인적 위험 관리를 포괄적으로 다루는 세계적인 사이버 보안 플랫폼인 노우비포(KnowBe4)가 ‘2025년 글로벌 소매 부문 보고서’를 발표했다. 이 보고서는 소매 부문을 노리는 사이버 범죄 전술에서 주목할 만한 변화를 공개했다. 연구 결과에 따르면 인증정보 탈취는 주로 피싱 공격을 통해 오케스트레이션되는 공격으로 2023년 전체 유출 데이터의 38%를 차지하며 가장 큰 위협이 된 반면, 결제 카드 데이터 도난은 25%로 감소했다.

이 연구는 소매 부문의 공격이 경각심을 느껴야 할 정도로 증가하여 2023년에 전년 대비 공격 빈도가 56% 증가했음을 밝혔다. 이에 따라 소매 업계는 사이버 범죄자들의 표적이 되는 상위 5개 산업에 올랐다. 소매 부문 데이터 유출로 인한 평균 피해액은 2024년 348만달러로 2023년 대비 18% 증가했다.

보고서의 주요 연구 결과 :

· 현재 인증정보 도난이 전체 유출 데이터의 38%를 차지한 반면, 결제 카드 도난은 25%로 감소하여 인증정보 탈취가 소매 사이버 공격의 주요 위협으로 부상했다.
· 북미의 소매 부문에서 공격이 가장 많이 발생했으며(56%), 라틴 아메리카가 32%로 두 번째로 많았고 유럽은 11%였다.
· 미국 소매 부문은 전 세계 랜섬웨어 공격의 45%를 차지하지만 시장 점유율은 28%에 불과해 두 번째로 많은 공격 표적이 된 부문이었다.
· 보안 인식 교육과 모의 피싱 평가를 1년 이상 실시하면 모든 규모의 조직에서 직원들이 피싱 공격에 당할 가능성을 줄일 수 있다.

이 보고서는 보안 인식 교육이 소매 조직에서 인적 위험을 줄이는 데 상당한 영향을 미친다는 사실을 입증한다. 피싱 공격에 대한 직원의 취약성은 대형 소매 조직의 경우 42.4%에서 5.2%로 감소한 동시에 소매 중소기업도 1년 동안 지속적인 교육을 실시한 후 각각 4.7%와 4.5%로 감소하여 비슷한 개선 효과를 보였다.

노우비포의 최고경영자인 스튜 슈베르만은 “우리의 연구는 사이버 범죄자들이 결제 카드 데이터보다 인증정보 도용을 우선시하는 방향으로 중대한 변화를 나타내고 있음을 보여준다. 도난당한 인증정보를 사용하면 비밀번호나 2단계 인증과 같은 보안 조치를 우회하여 개인 계정에 즉시 액세스할 수 있다. 그러나 다행히 보안 인식 교육을 빈번하게 실시하는 조직에서 극적인 개선을 보이고 있으며, 이는 인적 위험 관리가 모든 소매 조직의 보안 전략의 핵심 구성 요소가 되어야 함을 입증한다”고 말했다.