인적 위험 관리 전문 글로벌 사이버 보안 플랫폼 노우비포(KnowBe4)는 최신 연구 보고서 ‘금융 부문 위협 보고서’를 통해 글로벌 금융권이 직면한 사이버 보안 위기에 대한 심층적인 분석을 발표했다. 보고서에 따르면 금융 기관은 AI로 강화된 공격, 인증정보 탈취, 공급망 취약점이라는 삼중고의 ‘퍼펙트 스톰’에 직면해 있으며, 이는 글로벌 금융 산업 전반에 시스템적 위험을 초래하고 있다.

이번 연구에 따르면 2024년 미국 주요 은행의 97%가 제3자 데이터 침해를 경험했으며, 금융 기관을 겨냥한 표적 공격은 전년 대비 109% 증가했다. 특히 우려스러운 점은, 대형 금융 기관 대상 테스트에서 직원 중 약 45%가 악성 링크를 클릭하거나 감염된 파일을 다운로드하는 등 사이버 공격자에게 진입점을 허용할 가능성이 있는 것으로 나타났다는 사실이다. 보고서는 공격자들이 프로드 GPT(FraudGPT), 일레븐랩스(ElevenLabs)와 같은 AI 도구를 이용해 정교한 피싱 캠페인을 벌이는 동시에, 전통적인 랜섬웨어 암호화 방식에서 벗어나 데이터 유출 및 다단계 갈취 수법으로 전환하고 있음을 강조한다. 이러한 공격 방식의 진화는 공격자가 탈취한 정상적인 인증정보를 사용할 수 있게 해, 탐지를 훨씬 더 어렵게 만든다. 뉴욕 연방준비은행의 직원 보고서에 따르면, 주요 은행의 결제 서비스가 단 하루만 중단되어도 전 세계 네트워크 은행의 38%가 영향을 받을 수 있다.

보고서 주요 결과

· 전 세계 금융 서비스 기업은 다른 산업에 비해 연간 최대 300배 더 많은 사이버 공격을 받고 있으며, 2024년 침입 공격 건수는 전년 대비 25% 증가했다.
· 2024년 미국 대형 은행의 97%와 유럽 상위 금융 기업 100%가 제3자 및 공급업체 관련 데이터 침해를 겪어, 공급망 생태계의 취약성이 드러났다.
· 300만 건 이상의 다크웹 게시물 분석 결과, 도난된 인증정보가 신용카드 도용 건수를 훨씬 앞질렀다. 2024년 인포스틸러(정보 탈취 악성코드) 감염 시도는 58% 증가했으며, 전체 공격의 68%는 이메일에서 시작됐다.
· 전 세계 금융 기관 대상 랜섬웨어 공격의 60%는 미국에서 발생했으며, 미국과 영국이 전체 공격의 70% 이상을 차지했다. 남아시아와 라틴 아메리카 등 신흥 시장을 겨냥한 공격도 증가하는 추세이다.
· 대형 금융기관의 피싱 가능성 지수(Phish-prone™ Percentage, PPP)는 초기에 44.7%에 달했으나, 포괄적인 보안 인식 교육을 통해 5% 미만으로 낮출 수 있는 것으로 확인됐다.

노우비포의 보안 인식 제고 전문가인 제임스 맥퀴건은 “공격자들은 금융권을 상대로 우위를 점하고 있다”며 “전통적인 방어 체계만으로는 더 이상 충분하지 않다. 공격자들은 유효한 인증정보를 훔치는 것이 탐지망을 피해 활동할 수 있어 랜섬웨어보다 효과적이라는 사실을 발견했다”고 설명했다. 그는 이어 “결국 이 싸움은 사람, 즉 인적 요소에 달려있다. 금융 기관들은 이 중대한 보안 격차를 해소하기 위해 인적 위험 관리를 최우선 과제로 삼아야 한다”고 강조했다.

출처 : 노우비포