흔한 데이터 유출 유형 8가지 – 실제 사례 및 영향

데이터 유출이란?

데이터 유출(data breach)은 민감/기밀 정보가 무단 개인에 의해 열람, 복사, 전송, 또는 사용되는 보안 사고입니다. 여기에는 개인식별정보, 개인건강정보, 금융정보, 지적재산, 기업 영업비밀 등이 포함될 수 있습니다.

데이터 유출은 일시적 공포 그 이상입니다: 기업과 소비자에게 다양한 방식으로 해를 끼칠 수 있으며, 이로 인한 비용은 평판을 손상시키고 복구에 시간을 요합니다.

수억, 심지어 수십억 사용자에게 영향을 미치는 유출이 꽤 흔해졌습니다. 2016년 인터넷 서비스 회사 야후(Yahoo!)는 자사 30억 전체 사용자가 역사상 최대 데이터 유출로 영향을 받았다고 확인했습니다. 이름, 휴대전화 번호, 이메일 주소, 생년월일, 해시된 비밀번호 등 사용자 구체적 세부정보가 유출되었습니다.

2018년 뉴욕 기반 영상 메시징 서비스 더브스매시(Dubsmash)와 피트니스 앱 마이피트니스팔(MyFitnessPal)은 6억 명 이상 고객 계정이 유출되어 온라인 다크넷 시장에서 판매된 16개 침해 플랫폼의 대규모 데이터 덤프 중에 포함되었습니다.

최근 10년간 수백 건의 유사 사건이 발생했습니다. 포네몬 인스티튜트(Ponemon Institute) 연구에 따르면 데이터 유출 하나는 기업에 평균 386만 달러 비용을 초래합니다.

데이터 유출의 판돈과 비용이 상승함에 따라, 기업과 정부는 고객 데이터 보안을 위해 많은 리소스를 투입하기 시작했습니다.

대부분 데이터 유출은 취약하고 비정형인 문서, 파일, 민감 정보를 포함합니다. 이 개요 기사에서는 가장 흔한 8가지 데이터 유출 유형과 발생 방식을 설명합니다.

8. 분산 서비스 거부(DDoS)

1.3Tbps DDoS 공격으로 2018년 깃허브(GitHub) 20분간 다운

호스트 서비스를 방해하려는 악의적 시도

DDoS 공격은 서버나 네트워크가 처리할 수 있는 것보다 더 많은 트래픽으로 웹사이트와 온라인 서비스를 압도하는 것을 목표로 합니다. 네트워크 침투나 데이터 절도 같은 다른 사기 활동이 진행되는 동안 사이버보안 작업을 분산시키기 위해 사용되기도 합니다.

이 공격들은 멀웨어에 감염된 인터넷 연결 기기 무리로 수행됩니다. 공격자들은 이 개별 기기들(봇이라고도 함)을 원격으로 제어합니다.

봇의 클러스터를 봇넷(botnet)이라고 하며, 일단 구축되면 공격자는 특정 서버나 네트워크를 표적으로 삼을 수 있습니다. 각 봇이 특정 IP 주소로 요청을 보내 웹사이트나 서비스를 마비시킵니다.

첫 DDoS 공격은 1996년 가장 오래된 ISP 중 하나인 패닉스(Panix)가 SYN 플러드(SYN flood) 방식으로 수일간 다운되면서 발생했습니다. 이 방식은 전형적인 DDoS 공격이 되었습니다. 이후 10년간 이런 유형의 공격이 흔해졌습니다.

1Gbps 공격만으로도 대부분 조직을 인터넷에서 쫓아낼 수 있습니다. 시스코(Cisco)에 따르면 총 DDoS 공격 건수는 2018년 790만 건에서 2023년 1,500만 건에 달할 전망입니다.

사례: 2020년 2월, 아마존 웹 서비스(AWS)가 극심한 DDoS 공격을 받았습니다. CLDAP(Connectionless Lightweight Directory Access Protocol) 리플렉션이라는 방식으로 알려지지 않은 고객들을 표적으로 삼았습니다. 공격은 2.3Tbps로 정점을 찍고 3일간 지속되었습니다.

