전 세계 데이터 유출 36%는 '서드파티 침해'...기업 보안 비상

사이버 보안 평가 기업 시큐리티스코어카드(SecurityScorecard)가 발표한 최신 보고서에 따르면, 지난해 전 세계적으로 발생한 데이터 유출 사고 중 *36%*가 공급업체 및 협력사를 통한 '서드파티 침해'였던 것으로 나타났다. 특히 랜섬웨어 조직과 국가 지원 해커들이 서드파티 관계망을 악용하는 방식이 더욱 정교해지고 있어 기업들의 보안 대응이 시급하다는 지적이 나온다.

이번 보고서는 시큐리티스코어카드의 위협 인텔리전스팀이 1,000건 이상의 데이터 침해 사례를 분석한 결과로, 공격 패턴을 규명하고 서드파티 보안 실패에 따른 영향을 평가하는 데 초점을 맞췄다. 이에 따르면, *2024년 발생한 전체 사이버 침해 사고의 36%가 서드파티 관련 공격이었으며, 이 비율은 실제 신고되지 않거나 잘못 분류된 사례를 감안하면 더 높을 가능성이 크다*고 보고서는 지적했다.

특히 가장 많은 공격이 발생한 분야는 소매 및 숙박 업종으로, 전체 침해 사고의 *52%*가 서드파티 공격과 관련된 것으로 나타났다. 기술 산업과 에너지·유틸리티 부문이 각각 *47%*로 뒤를 이었다. 의료 부문은 총 78건의 서드파티 침해 사례가 보고됐으나, 전체 비율에서는 상대적으로 적은 *32%* 수준이었다.

국가별로 살펴보면, 미국은 전체 서드파티 침해 사고의 *31%*를 차지하며 글로벌 평균보다 5% 낮은 수치를 기록했다. 반면, 싱가포르는 *71%*로 서드파티 침해 비율이 가장 높았으며, 네덜란드(70%)와 일본(60%)이 그 뒤를 이었다.

시큐리티스코어카드의 라이언 셔스토비토프 부사장은 "공격자들이 일정한 방식으로 기업들의 공급망을 적극적으로 노리고 있다"며 "특히 랜섬웨어 그룹이나 국가 지원 해커들이 *서드파티 관계망을 주요 침투 경로로 활용하고 있다*"고 경고했다. 그는 또 "주기적인 벤더 평가에서 벗어나 *실시간 모니터링을 강화해야만 공급망 전체가 무너지는 대형 리스크를 방지할 수 있다*"고 강조했다.

기업들이 이러한 위협에 대응하려면 리스크 관리 전략을 기관별 특성에 맞춰 정교하게 설계해야 한다는 조언도 나온다. 산업군, 지역, 기술 스택, 조직 구조 등을 고려해 맞춤형 서드파티 보안 체계를 구축해야 한다는 것이다. 또한 공급업체와 명확한 보안 기준을 계약서에 포함시키고, 다중 인증 적용 강화 및 *랜섬웨어 몸값 지급 거부 원칙*을 고수하는 것이 필요하다고 보고서는 제언했다.