데이터 유출 정의
정보 유출이라고도 하는 데이터 유출(data theft)은 개인, 기밀 또는 금융 정보를 불법적으로 전송하거나 저장하는 것을 말합니다. 여기에는 암호, 소프트웨어 코드 또는 알고리즘, 독점적인 프로세스 또는 기술이 포함될 수 있습니다. 데이터 유출은 심각한 보안 침해 및 프라이버시 침해로 간주되며, 개인과 조직에 심각한 결과를 초래할 수 있습니다.
데이터 유출이란?
데이터 유출은 기밀 정보를 취득하거나 프라이버시를 침해하기 위해 컴퓨터, 서버 또는 전자 장치에 저장된 디지털 정보를 훔치는 행위입니다. 은행 계좌 정보, 온라인 암호, 여권 번호, 운전면허 번호, 주민등록번호, 의료 기록, 온라인 구독 정보 등 무엇이든 포함될 수 있습니다. 권한 없는 사람이 개인정보 또는 금융 정보에 액세스하는 데 성공하면, 소유자의 허가 없이도 해당 정보를 삭제, 변경하거나 액세스하지 못하게 할 수 있습니다.
데이터 유출은 대개 악의적인 행위자가 정보를 팔아넘기거나 신원 도용에 이용하면서 일어납니다. 데이터 도둑은 충분한 정보를 훔치면 이를 이용해 보안 계정에 액세스하거나, 피해자 명의로 신용 카드를 개설하거나, 기타 방법으로 피해자의 신원을 이용해 이익을 얻을 수 있습니다. 과거에는 데이터 유출이 주로 기업과 기관의 문제였지만, 안타깝게도 이제는 개인에게도 점점 더 심각한 문제가 되고 있습니다.
데이터 유출은 '도난(theft)'과 달리 피해자로부터 정보를 빼앗거나 제거하는 것을 의미하지는 않습니다. 데이터 유출 공격자는 자신이 사용할 목적으로 정보를 복사하거나 복제할 뿐입니다.
데이터 유출에 관해 이야기할 때 '데이터 침해(data breach)'와 '데이터 누수(data leak)'를 혼용하곤 합니다. 하지만 이 둘은 다릅니다.
- 데이터 누수는 인터넷이나 분실된 하드 드라이브 또는 장치를 통해 중요 데이터가 실수로 노출되는 것입니다. 그러면 사이버 범죄자는 별다른 노력 없이도 중요 데이터에 무단으로 액세스할 수 있습니다.
- 이와 달리 데이터 침해는 의도적인 사이버 공격을 의미합니다.
데이터 유출은 어떻게 발생하나요?
데이터 유출, 즉 디지털 유출은 다양한 수단을 통해 발생합니다. 가장 대표적인 예를 들면 다음과 같습니다.
소셜 엔지니어링:
가장 흔한 소셜 엔지니어링 형태는 피싱입니다. 피싱은 공격자가 신뢰할 만한 출처로 위장하여 피해자가 이메일, 문자 메시지 또는 인스턴트 메시지를 열도록 속이는 것입니다. 사용자가 피싱 공격에 넘어가면서 데이터 유출이 일어날 때가 많습니다.
부실한 암호:
추측하기 쉬운 암호를 사용하거나 여러 계정에 동일한 암호를 사용했다가는 공격자의 데이터 액세스를 허용할 수도 있습니다. 종이에 암호를 적거나 다른 사람과 공유하는 등 잘못된 암호 습관도 데이터 유출의 원인이 되곤 합니다.
시스템 취약점:
부실하게 만들어진 소프트웨어 애플리케이션이나 부실하게 설계 또는 구현된 네트워크 시스템은 해커가 데이터를 훔치는 데 이용할 만한 익스플로잇 취약점이 됩니다. 오래된 안티바이러스 소프트웨어도 취약점을 만들 수 있습니다.
내부자 위협:
기업에 근무하는 직원은 고객의 개인정보에 액세스할 수 있습니다. 불량 직원이나 불만을 품은 계약직이 데이터를 복사, 변경하거나 훔칠 수 있습니다. 그러나 내부자 위협이 현재 재직 중인 직원에만 해당되는 것은 아닙니다. 조직의 시스템이나 중요 정보에 액세스할 수 있는 전 직원, 계약직 또는 파트너일 수도 있습니다. 내부자 위협이 증가하고 있는 것으로 알려졌습니다.
사람의 실수
데이터 침해가 꼭 악의적인 행동의 결과만은 아닙니다. 때로는 사람의 실수에서 비롯될 수도 있습니다. 실수로 잘못된 주소로 이메일을 보내거나, 잘못된 문서를 첨부하거나, 해당 정보에 접근해서는 안 되는 사람에게 오프라인으로 파일을 전달하는 등 중요 정보를 잘못된 사람에게 보내는 실수도 종종 벌어집니다. 잘못된 구성도 일어날 수 있습니다. 이를테면 직원이 중요 정보가 포함된 데이터베이스를 암호 설정 없이 온라인에 방치합니다.