7. 무차별 대입 공격(Brute-Force Attack)

5비트 키에 대한 무차별 대입 공격

시행착오로 비밀번호 추측

무차별 대입 공격은 결국 맞출 때까지 자격 증명을 제출하는 것입니다. 공격자는 올바른 비밀번호가 감지될 때까지 가능한 모든 비밀번호 조합을 시도합니다.

이 유형 공격은 전체 데이터 유출의 거의 5%를 차지합니다. 공격자가 비밀번호를 수동으로 입력할 필요는 없습니다. 대신 알고리즘을 만들거나 기성 소프트웨어를 사용해 사용자명과 비밀번호의 다양한 조합을 자동으로 실행해 올바른 조합을 찾습니다.

무차별 대입 해킹 도구는 초당 수많은 비밀번호를 생성하도록 설계되었습니다. 강력한 CPU, GPU와 결합하면 이런 자동화 도구가 강력한 암호화 키를 며칠 만에 크래킹할 수 있습니다.

더 긴 암호는 더 많은 변수를 가질 수 있으므로 짧은 것보다 기하급수적으로 크래킹하기 어렵습니다. 오늘날 대부분의 대칭 알고리즘은 128비트 또는 256비트 키를 사용하며, 무차별 대입으로는 크래킹할 수 없습니다.

구체적으로, 가장 빠른 슈퍼컴퓨터(속도 100페타플롭스)라도 256비트 AES 키를 소진하는 데 3.67×10⁵⁵년이 걸릴 것입니다.

사례: 2018년 파이어폭스(Firefox)의 마스터 비밀번호 시스템이 무차별 대입으로 쉽게 우회될 수 있었습니다. 수백만 사용자의 비밀번호가 멀웨어와 해커에 취약해졌습니다. 1년 후 파이어폭스가 업데이트를 배포해 이 보안 결함을 수정했습니다.

6. 랜섬웨어(Ransomware)

몸값을 요구하는 크립토락커(CryptLocker)

기기를 감염시키고 사용자에게 몸값 지불을 위협하는 악성코드

랜섬웨어는 사용자가 개인 파일에 접근하지 못하게 하고 접근권을 되찾기 위해 수수료를 요구합니다. 여러 경로로 컴퓨터를 감염시킬 수 있습니다. 가장 흔한 것은 이메일을 통한 악성 스팸으로, 기만적인 링크나 첨부파일을 포함합니다.

일반적인 랜섬웨어는 숙련된 사람이 되돌리기 어렵지 않게 기기를 잠급니다. 하지만 고급 멀웨어는 사용자 파일을 암호화해 사용할 수 없게 하고 복호화 비용을 요구합니다. 공격자는 보통 비트코인 같은 추적 어려운 디지털 화폐로 몸값을 요구합니다.

최초의 랜섬웨어인 PC 사이보그(PC Cyborg)는 1989년에 만들어졌습니다. C 드라이브의 모든 파일을 암호화한 뒤 피해자에게 189달러(우편로)를 요구하며 라이선스 갱신을 요구했습니다. 이후 10년간 다양한 랜섬웨어 변종이 등장했습니다.

하지만 고급 랜섬웨어는 2004년 GpCode가 약한 RSA 암호화로 개인 데이터를 암호화하면서 등장했습니다. 이후 사기가 전 세계로 퍼졌고, 새로운 유형이 여전히 사용자들을 성공적으로 노리고 있습니다.

2018년 상반기에만 1억 8,100만 건 이상의 랜섬웨어 공격이 발생했습니다. 2019년에는 새로운 랜섬웨어 변종이 46% 증가했으며, 모바일용 새로운 랜섬웨어 트로이목마 68,000개가 탐지되었습니다.

사례: 아마도 가장 유명한 랜섬웨어 사례는 2013년 9월~2014년 5월 발생한 크립토락커(CryptoLocker)입니다. 마이크로소프트 윈도우 기기를 표적으로 삼은 암호화 트로이목마였습니다. 운영자들이 약 300만 달러를 성공적으로 갈취했습니다.

