 조직은 63%에 불과했다. 랜섬웨어의 영향을 받은 조직 중 압도적 다수(90%)가 랜섬웨어 공격에 대비한 사이버 보험을 보유하고 있었고 대부분의 보험사는 몸값의 일부 또는 전체(82%)를 지불했다.

프루프포인트가 전 세계 고객 데이터를 살펴본 결과, 작년 브랜드 남용 관련 위협 캠페인이 거의 1,600건에 달했는데, 이러한 브랜드 사칭 공격에도 직원 인식 조사 결과 직원 거의 절반(44%)이 익숙한 브랜드가 포함된 이메일이 안전하다고 생각하고 63%는 이메일 주소가 항상 해당 브랜드의 웹사이트와 일치한다고 응답한 것으로 나타났다.

팬데믹 이후 경제적 불확실성이 가중되어 지난 2년 동안 직장인 4명 중 1명꼴로 이직 또는 퇴직한 것으로 나타났는데, 이와 같은 고용 시장 추세는 조직이 내부 데이터를 보호하는 것을 더욱 어렵게 했다. 조사에 참여한 조직 65%가 내부자로 인한 데이터 손실을 경험했다고 응답했고 이직자 44%가 회사 데이터를 가지고 나왔다고 인정했다.

위협 행위자의 공격 전술이 고도로 정교해지는 상황에서 대부분 조직의 보안 인식 수준은 낮은 수준에 머물러 있는 것으로 나타났다. 설문 응답자 1/3 이상이 ‘멀웨어’, ‘피싱’ 및 ‘랜섬웨어’의 개념을 잘 모르고 있다고 응답했다. 또한 보안 인식 프로그램을 갖추고 있는 조직의 56%만 전체 직원 대상으로 교육하고 35%만이 피싱 시뮬레이션을 수행했다.

한편, 이번 리포트에는 작년 한국 시장에 대한 조사도 포함됐다. 연구 결과에 따르면, 국내 조직의 52%가 작년에 BEC 공격을 경험했고, 그 결과 15%가 직접적인 금전적 손실을 봤다. 또한 조직의 72%가 작년에 랜섬웨어 공격을 경험했으며, 48%가 감염되었다. 랜섬웨어에 감염된 조직 중 관련 비용(몸값)을 지불한 조직은 58%에 불과했다. 랜섬웨어의 영향을 받은 조직 중 다수(82%)가 랜섬웨어 공격에 대비한 사이버 보험을 보유하고 있었고 대부분의 보험사는 몸값의 일부 또는 전체(74%)를 지불했다.

한국은 브랜드 남용 위협에도 노출되어 있었다. 설문의 응한 직원의 38%는 익숙한 브랜드가 포함된 이메일이 안전하다고 생각하고 64%는 이메일 주소가 항상 해당 브랜드의 웹사이트와 일치한다고 생각한다고 답했다.

내부자 위협 관련 조사에서는 한국 직장인 17%가 작년에 이직했는데 이직자 중 41%가 회사 데이터를 가지고 나갔다고 응답했다.

또한 한국 조직도 다른 국가처럼 보안 인식이 낮음이 밝혀졌다. ‘피싱’, ‘랜섬웨어’ 및 ‘멀웨어’의 정의를 내릴 수 있는 사람은 각각 65%, 50%, 48%였고, 보안 인식 프로그램을 실시하고 있는 한국 조직의 66%가 전체 직원을 교육하고 30%만이 피싱 시뮬레이션을 수행하는 것으로 나타났다.

프루프포인트 라이언 칼렘버 사이버 보안 전략 담당 부사장은 “기존의 피싱은 여전히 성공적이지만 많은 위협 행위자들이 다중 인증을 우회하는 전화 지향적 공격 전송 및 AitM(adversary-in-the-middle) 피싱 프록시와 같은 새로운 기술로 전환했다”며, “또한 정교한 멀티 터치 피싱 캠페인이 눈에 띄게 증가하는 것을 보았다”라고 말했다.

프루프포인트 코리아 이석호 대표는 “새로운 사이버 위협에 대응하기 위해 조직 내 보안 인식 프로그램을 강화하고 전 직원이 적극적으로 프로그램에 참여해 강력한 보안 문화를 구축하는 것이 매우 중요하다”라고 밝혔다. ciokr@idg.co.kr