- 일본에서 기업을 표적으로 한 사이버 공격에서 공급망이 방어의 사각지대가 되고 있음. 니혼게이자이신문사와 KPMG재팬이 일본국내 상장기업을 대상으로 실시한 공동 조사에서, 위탁처를 포함해 일본 국내 거래처를 경유한 공격이 가장 큰 피해를 입히고 있었음. 중소기업이 많아 대책이 늦어지는 점이 취약점으로 노려지고 있는 상황.
- 조사는 ‘25년 10~11월에 상장기업의 사이버 보안 담당자를 대상으로 진행하여, 424개사가 답변.
- 공격 경로별로 업무상 피해가 발생한 기업의 비율을 보면 ‘국내 위탁처·거래처’를 통한 공격이 10.8%로 최다. ‘자사 국내 거점’(8.4%)이나 ‘자회사 해외 거점’(동률) 등을 상회함.
- 상장기업은 평소 거래처와 시스템을 공유하거나 이메일로 연락을 주고받음. 공격자는 보안이 취약한 거래처를 공격해 인증 정보 등을 탈취해 발판으로 삼고, 그 다음 상장기업의 데이터를 훔치거나 암호화.
- 이러한 수법은 끊이지 않고 있어, ‘25년 10월 랜섬웨어 공격으로 사업이 중단된 아스쿠루는 업무 위탁처에 부여했던 관리자 계정 인증 정보가 악용. ’22년 오사카 급성기·종합의료센터의 피해 역시 위탁계약한 급식 업체의 시스템을 통해 침입당한 사례.
- 이번 조사에서는 일본국내 및 해외 위탁처·거래처에서 “공격이 있었는지 알 수 없다”는 응답도 30% 전후에 달해, 실태를 충분히 파악하지 못하는 사례가 많다는 것을 알 수 있음.
- 피해는 막대해, 지난 1년간 금전적 피해가 발생한 사이버 공격에서 총 피해액이 1000만 엔을 넘은 기업이 총 25.7%. 10억 엔 이상이라는 응답도 2.3% 있었음.
- 그럼에도 상장기업의 위탁처·거래처 보안 관리 노력은 미흡한 상태. 지침 마련(33.3%), 위탁처 선정 시 대책을 설문으로 확인(32.8%) 등이 주를 이룸.
- 정기적인 보안 감사를 실시하는 곳은 13.9%, 상대방에 대한 정기적인 교육·훈련 제공은 9.1%로, 심층적인 노력은 아직 부족한 실정.