韓 기업 10곳 중 3곳 해킹메일 구분 못해…홈페이지는 90% 뚫렸다

일러스트=이은현

국내 기업 10곳 중 3곳이 해킹메일을 구분하지 못하고 열람한 것으로 나타났다. 이로 인해 이들 중 10%가량은 악성코드 감염에 노출되는 것으로 조사됐다. 또 기업 누리집(홈페이지)을 대상으로 한 해킹에서는 90% 이상이 뚫렸다. 이는 모두 사이버 공격 상황을 가정한 모의훈련 상황으로, 기업들의 주기적인 사이버 위협 대응이 필요하다는 지적이다.

과학기술정보통신부와 한국인터넷진흥원은 실제 사이버 공격 상황을 가정한 2022년 상반기 사이버 위기 대응 모의훈련을 실시하고 결과를 30일 발표했다.

이번 모의훈련에는 전체 326개 기업, 13만3313명이 참여했다. 지난 5월 16일부터 3주 동안 참여 기업과 임직원을 대상으로 해킹메일에 대한 대응 점검, 디도스(DDoS) 공격 및 복구 점검, 홈페이지 대상 모의침투 등으로 진행됐다.

/과학기술정보통신부

해킹메일 훈련은 313개사 임직원을 대상으로 내부 보안담당 또는 업체에서 발송한 것처럼 위장한 해킹메일을 발송하는 식으로 진행됐다. 이를 열람하면 악성코드 감염을 유도하는 방식이다.

메일 열람률은 30.2%로, 전년 하반기(16.7%)보다 13.5%P(포인트) 증가한 것으로 나타났다. 같은 기간 감염률 역시 11.8%를 기록해 6.4%P 뛰었다. 다만 훈련 재참여 기업의 감염률은 9.2%로 신규 참여기업(17.8%)의 절반 수준으로 나타났다. 과기정통부 측은 “훈련 반복을 통해 대응능력이 향상됨을 확인할 수 있었다”라고 평가했다.

디도스 훈련은 64개사 기업 홈페이지를 대상으로 실제 디도스 공격을 수행해 이에 대한 기업별 탐지시간과 대응시간을 측정했다. 평균 디도스 공격 탐지시간은 11분, 대응시간은 22분으로 나타났다.

디도스 훈련에 재참여 기업은 처음 참여한 기업보다 공격 탐지에 약 6분 더 빨랐다. 또 대기업·중견기업이 중소기업보다 4분이 더 빠른 것으로 조사됐다. 디도스 훈련 반복의 중요성과 중소기업이 사이버 공격에 대한 대응역량을 강화할 필요가 있는 것으로 분석됐다.

화이트해커가 45개 기업 홈페이지를 대상으로 주요 해킹사례에서 사용되는 공격기법으로 실제와 같이 시도한 결과, 41개 홈페이지에서 취약점이 발견됐다. 91%에 달하는 비율이다.

이에 각사 보안담당자는 그동안 알지 못했던 취약점을 제거해 해킹위협을 미연에 방지했고, 홈페이지에서 사용 중인 상용 솔루션의 취약점도 찾아 개발사에 공유했다.

과기정통부는 하반기 해킹메일 훈련뿐 아니라 기업이 디도스 공격 대응, 웹 취약점 점검도 언제든 직접 가능하도록 훈련 가능 범위를 확대해 제공할 방침이다.

김정삼 과기정통부 정보보호네트워크정책관은 “최근 기업의 특화된 기술정보를 훔치기 위한 해킹메일, 취약한 시스템 환경을 노린 사이버공격이 더욱 정교해지고 있다”라며 “상시 모의훈련 플랫폼을 적극 이용해 사이버위협 대응 능력을 향상할 수 있길 바란다”라고 말했다.

김양혁 기자(present@chosunbiz.com)

<저작권자 ⓒ ChosunBiz.com, 무단전재 및 재배포 금지>