감염된 다운로드
웜이나 맬웨어와 같은 바이러스에 감염된 손상된 웹사이트에서 사용자가 프로그램이나 데이터를 다운로드할 수 있습니다. 그러면 범죄자가 그 사용자의 장치에 무단으로 액세스하여 데이터를 훔쳐내는 것이 가능해집니다.
물리적 행위
사이버 범죄가 아닌 물리적 행위로 인해 발생하는 데이터 유출도 있습니다. 이를테면 서류나 노트북, 휴대폰, 저장 장치와 같은 장치가 도난당합니다. 원격 근무가 점점 더 확산하면서 장치 분실 또는 도난 역시 더 광범위하게 이루어집니다. 커피숍과 같은 공공장소에서 일할 때 누군가가 화면과 키보드를 지켜보다가 로그인 정보와 같은 정보를 훔칠 수 있습니다. 범죄자가 카드 리더기와 ATM에 장치를 삽입하여 결제 카드 정보를 수집하는 카드 스키밍 역시 데이터 유출로 이어집니다.
데이터베이스 또는 서버 문제
정보를 저장하는 회사가 데이터베이스 또는 서버 문제로 인해 공격을 받고, 공격자는 고객의 개인정보에 액세스할 수 있게 됩니다.
공개적으로 사용 가능한 정보
인터넷 검색을 하거나 소셜 네트워크에서 사용자 게시물을 살펴보는 등 공개 도메인에서 많은 정보를 찾을 수 있습니다.
일반적으로 어떤 유형의 데이터가 유출되나요?
개인이나 조직에서 저장한 모든 정보가 데이터 유출의 잠재적 표적이 될 수 있습니다. 다음은 몇 가지 예입니다.
- 고객 기록
- 신용 카드 또는 직불 카드 정보와 같은 금융 데이터
- 소스 코드 및 알고리즘
- 독점적 프로세스에 관한 설명 및 운영 방법론
- 사용자 이름, 암호와 같은 네트워크 인증 정보
- 인사 기록 및 직원 데이터
- 컴퓨터에 저장된 개인 문서
데이터 유출의 결과
데이터 침해를 겪은 조직은 혹독한 결과를 맞이할 수 있습니다.
- 정보가 노출된 고객이 소송을 제기할 가능성
- 랜섬웨어 공격자의 몸값 요구
- 복구 비용 - 예: 침해된 시스템 복구 또는 패치 비용
- 이미지 실추, 고객 이탈
- 감독 기관의 제재 또는 과징금(업종에 따라)
- 데이터가 복구되는 동안의 다운타임
개인이 데이터 침해의 당사자가 되면, 무엇보다도 신원 도용으로 경제적 손실과 정신적 스트레스를 겪을 수 있습니다.
데이터를 안전하게 보호하는 방법
그렇다면 사이버 범죄자로부터 데이터를 지킬 방법은 무엇일까요? 몇 가지 조치를 통해 범죄자가 데이터를 훔치는 것을 방지할 수 있습니다. 여기에는 다음이 포함됩니다.
안전한 암호 사용
특히 강력한 암호를 사용하지 않으면 해커가 암호를 쉽게 해독할 수 있습니다. 강력한 암호란 12자 이상이거나 대문자와 소문자, 기호와 숫자를 혼합한 것입니다. 암호가 짧고 복잡하지 않을수록 사이버 범죄자가 해독하기 쉽습니다. 일련 번호('1234'), 또는 생년월일, 반려동물 이름 등 나를 아는 사람이 추측할 만한 개인정보처럼 뻔한 것을 골라서는 안 됩니다.
암호를 더 복잡하게 만들고 싶다면, '패스프레이즈'를 대신 만드는 것도 좋은 방법입니다. 패스프레이즈는 기억하기 쉬운 의미 있는 문구를 고른 다음 모든 단어의 첫 글자로 암호를 만드는 것입니다.
여러 계정에 같은 암호를 사용하지 마세요.
여러 계정에 같은 암호를 사용할 경우, 해커가 한 웹사이트의 암호를 해독하면 더 많은 웹사이트에도 액세스할 수 있습니다. 정기적으로, 대략 6개월마다 암호를 변경하는 것을 잊지 마세요.
암호를 적어 두지 마세요.
종이에 적든, 엑셀 스프레드시트에 적든, 휴대폰의 메모 앱에 적든 간에 아무 데나 암호를 적어두면 해커가 알아내기 쉽습니다. 기억해야 할 암호가 너무 많다면 암호 관리자를 사용해 정리하는 방법을 고려해 보세요.
