기업 보안사고 '랜섬웨어' 피해 11배 급증
보안 사고를 경험한 기업 중 랜섬웨어 피해를 입은 곳의 비중이 1년 새 11배나 늘어난 것으로 나타났다.

미래창조과학부가 23일 발표한 ‘2016년 정보보호 실태조사 결과’(국내 9000개 기업 대상)에 따르면 지난해 정보 침해 사고를 당한 기업은 전체의 3.1%로 전년 대비 1.3%포인트 증가했다. 정보 침해 사고 유형별(복수 응답)로는 악성코드 공격이 91%로 가장 많았고 이어 스파이웨어 19.7%, 랜섬웨어 18.7%, 해킹 4.9%, 디도스(DDoS·분산서비스 거부) 2.9% 등의 순이었다.

이 중 신종 사이버 공격 기법인 랜섬웨어 피해 증가세가 두드러졌다. 랜섬웨어 피해를 본 기업 비중은 2015년 1.7%에서 17%포인트 높아졌다. 악성코드와 스파이웨어 피해 기업 비중은 같은 기간 각각 2.5%포인트, 13.5%포인트 낮아졌다.

랜섬웨어는 인터넷 사용자의 컴퓨터에 잠입, 내부 문서나 사진 파일 등을 암호화해 열지 못하도록 한 뒤 해독용 열쇠 프로그램을 전송해준다며 금품을 요구하는 공격 기법이다. 보통 보안이 취약한 웹사이트, 파일 공유 프로그램 등을 통해 유포된다. 글로벌 보안업체 시만텍에 따르면 지난해 상반기 랜섬웨어 평균 요구액은 건당 679달러(약 80만원)로 전년 대비 두 배 이상 늘었다.

사내 메일을 가장해 악성파일을 첨부한 이메일이 특정 기업 직원들에게 집중적으로 발송돼 회사 시스템 전체를 감염시키는 사례가 증가하고 있다. 사내 내부 지침을 공유하는 것처럼 파일을 첨부해 사용자들이 이를 의심 없이 열어보도록 유도하는 수법을 쓰기도 한다.

송정수 미래부 정보보호정책관은 “랜섬웨어가 사이버 공격자들의 주요 돈벌이가 되면서 공격 타깃도 개인에서 기업으로 옮겨가는 추세”라며 “랜섬웨어 예방을 위한 기업들의 대비책이 필요하다”고 말했다.

이번 조사 결과 정보보안 예산을 편성한 기업은 전체의 32.5%로 전년(18.6%)보다 13.9%포인트 늘어났다. 하지만 정보기술(IT) 예산 중 정보보안 예산을 5% 이상 편성한 기업은 전년 대비 0.3%포인트 줄어든 1.1%에 불과했다. 정보보안 예산을 편성하지 않은 기업은 미편성 이유로 ‘피해가 없어 필요성을 못 느낀다’(58.4%), ‘정보보안 방법을 모른다’(29%), ‘투자 우선순위가 아니다’(6.8%) 등을 꼽았다.

이정호 기자 dolph@hankyung.com