코스피 200 기업 중 88%가 사기성 이메일을 적극적으로 차단하지 못하는 것으로 나타났다. 이메일을 활용한 사기 사건 등에 광범위하게 노출된 것으로 해석할 수 있다.
23일 글로벌 사이버보안 및 컴플라이언스 기업 프루프포인트에 따르면, 코스피 200(KOSPI 200) 기업 중 88%가 사기성 이메일을 무방비로 노출됐다.
이석호 프루프포인트코리아 대표는 "코스피 200 기업의 대다수(88%)가 기업 정보 보호에 필수적인 이메일 인증 프로토콜을 갖추고 있지 않다"며 "이 때문에 고객과 파트너사 및 내부 직원이 이메일 사기에 쉽게 노출될 수 있다"고 말했다.
프루프포인트가 조사한 결과, 조사 대상 기업 중 12%가 이메일 인증 프로토콜을 갖췄지만, 이메일 사기로부터의 보호 수준은 각각 다른 것으로 나타났다. 이중 10%는 ‘모니터’ 수준, 1%는 ‘검역’ 수준의 DMARC 프로토콜을 채택해 인증되지 않은 이메일이 수신자의 이메일에 도달하고 있었다.
현재 권장되는 엄격한 수준의 DMARC 프로토콜을 채택한 기업은 단 1%에 불과한 것으로 나타났다. 이는 코스피 200 기업 88%가 사기성 이메일을 적극적으로 차단하지 못하고 있다는 의미다.
에반 두마스(Evan Dumas) 프루프포인트 아시아지역 담당 부사장은 "전 세계적으로 이메일 기반 사이버 공격으로 인한 피해 사례가 속출하고 있다"며 "이번 코스피 200 기업 대상 DMARC 분석 결과로 봤을 때 한국도 이메일 사기에 광범위하게 노출되어 있었다"고 말했다.
그는 "하이브리드 근무 체제 시행 여부를 떠나 모든 기업이 공급업체와 판매사, 직원, 고객 및 파트너사 간의 업무를 진행하기 위해 이메일 에코시스템에 크게 의존하고 있다" 며 "이 때문에 사이버 공격과 브랜드 이미지 손상의 위험이 높다"고 분석했다.
코스피 200기업을 타깃으로 한 사이버 공격은 관련 산업 내 큰 반향을 일으키면 다양한 이해관계자와 기업에 재정적 타격을 미칠 가능성이 있어 위험하다는 분석이다.
에반 두마스 부사장은 "올해가 DMARC 프로토콜이 개발된 지 10년이 되는 해인데 한국을 대표하는 기업들 중에도 우수한 기술을 활용한 보호 시스템을 갖추지 못한 기업이 있어 안타깝다"고 말했다.
이석호 프루프포인트코리아 대표는 "이메일 공격 사례가 전 세계적으로 증가함에 따라 기업은 직원들에게 자기 자신과 중요한 기업 정보를 보호하기 위한 지식과 도구를 제공하는 것을 최우선시 해야 한다"며 "민간 부문 기업도 이메일 인증 프로토콜을 채택해 사이버 공격 위험을 낮출 때다"라고 설명했다.
이어 "직원 인식 교육 외에도 사이버 보안 표준은 기업이 스스로를 보호하기 위해 신뢰할 수 있는 확실하고 명확한 보안 기준을 만들 수 있다"고 말했다.
앞서 한국인터넷진흥원(KISA)은 모든 공공 부문 조직에 DMARC를 포함한 엄격한 이메일 인증 표준 채택을 권고했다.
이유정 기자 uzzoni@chosunbiz.com