다단계 인증
다단계 인증(MFA)은 인터넷 사용자에게 표준 이메일 주소/사용자 이름과 암호의 조합에 머무르지 않고 추가적인 수준의 계정 보안을 제공하는 도구이며, 그중에서도 2단계 인증(TFA 또는 2FA)이 가장 보편적입니다. 2단계 인증에서는 무언가에 액세스하려면 서로 다른 두 가지의 식별 형식이 필요합니다. 첫 번째는 암호입니다. 그리고 두 번째는 대개 스마트폰으로 전송되는 코드가 포함된 문자, 또는 지문, 얼굴, 망막 등을 사용하는 생체 인식입니다. 가급적 계정에서 다단계 인증을 사용하도록 설정하세요.
개인정보를 공유할 때는 주의하세요.
온라인과 오프라인 모두에서 '알아야 할 필요가 있는 경우'에만 데이터에 액세스하도록 하세요. 예를 들어 누군가가 주민등록번호, 신용 카드 번호, 여권 번호, 생년월일, 직장 경력, 신용 상태 등의 개인정보를 요청하는 경우 그 정보가 왜 필요한지, 그리고 어떻게 사용할지를 생각해 보세요. 개인정보를 비공개로 유지하기 위해 어떤 보안 조치를 하고 있나요?
소셜 미디어 공유 제한
각 소셜 네트워킹 플랫폼의 보안 설정을 숙지하고 자신에게 편한 수준으로 설정되어 있는지 확인하세요. 소셜 미디어 자기 소개에서 주소나 생년월일과 같은 개인정보를 공개하지 마세요. 범죄자는 이 데이터를 사용하여 사용자에 대한 신상 정보를 구축할 수 있습니다.
사용하지 않는 계정 폐쇄
우리 대부분은 더 이상 쓰이지 않는 온라인 서비스에 가입한 적이 있습니다. 이러한 계정이 계속 남아 있으면 사이버 범죄자에게 중요한 정보인 개인 데이터, 신원 정보, 신용 카드 번호가 뒤섞여 있을 가능성이 높습니다. 여러 계정에 같은 암호를 사용할 경우(절대 권장하지 않음), 한 사이트의 암호가 유출되면 공격자가 이 암호로 다른 사이트의 계정에 액세스할 수 있게 됩니다. 개인정보를 보호하려면 더 이상 사용하지 않는 서비스에서 개인 데이터를 삭제하는 것이 좋습니다. 오래된 계정을 휴면 상태로 두지 않고 폐쇄하면 됩니다.
개인정보 파쇄
이름, 생년월일, 주민등록번호와 같은 개인정보가 포함된 편지는 파쇄합니다. 우편물을 계속 꼼꼼히 살펴보세요. 아직 드러나지 않은 데이터 침해에 관한 단서가 될 수 있습니다. 예를 들어, 간 적 없는 병원 진료와 관련된 서류를 받았다면 데이터 침해가 발생했다는 신호일 수 있으므로 조치해야 합니다.
시스템과 프로그램을 최신 상태로 유지
새로 나온 보안, 웹 브라우저, 운영 체제 및 소프트웨어 프로그램의 업데이트를 정기적으로 설치하여 모든 운영 체제 및 소프트웨어 프로그램을 최신 상태로 유지하세요.
계정 모니터링
은행/신용 카드 명세서 또는 기타 계좌를 정기적으로 확인하여 무단 청구나 기타 이상 징후가 있는지 확인할 수 있습니다. 거래처에 데이터 침해가 발생해도 알림을 받지 못할 수 있으므로, 스스로 경계를 늦추지 않는 것이 좋습니다.
무료 Wi-Fi에 주의
무료 공용 Wi-Fi를 일상적으로 사용하는 이들이 많지만, 보이는 것과 달리 안전하고 안정적인 연결이 항상 보장되는 것은 아닙니다. 공용 Wi-Fi 핫스팟은 해커와 사이버 범죄자가 데이터 유출도용에 쉽게 이용할 수 있는 표적이 될 수 있습니다. 공용 Wi-Fi에서 안전을 유지하려면, 중요 데이터를 열거나 전송하지 말고 Bluetooth를 끄고 VPN과 방화벽을 사용하세요. 좋은 안티바이러스도 필수입니다. 공용 Wi-Fi를 안전하게 사용하는 방법의 팁을 소개합니다.
최신 정보 유지
거래하는 회사에서 데이터 유출이나 데이터 침해가 발생하면, 전반적으로 뉴스를 주시하거나 보안 뉴스 웹사이트를 모니터링하여 관련 소식을 접하세요.
온라인에서 안전을 유지하는 가장 좋은 방법 중 하나는 우수한 품질의 백신을 사용하는 것입니다. Kaspersky Total Security는 24시간 내내 작동하면서 쉬지 않고 장치와 데이터를 보호합니다. 장치의 취약점과 위협을 찾아내고, 사이버 위협이 발생하기 전에 차단하며, 즉각적인 위험을 격리 및 제거합니다.
추천 제품:
