사이버 보안
통계 및 인사이트

보고서에 따르면²⁹ 전 세계적으로 하루에 34억 건 이상의 피싱 이메일이 유포되고 있습니다. 이는 전 세계 이메일 트래픽의 약 1.2%를 차지하는 규모입니다.

Hornetsecurity의 이메일 텔레메트리 데이터³⁰에 따르면, 1년간 450억 건의 이메일을 분석한 결과 36.4%가 스팸 등 원치 않는 이메일로 나타났으며, 이 가운데 3.6%는 악성 이메일로 분류되었습니다. 해당 데이터 세트에서만 연간 약 5억 9천만 건의 악성 이메일이 확인된 것입니다.

8만 5천 건의 피싱 이메일을 대상으로 진행된 대규모 피싱 시뮬레이션 연구³¹에 따르면, 악성 링크를 클릭한 사람 중 51.6%가 가짜 로그인 페이지에 비밀번호까지 입력한 것으로 나타났습니다. "링크를 클릭한" 사용자 상당수가 실제 계정 정보까지 넘겨준다는 점을 보여줍니다.

GPU 성능이 계속 향상되면서 취약한 비밀번호를 해독하는 데 걸리는 시간도 꾸준히 짧아지고 있습니다. NVIDIA RTX 5090 GPU 12개를 병렬로 활용하면 공격자는 8자리 영문 소문자 비밀번호의 모든 조합을 약 3주 만에 시도할 수 있는데, 이는 2024년 대비 약 20% 향상된 수준입니다. ³⁴

유출된 비밀번호는 계속해서 대규모 자동 로그인 공격의 핵심 수단으로 악용되고 있습니다. 2020년에만 1,930억 건 이상의 크리덴셜 스터핑 공격 시도가 기록되었으며, 2024~2025년에는 이러한 공격이 전체 데이터 침해의 22%를 차지해 피싱을 제치고 최대 유출 경로가 되었습니다. ³⁴

수년간 보안 지침이 제공되었음에도 가장 많이 사용되는 비밀번호는 계속해서 매우 단순한 수준에 머물러 있습니다. '123456', 'password', 'admin' 같은 비밀번호가 여전히 전 세계 순위 상위를 차지합니다. 실제로 전 세계에서 가장 흔하게 사용되는 상위 10개 비밀번호 중 7개는 '123'으로 시작하는 단순 숫자 배열인 것으로 나타났습니다. ^34~35

보고된 공급망 사건의 최대 60%는 기술 업계를 겨냥한 것으로 나타났으며, 특히 다수의 고객사에 서비스를 제공하는 소프트웨어 벤더, 클라우드 서비스 업체, 데이터 분석 플랫폼이 주요 표적이 되었습니다.

공급망 사건의 약 17.4%는 주요 기반 시설로 분류되는 분야를 직접 겨냥했습니다.

사건의 최대 49%는 100만~1,000만 달러 규모의 재정적 피해가 발생한 것으로 보고되었지만, 연쇄 파급 효과로 인해 실제 피해 규모는 직접 비용을 넘어서는 경우가 많습니다.

Financial Times 조사³⁶에 따르면, 2024년 분석 대상이 된 7,965건의 사이버 공격 중 30%는 공급업체, 서비스 제공업체 등 제3자를 경유해 시작되었으며, 이는 전년 대비 두 배로 증가한 수치입니다.

2025년 공급망 사이버 보안 동향 보고서³⁷에 따르면, 조직의 70% 이상이 지난 1년간 최소 한 차례 이상의 중대한 제3자 사이버 보안 사고를 겪었으며, 이 가운데 5%는 10건 이상의 사고를 경험한 것으로 나타났습니다.

2025년 소프트웨어 공급망 보안 보고서³⁸에 따르면, 오픈소스 생태계에서 개발자 비밀 정보와 기타 민감 정보 유출이 12% 증가했으며, 이는 널리 사용되는 구성 요소를 겨냥한 대형 침해 사고로 이어지고 있습니다.

피싱은 클라우드 설정 오류 관련 보안 사고에서 중요한 원인으로, 당사가 2025년에 분석한 클라우드 관련 보고서의 32.8%에서 확인되었습니다 이러한 결과는 현재 피싱이 전체 클라우드 관련 보안 사고의 약 3분의 1을 차지한다고 추정한 외부 기관의 2025년 분석⁴⁰과도 일치합니다.

Tenable 연구⁴¹에 따르면 클라우드에 저장된 데이터 중 9%는 누구나 접근 가능한 상태로 노출되어 있었으며, 이 가운데 97%는 API 키, 액세스 토큰, 비밀번호 등 제한 또는 기밀 정보에 해당하는 것으로 나타났습니다.

2025년 의료 분야 데이터 침해 사고의 평균 비용은 건당 약 742만 달러로 추산⁵⁰되었으며, 이는 산업 전반의 글로벌 평균보다 훨씬 높은 수준입니다.

미국 의료 기관을 대상으로 실시된 2025년 Ponemon/Proofpoint 연구⁵¹에 따르면, 93%가 지난 1년 동안 최소 한 번 이상의 사이버 공격을 경험했습니다. 기관당 평균 공격 횟수는 43건이었으며, 72%는 이로 인해 환자 진료에 실제 차질이 발생했다고 답했습니다.

2024년에는 Change Healthcare 사고를 비롯한 일부 초대형 침해 사고로 인해, 미국 인구의 80% 이상이 단 1년 동안 의료 데이터 노출로 실질적인 영향을 받은 것으로 보고⁵⁰되었습니다.

핵심 기반 시설 조직 전반을 대상으로 한 조사에서는 42%가 데이터 침해를 경험한 적이 있다고 답했으며⁵³, 15%는 지난 1년 내 침해 사고를 겪었다고 보고했고, 24%는 최소 한 건 이상의 랜섬웨어 사건을 경험했다고 밝혔습니다.

분야별 위협 인텔리전스 분석⁵⁴에 따르면, 58개의 추적 대상 랜섬웨어 그룹 중 18개가 12개국의 에너지 및 공공 서비스 분야를 공격했고, 피해 기관의 41%는 미국에 위치한 것으로 나타났습니다.

세계경제포럼(World Economic Forum)⁵⁵에 따르면, 자신의 조직이 사이버 복원력 최소 요건을 갖추고 있다고 판단하는 곳은 공공 기관 중 3분의 2에도 못 미치는 것으로 조사되었습니다.

또한 주정부와 지방자치단체 기관은 주요 소프트웨어 공급망 사고의 피해 대상이 되는 경우가 많습니다. 단 한 곳의 공급업체가 침해되어도 수백 개의 지역 행정기관, 지방정부, 대학이 동시에 영향을 받을 수 있음이 드러났습니다.

보고서⁵⁶에 따르면 최근 몇 년간 발생한 사이버 공격의 약 60%는 중소기업이 대상이었으며, 이는 중소기업이 대규모 공급망 구조에서 상대적으로 취약한 고리로 여겨지고 있음을 보여줍니다.

노출 위험이 커지고 있음에도 중소기업의 보안 대응 수준은 여전히 불균형한 상태입니다. 가장 최근 발생한 사고를 몇 분 안에 탐지한 중소기업은 3분의 1⁵⁷도 되지 않았으며, 많은 기업이 공격받는 빈도를 과소평가하고 있습니다.

미국에서는 공격자들이 방어 체계가 취약한 중소기업을 손쉬운 표적으로 삼는 사례가 늘어나면서, 소기업 대상 사이버 사고 발생률이 전년 대비 47% 증가한 것으로 조사⁵⁸되었습니다.