5. 피싱(Phishing)

민감 정보를 불법적으로 취득하려는 시도

피싱은 기만적인 웹사이트와 이메일을 사용해 비밀번호, 신용카드 정보 같은 개인정보를 수집하려는 기법입니다. 인스턴트 메시징과 문자 메시지를 통해서도 수행되며, 공격자가 신뢰할 수 있는 개체로 가장해 피해자를 속여 개인정보를 제공하게 만듭니다.

피싱은 사용자가 링크를 방문하거나 문서를 다운로드하도록 유도해 비밀리에 기기에 악성 스크립트를 설치함으로써 멀웨어를 전달하는 데도 사용됩니다. 더 큰 규모에서는 민간 조직이나 정부 네트워크에 발판을 마련하는 데 사용됩니다.

예를 들어, 지능형 지속 위협(APT)에서 직원 데이터가 보안 매개변수 우회, 폐쇄 환경 내 악성 프로그램 확산, 프라이빗 데이터 접근에 이용됩니다. 이런 유형의 공격은 장기간 탐지되지 않은 채 지속될 수 있습니다.

버라이즌(Verizon) 데이터 유출 조사 보고서에 따르면 2019년 유출의 22%가 피싱과 관련되었습니다. 전 세계 조직의 약 88%가 스피어피싱 시도를 경험했습니다. 미국 조직의 65%가 2019년 성공적인 피싱 공격을 경험했는데, 이는 세계 평균보다 거의 10% 높습니다.

사례: 가장 결과가 컸던 피싱 공격 중 하나는 2016년 힐러리 클린턴(Hillary Clinton) 캠페인 위원장 존 포데스타(John Podesta)의 지메일(Gmail) 계정이 해킹당한 사건입니다. 미국 대선 결과 몇 시간 내에 러시아 해커들이 스푸핑된 하버드 대학교 이메일 주소에서 피싱 이메일을 보내 가짜 뉴스를 퍼뜨렸습니다.

4. 웜(Worm)

메시지를 표시하는 블래스터(Blaster) 웜

독립적, 자기복제 악성코드

컴퓨터 웜은 기기에서 기기로 자기 복사본을 퍼뜨립니다. 사용자 상호작용 없이 자기 복제하며 소프트웨어 프로그램에 붙어 피해를 입힙니다.

대부분 웜은 스팸 이메일이나 인스턴트 메시지의 첨부파일을 통해 기기에 침투하지만, 소프트웨어 취약점을 통해서도 전파될 수 있습니다. 이런 첨부파일이 열리거나 설치되면 시스템 파일을 감염시키며 백그라운드에서 조용히 작동합니다.

웜은 악성 스크립트를 주입하고 기존 파일을 수정/삭제할 수 있습니다. 일부 웜은 자기 복사본을 만들고 공유 네트워크를 과부하시켜 메모리 공간이나 대역폭 같은 시스템 자원을 고갈시키도록 설계되었습니다.

웜은 운영체제, 애플리케이션 보안, 네트워크 설정 오류의 허점을 이용해 완전 접근 가능한 디스크에 자기 복사본을 만들고 공개 네트워크로 퍼뜨릴 수 있습니다.

사례: 실제 영향력을 가진 최초의 컴퓨터 웜은 1988년 로버트 모리스(Robert Morris)가 개발했습니다. 개발자 이름을 따 모리스 웜(Morris Worm)이라 명명되었으며, ARPANET에 연결된 6만 대 기계의 약 10%에 서비스 거부를 일으켰습니다. 2003년 또 다른 웜 블래스터(Blaster)가 마이크로소프트 자체 서버에 DDoS 공격을 가해 최대 20억 대 기기를 감염시켰습니다.

3. 키로거(Keylogger)

사용자 모르게 키보드 입력 기록

키스트로크 로깅 도구는 타자기 시대까지 거슬러 올라가는 가장 오래된 멀웨어 형태 중 하나입니다. 여전히 대규모 사이버 공격의 일부로 사용됩니다. 가장 기본적인 정의에서 키로거는 컴퓨터의 키스트로크를 추적합니다.

