변화하는 사이버 위협 환경: 중소기업이 이제 디지털 사기꾼의 '매력적 표적'인 이유

AGCS의 보험산업 클레임 분석에 따르면, AGCS가 지난 5년 동안 전 세계에서 관여한 3,000건의 사이버 관련 클레임 중 80% 이상이 외부 공격에 기인한다.

최근 몇 년간의 도전적인 손실 환경에 대응하여 보험산업은 기업이 사이버 보안 및 리스크 관리 통제를 개선하도록 장려하기 위해 고객의 사이버 리스크 프로필을 더욱 부지런히 평가하고 보상 영역을 명확히 하고 있다.

AGCS의 경험에 따르면 여전히 많은 기업은 IT 보안 교육의 빈도, 사이버 사고 대응 계획, 그리고 사이버 보안 지배구조를 개선해야 한다. 업무 중단이 발생하면 클레임 비용이 빠르게 증가하므로 사고 대응은 매우 중요하다.

사이버 성숙도가 높은 조직이 사고를 처리할 수 있는 장비를 더 잘 갖추고 있다는 것은 분명하다. 강력한 사이버 성숙도와 보안 메커니즘을 갖춘 회사가 높은 빈도의 "성공적인" 공격을 겪는 것을 보는 것은 일반적이지 않다. 공격을 받은 경우에도 손실은 일반적으로 덜 심각하다.

좋은 소식은 몇 년 전과 지금은 사이버 리스크의 질에 대한 대화가 매우 다르며 따라서 사이버 보험 시장이 성숙함에 따라 훨씬 더 나은 통찰력을 얻고 있다는 것이다. 보험회사는 고객이 변화하는 리스크 환경에 적응하고 보호 수준을 높일 수 있도록 돕는 단순한 리스크 이전 이상의 역할을 한다. 고객과 더 많은 파트너를 맺을수록 앞으로 더 많은 손실이 줄어들 것이다.

점점 더 해커의 매력적 표적이 되고 있는 중소기업

대기업이 사이버 보안을 강화함에 따라 중소기업이 사이버 범죄자에게 더 매력적인 표적이 되고 있지만 모든 부문의 모든 기업이 이제 랜섬웨어 공격에 노출되어 있다.

이제 사이버 공격의 핵심 동인은 섹터에 초점이 맞추어져 있다기보다는 사이버 보안이다. 사이버 범죄자들에게 가장 매력적인 표적은 전통적으로는 대규모 조직이었는데, 합당한 노력으로 가장 많은 금전적 이득을 얻을 수 있었다. 이러한 조직이 보안에 막대한 투자를 함에 따라 점차 중소기업으로 초점이 이동하고 있다. 현재의 진정한 매력적 표적은 통제, 리스크 관리 및 사이버 보안이 약한 중견 기업이다. 그것이 사이버 범죄자들이 가장 좋아하는 것이다.

대기업은 사이버 보안 및 리스크 관리에 투자할 자원이 부족한 중소기업보다 증가하는 위협 환경을 완화할 수 있는 위치에 있다. 중소기업은 디지털화로 인해 리스크가 증가하지만 일반적으로 사이버 보안 및 사업 가치와 연결된 영향 분석을 수행하지 않는다.

더 큰 회사라도 취약점과 사각 지대가 있을 수 있다. 연간 매출이 수 억 달러인 회사가 관련된 AGCS 사이버 보험 클레임의 약 80%에서는 보안에 대한 피보험자의 심각한 결함이 최종 손실을 초래했거나 기여했다.

'딥 페이크' 시대에 증가하는 BEC 사건

데이터 가용성 증가, "딥 페이크" 및 원격 작업으로의 전환으로 인해 업무용 이메일 침해(BEC) 공격이 증가하고 있다.

크고 작은 기업을 대상으로 하는 BEC 공격은 재무적 손실이나 더 큰 피해를 주는 사이버 공격으로 이어지는 영향력 있는 사건이 될 수 있다. BEC 공격은 다양한 형태로 나타날 수 있지만, 일반적으로 범죄자는 피싱 이메일과 사회 공학을 사용하여 사용자 자격 증명을 훔치거나 직원을 속여 무단으로 자금을 이체한다.

BEC는 상대적으로 적은 시간과 자원을 투자하여 큰 수익을 얻을 수 있기 때문에 범죄자에게 매력적이다. FBI에 따르면 2016년 6월에서 2021년 12월 사이에 BEC 사기는 전 세계적으로 총 430억 달러에 달했다. 2019년 7월부터 2021년 12월 사이에만 사기가 65% 급증했다.

BEC 공격은 점점 더 정교해지고 표적이 되며, 이제 범죄자들이 가상회의 플랫폼을 사용하여 피해자에게 자금을 이체하거나 일상적인 작업에 대한 정보를 수집하도록 설득한다. 이러한 공격은 전화나 온라인 회의 중에 고위 경영진을 모방하는 인공지능(AI) 지원 "딥 페이크" 오디오 또는 영상으로 점점 더 보완되고 있다. 작년에 범죄자들은 UAE 은행 직원을 현혹하여 3,500만 달러의 사기성 송금을 하게 하려고 회사 이사의 목소리를 복제하기 위해 "딥 페이크" 오디오를 사용했다.

이중 갈취 랜섬웨어 공격 중에 도난당한 데이터를 범죄자가 공유하는 것도 BEC 공격의 증가를 주도하고 있다. 데이터 유출 사이트는 사이버 범죄자가 특정 유형의 데이터를 검색할 수 있도록 하는 검색 가능한 색인 데이터를 제공하여 사회공학을 향상시킨다. Accenture는 랜섬웨어 누출 사이트를 분석한 후 랜섬웨어 피해자의 약 91%가 후속 데이터 공개를 경험했음을 밝혔다.

사이버 범죄자들은 업무용 BEC에 대한 전략을 계속 발전시킬 것이다. 사이버 보안에 대한 인식이 높아지고 직원들에게 피싱에 대해 교육하려는 노력에도 불구하고 미국에서는 BEC로 인한 클레임이 계속 발생하고 있다. 어쨌든 공격의 위험이 커지고 있다. 점점 더 많은 데이터를 온라인에서 사용할 수 있게 되면서 사회공학 및 피싱에 대한 관심이 높아졌다.

출처: https://www.propertycasualty360.com/2022/11/02/the-changing-cyberthreat-landscape/