기업 해킹시도 하루 1만건 넘어 백신업체도 당하는 경우 많아

서울 구로구에서 정보기술(IT) 회사에 다니는 회사원 노모(27) 씨는 얼마 전 황당한 일을 겪었다. 자신의 메일 주소로 회사 전체에 스팸메일이 발송된 것이다. 심지어 스팸메일을 열어본 직원의 컴퓨터가 컴퓨터 바이러스에 감염되면서 큰 소동까지 벌어졌다. 바이러스에 감염된 컴퓨터에서 업무기밀이 유출된 흔적도 나왔다. 조사 결과, 회사 내부 직원만 대상으로 한 일명 ‘스피어피싱’에 노 씨가 걸려들었던 것으로 밝혀졌다.

이처럼 회사 기밀자료를 유출하거나 전산망을 위해 특정 대상을 지정해 공격하는 스피어피싱 피해 사례가 늘고 있다. 불특정 다수를 대상으로 한 기존 사이버테러와 달리 특정 대상을 집중 공격하기 때문에 피해도 크고 미리 발견하기도 어려워 문제가 되고 있다.

“10만원 주면 해킹” 광고까지…특정대상 노리는 스피어피싱에 속수무책
특정 대상을 지정해 공격하는 스피어피싱에 당하는 기업들이 늘고 있어 종합적인 보안대책이 요구된다. 사진은 해킹 이미지.

23일 국정원 국가사이버안전센터에 따르면 지난 3년간 공공기관만을 노린 사이버테러 위협은 지난 3년 동안 4만 건에 이른다. 일반 기업을 대상으로 한 사이버경제범죄도 꾸준히 증가 중이다. 경찰청에 따르면 사이버테러로 인한 경제범죄도 1년 새 20.1% 늘어나 지난해에 신고된 피해 건수만 7886건에 달한다.

인터넷에서는 특정 회사만을 위한 해킹을 해주겠다는 외국 업체까지 생겨났다. 말레이시아의 한 전문 해킹 업체는 최근 한국 회사 내부 이메일을 해킹해주겠다는 광고를 내걸기도 했다. 업체는 10만원만 내면 해당 회사의 거래처 직원을 사칭해 악성코드가 포함된 스팸메일을 보낸다. 이들은 회사 직원이 이메일을 열어보는 순간, 악성코드를 이용해 회사 내부 자료를 빼내올 수 있다고 말한다.

스피어피싱은 특정 회사나 개인을 대상으로 하기 때문에 쉽게 알아차리기 어렵다. 회사에서만 쓰는 자료나 거래처 담당자의 이름으로 속이는 경우가 대부분이라 피해자가 의심하지 않는 경우가 많다.

한 보안업체 관계자는 “하루에도 기업 대상 해킹 시도가 많게는 1만 건 넘게 보고되고 있다”며 “스피어피싱의 경우 거래처 사칭 등 준비를 철저히 하기 때문에 발견하기도 쉽지 않고 피해를 보았는지 확인조차 안되는 때도 있다”고 설명했다.

전문가들은 특정 업체만을 지속적으로 노리는 스피어피싱 범죄는 피해도 크고 막기도 어렵기 때문에 평소 보안 강화에 신경써야 한다고 입을 모았다.

이상진 고려대 정보보호대학원장은 “최근 SK컴즈를 대상으로 했던 스피어피싱 범죄도 중국 해커들이 만든 게임업체 전용 악성코드를 이용했다”며 “특정 기업을 위한 전용 악성코드를 만드는 경우가 많아서 백신 업체에서도 인지하지 못하고 당하는 경우가 많다”고 했다. 그는 “보안도 서비스라는 인식이 아직 국내에서는 부족하다”며 “전문 보안업체 등을 이용해 정보보호에 신경써야 피해를 막을 수 있다”고 했다.

유오상 기자/