이메일 보안 솔루션들도 잡지 못하는 피싱 이메일들이 있다. 이런 메일들은 직원들의 보관함에 저장되는데, 삭제되기까지 걸리는 시간이 3일 이상이라고 한다. 그리고 이 3일 동안 메일 수신자의 3%가 공격자들에게 속아 넘어간다.
[보안뉴스 문가용 기자] 기업이 피싱 이메일을 탐지하고 삭제하는 데 걸리는 평균 시간은 3일 이상이라는 연구 결과가 발표됐다. 여기서 말하는 피싱 이메일은, 이메일 보안 솔루션을 통과해 직원들의 메일함에 도달하는 데 성공한 것들을 말한다. 즉 많은 임직원들이 피싱 이 메일을 메일함에 3일 이상 보관하고 있다는 뜻이 된다.
보안 업체 바라쿠다 네트워크(Barracuda Network)가 최근 조사한 바에 따르면 “평균 1000명 이상의 임직원을 보유한 규모의 기업들의 경우 한 달 15건 정도의 피싱 이메일이 보안 솔루션을 통과해 메일함에 다다른다”고 한다. 그리고 이런 이메일을 직접 받게 되는 임직원은 건당 평균 10명이라는 것도 조사됐다.
바라쿠다의 부회장인 마이크 플러튼(Mike Flouton)은 “기업의 보안 솔루션을 통과하는 피싱 이메일들은 보통 고도의 표적 공격의 일환으로 만들어진 것일 가능성이 높다”고 설명한다. “그렇기 때문에 피싱 공격 한 건 당 10명의 사용자들이 악성 메일을 받게 된다는 건, 이 10명이 공격자의 1차 표적일 가능성이 높다는 뜻이 됩니다. 요즘 보안 솔루션들 중 마구잡이로 살포하는 피싱 메일을 못 잡아내는 건 거의 없다고 볼 수 있습니다.”
피싱 공격은 ‘최초 침투’를 성공시키려고 하는 모든 사이버 공격자들에게 가장 선호되는 공격 방법이다. 그럴듯한 메일을 피해자에게 보냄으로써, 메일 내 첨부된 악성 링크를 클릭하게 하거나 악성 파일을 열도록 만들고, 이를 통해 굳게 닫혀진 네트워크의 문을 여는 것이다. 버라이즌(Verizon)이 발표한 2021년 데이터 침해 수사 보고서에도 최초 침투를 위해 공격자들이 가장 많이 사용하는 방법이 바로 피싱이라고 나온다.
이번 바라쿠다의 조사를 통해 피싱 이메일을 받게 되는 임직원들 중 공격자들의 의도에 넘어가는 사람이 3%라는 사실이 드러나기도 했다. 이런 사람들은 악성 이메일이 도착하고서 평균 16분 내외에 악성 링크를 클릭하거나 악성 문서를 연다고 한다. 악성 메일이 사내 임직원들에게 도착했을 때 보안 팀이 이를 발견하는 데 걸리는 시간은 평균 83시간인 것으로 조사됐는데, 3%의 사용자가 이미 공격에 당하고서 한참 뒤의 일이라는 걸 알 수 있다.
“악성 링크를 클릭하기까지 걸리는 시간은 16분인데, 보안 팀이 악성 메일을 발견하는 데 걸리는 시간은 83시간이라니, 상당히 대비가 되죠. 즉 피싱 공격의 방어에는 사용자들이 감당해야 하는 몫이 있다는 겁니다. 특히 보안 팀에 피싱 공격을 알리는 측면에서 보완이 필요해 보입니다. 피싱 공격을 보안 팀에 보고하는 경우는 24%에 불과하고, 심지어 정확도도 낮아 보안 팀의 시간을 낭비하게 하는 요인이 되기도 합니다.” 플러튼의 설명이다.
플러튼은 “보안 인식 훈련을 통해 보안 팀에 보다 정확한 보고를 하기만 해도 큰 도움이 된다”고 권고한다. 즉 보안 인식을 높인다는 막연한 목표만으로 교육 프로그램을 진행하는 게 아니라, 피싱 사건을 보다 정확히 제 때 보고하는 것만 훈련해도 어느 정도 방어가 된다는 것이다. “교육의 목표를 구체적이면서 좁게 잡았을 때 그 효과는 73%까지 올라간다고 조사되었습니다. 구체적인 목적이 있을 때 시뮬레이션과 분석, 평가가 쉬워지니까요.”
플러튼은 “실제 현실 세계에서 발생하는 피싱 공격을 시뮬레이션 하는 것이 효과적”이라고 말한다. “하지만 통신사 직원들을 대상으로 한 교육에서, 석유 회사가 겪을 법한 공격을 시뮬레이션 하는 건 큰 효과를 발휘하지 못합니다. 교육을 담당하는 사람은, 자기 조직에서 나타날 가능성이 높은 유형의 공격이 무엇인지 조사해 구현하는 데 좀 더 신경을 써야 합니다. 최근에는 오피스 365를 활용하거나 노리는 공격이 많으니 그런 부분에 집중해도 교육 효과가 좋습니다.”
플러튼은 “지속적인 교육을 진행하는 것도 중요하다”고 강조한다. “아무리 적절한 내용을 다루고, 아무리 구체적으로 목표를 잡아도, 한두 번 만에 목적한 바를 이룰 수 있는 교육 프로그램은 없습니다. 늘 교육받은 내용을 기억하면서 사는 사람도 없고요. 주기적으로 교육을 진행함으로써 자꾸만 상기시켜 줘야 합니다.”
3줄 요약
1. 표적 공격 늘어나면서 이메일 보안 솔루션 뚫어내는 경우 늘어나고 있음.
2. 그런 악성 이메일이 보관함에서 사라지기까지 걸리는 시간은 평균 3일 이상.