단순한 소프트웨어지만, 공격자는 이를 강력한 도구로 사용해 키보드를 통해 입력된 사용자 데이터와 민감 정보를 훔칩니다. 이는 공격자에게 이메일 ID, 비밀번호, 계좌번호, PIN 코드, 기타 기밀 정보 접근 권한을 줍니다.

하드웨어 기반 키로거는 키보드와 컴퓨터 사이에 인라인으로 꽂거나 BIOS 레벨 펌웨어로 설치할 수 있습니다. 소프트웨어 기반 키로거는 웹페이지 스크립트나 피싱 메일의 첨부파일을 통해 설치될 수 있습니다. 사용자가 해로운 사이트를 방문하거나 이메일에 첨부된 의심스러운 파일을 열면 자동으로 설치됩니다.

사례: 2000년 FBI가 키로거를 사용해 러시아 사이버 범죄자 두 명을 잡았습니다. 키로거가 한 기기에 은밀히 설치되었고, FBI가 러시아에 있는 용의자의 컴퓨터에 접근하는 데 사용했습니다. FBI는 그들을 기소할 충분한 증거를 확보했습니다. 2018년 구글이 키로깅 멀웨어를 포함한 145개 앱을 플레이 스토어에서 삭제했습니다.

2. 인적 오류(Human Error)

직원들의 가끔 하는 실수가 대규모 데이터 유출로 이어짐

인간은 데이터 유출 방어에서 종종 가장 약한 고리입니다. 예를 들어 IT 팀이 서버를 잘못 구성해 고객 개인정보를 실수로 노출하거나, 직원이 대량 발송 이메일로 회사 보고서를 외부인에게 전달할 수 있습니다.

영국 정보위원회(ICO) 연구에 따르면 2019년 사이버 데이터 유출의 90%가 인적 오류로 인한 것이었습니다.

클라우드 기반 사이버보안 인식 플랫폼 사이브세이프(CybSafe)는 2019년 ICO에 보고된 2,376건 유출 중 10건 중 9건이 최종 사용자 과실 때문이라고 보고했습니다. 이는 전년 대비 61%, 2년 전 대비 87% 증가한 수치입니다.

사례: 2017년 링크드인(LinkedIn)이 국가 서브도메인에 사용하던 SSL 인증서가 만료되었습니다. www.linkedin.com에는 영향이 없었지만, us.linkedin.com 등 일부 서브도메인이 무효화되었습니다. 결과적으로 수백만 사용자가 몇 시간 동안 링크드인에 접근할 수 없었습니다.

참고: 방화벽이란? 정의 | 유형 | 작동 원리

1. 부적절한 폐기 또는 무책임한 재판매

많은 조직이 구형 하드웨어를 제대로 폐기하지 않음

조직, 특히 소규모 조직은 하드웨어와 인프라를 업그레이드할 때 데이터 보안을 염두에 두지 않는 경우가 많습니다. 하드웨어 수명 주기의 끝은 책임 있는 스토리지 관리의 중요한 측면입니다.

모든 데이터 유출이 해킹으로 인한 것은 아닙니다. 일부는 부적절한 폐기와 무책임한 재판매의 결과입니다. 기밀 데이터를 보호하려면 데이터를 폐기하거나 하드웨어를 물리적으로 파괴해야 합니다.

미국 국립표준기술연구소(NIST)는 적절한 미디어 새니타이제이션과 데이터 폐기를 위한 가이드라인을 발표했습니다. 소프트웨어 기반 방법(퍼지 레벨 새니타이제이션 등)은 미디어 표면의 모든 저장 영역에서 데이터를 완전히 제거할 수 없다고 제안합니다.

사례: 2017년 휴스턴 시 정부 사무실의 데스크톱들이 온라인 경매에서 판매되었습니다. 조사 결과 38대 중 23대 하드디스크에 개인정보가 가득 차 있었습니다.

참고: 컴퓨터 바이러스 13가지 유형

같은 해 뉴저지 쇼라이트(ShopRite) 약국에서 저장소를 먼저 지우지 않고 폐기된 전자 기기가 발견되었습니다. 1만 명 환자의 개인정보(이름, 생년월일, 서명, 전화번호, 의료 처방전)가 들어 있었습니다.