이메일 계정 노리는 공격 단연 눈에 띄어
FBI, “빠른 소식 전파를 통한 피해 최소화 위해 IC3 신고 권장”

[보안뉴스 문가용] FBI가 운영하는 인터넷범죄신고센터(Internet Crime Complaint Center, IC3)의 데이터를 종합해 보고서를 발간했다. 미국은 물론 세계 여기저기서 발생하는 각종 사이버 범죄에 대한 신고를 받는 기관에서 지난 1년치 일들을 정리한 것으로 최근 사이버 범죄의 트렌드를 정확하게 꿰뚫어볼 수 있게 해준다. 주요한 몇 가지 사항들을 정리했다.



IC3 보고서
지난 5년 동안 IC3는 매년 3십만 건에 달하는 신고를 접수했다. 피해자들은 세계 각지에 퍼져 있다. 하지만 사법부의 기록과 비교해보면, 인터넷 사기 범죄에 당한 피해자들 중 IC3에 제대로 신고를 하거나 불만 사항을 제기하는 경우는 15%에 불과하다.

2015년, 우리가 잃었던 것들
IC3에 따르면 신고가 들어온 사건들 중 44%가 금전적인 피해와 관련된 것이었다. 이를 전부 합하면 약 10억 달러에 이르고, 신고 건당 약 8천 달러의 손실과 엮여있다는 계산이 가능하다. 2015년 이야기다.

범죄의 지리적 분포도
IC3에 접수된 신고의 80%가 US 영토 내에서 발생한 사건에 관한 것이었다. 특히 캘리포니아 주에서 피해자가 월등히 많이 발생했다. 그 뒤를 이어 플로리다, 텍사스, 뉴욕, 일리노이즈가 차례대로 순위에 올랐다.

최신 유행 범죄 : 업무 이메일 공격
IC3에 의하면 업무 이메일 공격(Business Email Compromise)의 급증이 최근 가장 눈에 띄는 현상이다. 특히 외국과의 무역을 하거나 해외 송금을 주기적으로 하는 기업들이 주요 표적이며, 따라서 표적공격의 형태를 주로 보인다. 또한 굉장히 발전된 공격 기법을 활용한다고 IC3는 보고하고 있다. 소셜 엔지니어링을 통해 공식 업무 이메일 로그인 정보를 탈취하거나 다양한 침입 기술을 활용해 불법적인 송금을 성사시키는 것이 주요 공격 방식이다.

특히 스푸핑된 이메일이나 중간에서 가로챈 팩스나 전화 통신을 통한 피싱 공격이 성행하고 있다. 지난 2년 간 CEO나 CFO인 척 ‘어디어디로 돈을 송금하라’는 업무메일을 사기로 발송해 직원이 아무런 의심 없이 큰 돈을 전송하도록 하는 사기가 급증해왔다. 이런 수법으로만 발생한 피해액이 2015년 한 해 동안 2억 6천 3백만 달러다.

최신 유행 범죄 : 이메일 계정 공격
업무 이메일 공격과 매우 유사한, 이메일 계정 공격(Email Account Compromise) 역시 비슷한 증가세를 보이고 있다. 둘의 차이는 기업을 노리느냐 일반 사용자를 노리느냐 정도다. 이메일 계정 공격으로 2015년 한 해 동안 발생한 피해액은 1천 1백만 달러다.

최신 유행 범죄 ; 랜섬웨어
무인도에서 지난 몇 년을 보낸 게 아니라면 랜섬웨어라는 말은 익히 들어왔을 것이다. 이는 IC3 보고서를 통해서도 확인이 되는 바다. 지난 한 해 동안 IC3에만 접수된 랜섬웨어 관련 사건이 2500건에 달하고, 총 피해액은 1백 6십만 달러에 달한다.

신고, 그 이후
FBI는 “인터넷 상에서 일어나는 범죄들에 당한 피해자라면 제일 먼저 IC3를 떠올리고 신고해야 한다”고 설명한다. 그만큼 IC3가 사이버 범죄에 대해 뭔가를 해줄 수 있다는 건데, 과연 IC3가 하는 일은 무엇일까? FBI는 “일단 접수된 사건에 대해 적임자 혹은 적임부서를 빠르게 배정”하는 역할을 수행하고 있다. 또한 “방대한 신고 건수 및 이전 범죄 기록에 대한 데이터를 보유하고 있기 때문에 빠른 대처가 가능”하고, 무엇보다 “대중들에게 권고 및 경고를 빠르게 전파”할 수 있다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)