韓 기업 데이터 유출사고 건당 피해액 41억

[이데일리 김국배 기자] 국내 기업들이 데이터 유출사고로 인해 입는 손실액이 평균 41억원을 웃돈다는 조사 결과가 나왔다.

2일 IBM시큐리티가 발표한 데이터 유출 피해 비용 관련 연구 결과에 따르면 국내 기업은 데이터 유출 사고로 평균 41억1000만원의 손실을 입은 것으로 나타났다. 4년 연속 증가세다. 데이터 건당 피해 금액이 가장 큰 산업은 금융, 서비스, IT의 순이었다.

(사진=IBM 시큐리티)

이번 연구는 전세계 500개 이상의 기업이 경험한 실제 데이터 유출 사례를 심층 분석한 것이다. 조사 대상 기업의 사고당 손실액은 전년보다 약 10% 증가해 424만 달러에 달했다. IBM이 이 조사를 진행해온 지난 17년래 최고치다.

회사 측은 “코로나 기간 동안 기업들은 급격한 변화로 인해 보안 사고를 통제하기 어려워졌으며, 보안 사고 인한 관련 비용도 높아졌다”고 설명했다. 코로나 기간 60%의 조직이 클라우드 기반 활동을 확대하는 등 급격한 변화가 생겼지만 보안 수준이 따라가지 못해 데이터 유출 대응 능력이 저하됐다는 분석이다. 20%의 조직은 원격근무를 데이터 유출 사고 요인 중 하나로 꼽기도 했다.

실제로 원격근무가 데이터 유출 사고 요인에 포함된 경우 피해 금액이 평균 100만달러가 더 많았다. 또 코로나 이후 운영상의 변화가 컸던 의료, 소매, 서비스 분야의 데이터 유출 피해 금액이 크게 증가했다. 의료업계의 유출사고 피해액은 사고당 923만달러로 전년대비 200만달러가 늘었다.

클라우드 전환 프로젝트를 진행하는 도중 사고가 발행한 기업은 평균보다 18.8% 높은 비용을 지출했으나, 클라우드 현대화 전략이 성숙 단계에 있는 기업은 초기 도입 단계에 있는 기업보다 평균 77일 더 빠르게 사고를 감지했다. 하이브리드 클라우드 접근 방식을 구현한 조직(361만달러)은 퍼블릭(480만달러), 프라이빗 클라우드(455만달러)만 쓰는 기업에 비해 데이터 유출 피해액이 낮게 나타났다.

유출 사고의 주요 원인은 사용자 인증 정보 도난이었다. 사고의 44%는 이름, 이메일, 암호 등 고객 개인정보를 포함하고 있었다. 이런 정보의 유출은 공격자가 향후 추가적인 공격에 악용해 악순환이 야기될 수 있다.

국내 사고의 20%도 사용자 인증 정보 도용에서 시작됐다. 그 다음이 클라우드 구성 오류, 피싱 등이었다. 데이터 유출 사고시 피해가 가장 컸던 최초 공격 방법은 비즈니스 이메일 유출로, 피해액은 평균 약 67억6000만원에 이르렀다. 사회공학적 해킹은 약 52억9000만원, 피싱은 약 49억2000만원이었다.