지난 10년의 기록 : 침해사고 어떻게 일어났나?

가장 큰 침해사고의 요인은 기기 분실, 해킹은 2위

알려진 사고에 대한 분석 : 성급한 결론은 금물

[보안뉴스 문가용] 지난 10년 동안 벌어진 침해사고에 대한 분석 보고서가 나와 흥미를 끌고 있다. 가장 많은 사고 발생 요인은 해커가 아니라 기기 분실이었다. 전체 사고 중 기기 분실로 인한 사고가 41%를 차지한 것. 이 말은 기기 분실이 자주 일어나는 산업에서 유달리 침해사고가 자주 일어났을 거라는 추측을 가능하게 하고, 실제로 그런 면에서 악명 높은 의료업계가 가장 많은 침해사고를 겪은 것으로 나타났다.

▲ 이것도 어떤 의사가 왕진 길에 흘린 것일지도 모른다.

보다 정확히 말하면 2005년부터 발생한 모든 침해사고의 26.9%가 의료업계에서 발생했다. 다만 여기서 황급한 결론을 내릴 수는 없는 것이, 이 분석에 집계된 침해사고란 것이 세상에 알려진 것만 포함하고 있기 때문이다. 즉 아무도 모르게 일어난 사건의 규모나 표적에 대해 전혀 정보가 없는 상태에서 이번 통계만을 가지고 의료업계가 제일 취약하다는 결론을 내릴 수는 없다는 것.

하지만 그렇다고 통계에 전혀 의의가 없는 건 아니니 몇 가지 사항을 요약해보면 다음과 같다. 2005년 1월부터 2015년 4월까지 일어난 모든 (알려진) 침해사고 중,

* 41%가 기기 분실로 인해 발생했다

* 25%가 해킹 및 멀웨어로 인해 발생했다

* 17.4%가 의도치 않은 실수로 인해 발생했다(기기 분실 미포함)

* 12%가 내부자로부터 발생했다.

이런 숫자들을 보면서 또 하나 알아두어야 할 것이 있는데, 사고가 일어나는 유형마다 똑같은 종류의 데이터가 유출되는 게 아니라는 것이다. 예를 들어 기기를 잃어버린다고 해서 로그인 정보나 지불카드 정보 등은 유출되지 않았지만 개인식별정보는 거의 100% 확률로 탈취된다. 그러나 이런 속사정 역시 산업마다 조금씩 달라 일반화하기 어렵다.

의료산업과 ID 도난

일단 통계상으로만 보자면 의료업계에서 가장 많은 침해사고가 있었다. 그 다음은 교육(16.8%), 정부(15.9%), 소매업(12.5%)이었다. 의료업계 내에서 사고를 일으킨 요인 중 최고는 60%를 기록한 ‘기기 분실’이었고 정작 해킹에 의한 사고는 7%에 불과했다.

의료업계의 기록은 계속된다. 그 어떤 산업보다 내부자로 인한 유출사고가 제일 많기도 했던 것(사고의 17.5%). 의료업계에서 발생한 아이디 도난의 가장 큰 요인이 바로 이 내부자 유출사고였다(44.2%). 모든 산업을 통틀어 아이디 도난이 가장 많이 일어난 곳 역시 의료업계였다(29.8%).

보고서에 따르면 내부자가 로그인 정보를 훔치는 경우는 그리 흔치 않다. 다만 판매가 가능한 개인식별정보, 의료정보, 금융정보, 지불카드 정보 등은 내부자가 호시탐탐 노리는 표적이었다.

“의료정보를 훔치는 건 2010년부터 유행하기 시작했습니다. 고급의 개인식별정보이면서 금융정보도 종종 함께 엮여 있는 경우가 많거든요. 해커로서는 아주 맛있는 먹이인 거죠. 보다 정확히 말하자면 의료정보를 훔쳤을 때 개인식별정보까지 가져가는 경우는 72.74%입니다. 금융정보까지 함께 탈취되는 건 20.79%이고요.” 이번 보고서를 작성한 트렌드 마이크로의 설명이다.

소매업계와 지불카드

지불카드 정보 도난에 있어서 가장 최악의 시대를 지나온 건 소매업계였다. 전체 지불카드 정보 도난의 47.8%나 차지한 것. 예전에야 물리적인 요소를 개입시켜 해당 정보를 탈취했다면 요즘은 POS를 노린 멀웨어와 해킹 공격이 주요 수단이 되었다. 참고로 타 업계까지 합쳐 전체 지불카드 도난 사고의 54.8%가 멀웨어와 해킹에 당한 것으로 드러났다.

정보의 가치

여전히 가장 도난이 많이 당하는 정보는 개인식별정보다. 하지만 암시장에서의 가치는 점점 떨어지고 있다. 작년에는 한 줄에 4달러였는데 올해는 1달러에 불과하다. 그렇다면 어떤 정보들이 어떤 가격에 매매되고 있을까?

* 모바일 전화기 계정 : 14

* 페이팔/이베이 계정 : 300

* FICO 점수가 높은 사람의 크레딧 리포트 : 25

* 은행 로그인 정보 : 200~500, 계좌 내 잔액 정도에 따라 달라짐

그러나 이 정보 역시 일면일 뿐이다. 정보에 대한 값어치가 시장마다, 때마다 달라지기 때문이다. 트렌드 마이크로에서는 천 명의 고객을 대상으로 정보의 값을 묻는 조사를 실시했는데, 암호가 가장 높은 가격을 기록했지만 75.80 달러에 불과했다. 다음은 의료 및 건강 관련 기록이었는데 이는 59.80 달러를 기록했다. 지불과 관련된 정보는 36.60 달러, 구매 기록은 20.60 달러, 물리적인 위치 기록은 16.10 달러였다.

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)