뉴질랜드 기업 2곳 연속 해킹 피해, 사이버보안 전문가 "공격 가능성 높아지고 있다"

뉴질랜드 기업 두 곳에서 잇따라 데이터 유출 사고가 발생하면서 사이버보안 전문자들이 경고에 나섰다.

경찰은 건강연구기업 제니스 테크놀로지(Zenith Technology, 통칭 ZenTech)에서 발생한 해킹 사고를 조사 중이다. 이 사고에서 임상시험 관련 대량의 파일이 탈취됐을 가능성이 있는 것으로 알려졌다.

제니스테크 해킹 사고가 공개된 직후, 급여 처리 기업 땡큐 페이롤(Thankyou Payroll)은 오픈소스 분석 도구 메타베이스(Metabase)와 관련된 글로벌 보안 침해 사고에 자사 사용자 정보가 노출됐다고 사용자들에 통지했다.

빅토리아 대학교(Victoria University) 학부 사이버보안 연구자 벤 반 더 위어드(Ben Van Der Weerd)는 두 기업 모두 해커에게 매력적인 표적이라고 설명했다. 그는 "급여 처리 기업은 다수의 개인정보(PII)를 보유하고 있으며, 이 데이터는 다크웹에서 고가에 거래되면서 추가 공격과 피싱의 발판이 될 수 있다"고 지적했다. 이어 "해커가 주소와 IRD 번호, 전체 이름을 알고 있다면 '3개월 전 이 IRD 번호로 세금을 덜 냈으니 포털에 로그인해 납부하라'는 식으로 접근해 상당수의 사람을 속일 수 있다"고 설명했다.

반면 제니스테크와 같은 기업은 높은 가치의 데이터를 보유해 협상을 통해 몸값을 요구하는 데 활용될 수 있다고 덧붙였다. 그는 "건강 관련 기업은 몸값을 지불할 가능성이 더 높다. 카페 웹사이트를 해킹하면 해커에게 얻을 것이 없지만, 다수의 생물학적 데이터나 재무 기록을 보유한 곳을 해킹하면 실익이 있다"고 설명했다.

오클랜드 대학교(University of Auckland) 사이버보안 전문가 압히나브 초프라(Abhinav Chopra) 박사는 몸값 협상이 이루어지지 않더라도 환자 데이터는 다크웹에서 가치가 있다고 설명했다. 비밀번호나 이메일 주소와 달리 갱신할 수 없는 근본적 개인정보이기 때문이다. 초프라는 "신체 정보와 알레르기, 임상 정보는 변경할 수 없어 데이터셋이 고정적이며, 암시장에서 여러 구매자에게 판매될 수 있다"며 "몸값을 받든 암시장에 데이터를 판매하든 해커에게 큰 수익이 된다"고 밝혔다.

초프라는 제니스테크를 표적으로 한 해커들이 이전에 피싱 수법을 사용한 것으로 알려져 있다고 전했다. 그는 "이 해커들은 과거 사건에서 피싱으로 특정 인물의 자격 증명 정보를 탈취한 뒤 권한 있는 계정에 접속해 데이터셋에 접근한 것으로 파악됐다"고 설명하면서도 "제니스테크에서도 동일한 방식이 사용됐다고 단정하지는 않는다"고 덧붙였다.

그는 이번 공격이 비교적 작은 기업이라도 사이버 공격의 표적이 될 수 있음을 상기시킨다고 강조했다. 초프라는 "위험도 평가에서 피해 규모는 높았지만 대부분 '공격 가능성은 낮다'고 생각해왔다. 그러나 와이카토 DHB 사고 이후 공격 가능성은 높아졌다"고 밝혔다. 이어 "보안 통제 조치 대부분은 비용이 크지 않으므로, 먼저 평가를 받고 빠르게 도입할 수 있는 조치부터 적용하면서 장기 로드맵을 구상하는 것이 큰 도움이 된다"고 조언했다.

Source: RNZ