사이버 공격은 더 이상 대기업만의 문제가 아닙니다. 오히려 보안 인력과 예산이 부족한 소기업일수록 해커들에게 매력적인 표적이 되고 있습니다. 이번 글에서는 소기업의 사이버 보안 지출 실태, 공격 피해 규모, 주요 위협 유형, 그리고 소기업 스스로 평가하는 보안 수준까지 핵심 통계를 정리해 드립니다.
소기업의 사이버 보안 지출은 어느 정도인가?
기업별 편차는 크지만, 일반적으로 많은 기업이 IT 예산의 15~20%를 보안 분야에 투자하는 것으로 나타납니다. 다만 사이버 보안 전문가들은 조직 전체 예산의 약 10%를 보안에 배정할 것을 권고합니다. 직원 1인 기준으로 환산하면 연평균 7~12달러 수준이며, 전체 IT 예산 중 사이버 보안에 할당되는 비중은 약 2~15%로 보고됩니다.
사이버 공격이 소기업에 미치는 영향
사이버 공격 한 번으로 사업 전반이 흔들릴 수 있습니다. 데이터 손실, 직원 감원, 운영 복구 비용은 물론, 기업 평판 훼손과 법적 문제까지 이어질 수 있습니다. 실제로 중소기업 소유주가 입는 평균 재정적 손실은 약 149,000달러에 달하는 것으로 조사되었습니다.
소기업 사이버 공격 핵심 통계
- 사이버 공격을 당한 소기업의 약 60%가 6개월 이내에 폐업합니다.
- 전체 데이터 침해 사고의 43%가 중소기업(SMB)을 표적으로 삼습니다.
- 2019년 영국 기업의 55% 이상이 사이버 공격 시도를 경험했으며, 특히 중소기업 대상 공격은 전년 대비 14% 증가했습니다.
- 직원 250명 미만의 미국 소기업 590곳을 대상으로 한 조사에서, 지난 12개월간 사이버 공격으로 인한 평균 피해액은 25,612달러였습니다.
- 2020년에는 하루 약 55만 건의 랜섬웨어 관련 공격이 발생했고, 평균 몸값 요구액은 약 25만 달러에 달했습니다. 코로나19를 빌미로 한 피싱도 급증해, 2020년 3월 9일부터 4월 6일 사이 '코로나' 관련 키워드로 등록된 웹사이트가 30만 개를 넘었습니다.
소기업을 노리는 주요 사이버 보안 위협 5가지
- 소셜 엔지니어링: 사람의 심리적 취약점을 이용해 중요 정보를 탈취하는 공격입니다.
- 랜섬웨어: 시스템을 잠그거나 데이터를 암호화한 뒤 금전을 요구하는 공격으로, 최근 급격히 증가하고 있습니다.
- DDoS 공격: 분산 서비스 거부 공격으로, 트래픽을 집중시켜 웹사이트와 서비스를 마비시킵니다.
- 서드파티(제3자) 소프트웨어 취약점: 외부 업체의 소프트웨어를 경유한 보안 사고가 늘고 있습니다.
- 클라우드 취약점: 클라우드 환경의 설정 오류와 보안 공백이 주요 공격 경로가 되고 있습니다.
대표적인 사이버 공격 유형
소기업이 알아두어야 할 주요 공격 기법은 다음과 같습니다.
- 멀웨어: 스파이웨어, 바이러스, 웜 등을 포함하는 가장 일반적인 보안 위협입니다.
- 피싱: 신뢰할 만한 발신자로 위장해 개인정보와 계정 정보를 탈취합니다.
- 중간자(MITM) 공격: 사용자와 서버 간 통신을 가로채 정보를 유출합니다.
- 서비스 거부(DoS) 공격: 서버에 과부하를 일으켜 정상 서비스를 방해합니다.
- SQL 인젝션: 데이터베이스에 악성 코드를 주입해 정보를 빼냅니다.
- 제로데이 공격: 아직 패치되지 않은 취약점을 악용합니다.
- 비밀번호 공격: 무차별 대입 등으로 계정을 탈취합니다.
- 크로스 사이트 스크립팅(XSS): 웹페이지에 악성 스크립트를 삽입합니다.
소기업이 사이버 공격에 취약한 이유
소기업 운영자는 언제나 바쁘기 마련입니다. 그만큼 직원들에게 충분한 보안 교육과 관리를 제공할 여력이 부족하기 쉽습니다. 그 결과 직원들의 부주의가 곧바로 보안 공백으로 이어집니다. 실제로 사이버 범죄 침해 사고의 95%는 인적 실수에서 비롯된다는 점이 이를 잘 보여줍니다.
소기업 스스로 평가하는 사이버 보안 수준
Small Business Trends의 설문조사에 따르면, 자신들이 사이버 위험과 공격을 '매우 효과적으로' 완화하고 있다고 답한 소기업은 단 14%에 불과했습니다. 같은 조사에서 소기업의 66%는 사이버 보안 위험을 우려하거나 매우 우려한다고 답했지만, 47%는 막상 방어 방법을 모른다고 밝혔습니다.
보안 대응 실태도 열악합니다. 소기업 소유주의 43%는 사이버 보안을 우선 과제로 여기지 않으며, 대다수는 체계적인 보안 대응 계획조차 갖추고 있지 않습니다. 소기업 5곳 중 1곳은 엔드포인트 보안 솔루션 없이 운영되고 있고, 52%는 IT 보안 전문 인력이 부족한 상황입니다.
소기업에도 사이버 보안이 필요한 이유
광대역 네트워크와 정보기술은 소기업의 생산성과 효율성을 크게 끌어올립니다. 그러나 그만큼 디지털 자산에 대한 위험도 함께 커집니다. 고객 데이터, 회사 데이터, 그리고 사업 자체를 지키기 위해서는 체계적인 사이버 보안 전략이 선택이 아닌 필수입니다. 보안 예산을 아끼려다 방어 체계가 무너지면, 오히려 훨씬 큰 비용을 치르게 될 수 있습니다.
마무리: 예방이 최선의 대응입니다
통계가 보여주듯 사이버 공격은 소중소기업에 피할 수 없는 위협이지만, 정작 예방·방어 조치는 미흡한 경우가 많습니다. 보안 예산 확보, 직원 보안 교육, 대응 계획 수립이라는 세 가지 기본기를 갖추는 것만으로도 피해 위험을 크게 줄일 수 있습니다. 공격은 '언제 올지 모른다'는 전제로 지금부터 준비를 시작하시기 바랍니다.