3. 그런 악성 이메일 공격을 보안 팀이 탐지하는 데 걸리는 시간은 평균 83시간.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 기업이 피싱 이메일을 탐지하고 삭제하는 데 걸리는 평균 시간은 3일 이상이라는 연구 결과가 발표됐다. 여기서 말하는 피싱 이메일은, 이메일 보안 솔루션을 통과해 직원들의 메일함에 도달하는 데 성공한 것들을 말한다. 즉 많은 임직원들이 피싱 이 메일을 메일함에 3일 이상 보관하고 있다는 뜻이 된다.
[이미지 = Pixabay]
보안 업체 바라쿠다 네트워크(Barracuda Network)가 최근 조사한 바에 따르면 “평균 1000명 이상의 임직원을 보유한 규모의 기업들의 경우 한 달 15건 정도의 피싱 이메일이 보안 솔루션을 통과해 메일함에 다다른다”고 한다. 그리고 이런 이메일을 직접 받게 되는 임직원은 건당 평균 10명이라는 것도 조사됐다.
바라쿠다의 부회장인 마이크 플러튼(Mike Flouton)은 “기업의 보안 솔루션을 통과하는 피싱 이메일들은 보통 고도의 표적 공격의 일환으로 만들어진 것일 가능성이 높다”고 설명한다. “그렇기 때문에 피싱 공격 한 건 당 10명의 사용자들이 악성 메일을 받게 된다는 건, 이 10명이 공격자의 1차 표적일 가능성이 높다는 뜻이 됩니다. 요즘 보안 솔루션들 중 마구잡이로 살포하는 피싱 메일을 못 잡아내는 건 거의 없다고 볼 수 있습니다.”
피싱 공격은 ‘최초 침투’를 성공시키려고 하는 모든 사이버 공격자들에게 가장 선호되는 공격 방법이다. 그럴듯한 메일을 피해자에게 보냄으로써, 메일 내 첨부된 악성 링크를 클릭하게 하거나 악성 파일을 열도록 만들고, 이를 통해 굳게 닫혀진 네트워크의 문을 여는 것이다. 버라이즌(Verizon)이 발표한 2021년 데이터 침해 수사 보고서에도 최초 침투를 위해 공격자들이 가장 많이 사용하는 방법이 바로 피싱이라고 나온다.
이번 바라쿠다의 조사를 통해 피싱 이메일을 받게 되는 임직원들 중 공격자들의 의도에 넘어가는 사람이 3%라는 사실이 드러나기도 했다. 이런 사람들은 악성 이메일이 도착하고서 평균 16분 내외에 악성 링크를 클릭하거나 악성 문서를 연다고 한다. 악성 메일이 사내 임직원들에게 도착했을 때 보안 팀이 이를 발견하는 데 걸리는 시간은 평균 83시간인 것으로 조사됐는데, 3%의 사용자가 이미 공격에 당하고서 한참 뒤의 일이라는 걸 알 수 있다.
“악성 링크를 클릭하기까지 걸리는 시간은 16분인데, 보안 팀이 악성 메일을 발견하는 데 걸리는 시간은 83시간이라니, 상당히 대비가 되죠. 즉 피싱 공격의 방어에는 사용자들이 감당해야 하는 몫이 있다는 겁니다. 특히 보안 팀에 피싱 공격을 알리는 측면에서 보완이 필요해 보입니다. 피싱 공격을 보안 팀에 보고하는 경우는 24%에 불과하고, 심지어 정확도도 낮아 보안 팀의 시간을 낭비하게 하는 요인이 되기도 합니다.” 플러튼의 설명이다.
플러튼은 “보안 인식 훈련을 통해 보안 팀에 보다 정확한 보고를 하기만 해도 큰 도움이 된다”고 권고한다. 즉 보안 인식을 높인다는 막연한 목표만으로 교육 프로그램을 진행하는 게 아니라, 피싱 사건을 보다 정확히 제 때 보고하는 것만 훈련해도 어느 정도 방어가 된다는 것이다. “교육의 목표를 구체적이면서 좁게 잡았을 때 그 효과는 73%까지 올라간다고 조사되었습니다. 구체적인 목적이 있을 때 시뮬레이션과 분석, 평가가 쉬워지니까요.”
플러튼은 “실제 현실 세계에서 발생하는 피싱 공격을 시뮬레이션 하는 것이 효과적”이라고 말한다. “하지만 통신사 직원들을 대상으로 한 교육에서, 석유 회사가 겪을 법한 공격을 시뮬레이션 하는 건 큰 효과를 발휘하지 못합니다. 교육을 담당하는 사람은, 자기 조직에서 나타날 가능성이 높은 유형의 공격이 무엇인지 조사해 구현하는 데 좀 더 신경을 써야 합니다. 최근에는 오피스 365를 활용하거나 노리는 공격이 많으니 그런 부분에 집중해도 교육 효과가 좋습니다.”
플러튼은 “지속적인 교육을 진행하는 것도 중요하다”고 강조한다. “아무리 적절한 내용을 다루고, 아무리 구체적으로 목표를 잡아도, 한두 번 만에 목적한 바를 이룰 수 있는 교육 프로그램은 없습니다. 늘 교육받은 내용을 기억하면서 사는 사람도 없고요. 주기적으로 교육을 진행함으로써 자꾸만 상기시켜 줘야 합니다.”
3줄 요약
1. 표적 공격 늘어나면서 이메일 보안 솔루션 뚫어내는 경우 늘어나고 있음.
2. 그런 악성 이메일이 보관함에서 사라지기까지 걸리는 시간은 평균 3일 이상.
3. 그런 악성 이메일 공격을 보안 팀이 탐지하는 데 걸리는 시간은 평균 83시간.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
