-암호화·계정관리·패치… 지켜야 할 최소선 무너지며 통신·금융·정부까지 연쇄 침투
-사후 수습에 멈춘 대응… 증거 사라지고 책임 흐려져, 예방 체계 없인 반복 불가피
최태원 회장이 유심 해킹 사고와 관련해 대국민 사과를 하는 모습 [사진=연합뉴스]
바다는 잠잠해 보였지만, 바닥은 이미 갈라져 있었다. 작년 한국을 덮친 사이버 침해사고는 ‘공격’이 아니라 ‘붕괴’에 가까웠다. 바깥에서 강하게 밀고 들어온 것이 아니라, 안에서 비워준 틈으로 흘러들어왔다.
26일 국회입법조사처가 정리한 자료를 보면 흐름은 단순하다. 작년 한 해 사이버 침해사고는 2383건. 2024년 대비 26.3% 증가했다. 숫자보다 더 위험한 것은 범위다. 통신(SK텔레콤·KT), 금융(SGI서울보증·롯데카드), 플랫폼(쿠팡•카카오), 공공(정부 행정망). 국민의 일상과 직접 연결된 시스템이 순서 없이 무차별적으로 뚫렸다. 개별 기업 사고가 아니라, 사회 전체의 기반이 동시에 흔들린 것이다.
겉으로는 사건이 분산돼 있다. 원인은 제각각처럼 보인다. 그러나 내면을 보면 하나로 결론으로 수렴된다. 보안이 작동하지 않았다는 것이다. SK텔레콤은 핵심 가입자 식별정보(IMSI)를 암호화하지 않은 채 저장했다. 인증의 출발점이 비문이 아닌 평문 상태로 남아 있었다.
SGI서울보증은 VPN 장비의 SSH 포트를 통한 무차별 로그인 시도를 막지 못했다. 이미 알려진 공격 경로였지만 방어에 실패했다. KT는 동일 인증서를 장기간 반복 사용했고, 내부망 접근 통제도 느슨했다. 쿠팡은 퇴직자 계정을 남겨둔 채 방치했다. 이 계정이 인증 체계를 우회하는 통로가 됐다. 롯데카드는 보안 패치가 되지 않은 서버를 장기간 운영했다. 모두 기술 문제가 아니라 기본적으로 해야 할 일을 하지 않은 결과다.
사고 유형을 묶으면 구조가 더 또렷해진다. 암호화·접근통제 같은 기본 조치 미이행, 자산·계정 관리 실패, 인증 구조 설계 취약, 공급망 관리 부재. 네 가지다. 이 네 가지가 '반복'됐다. 공격의 유형은 달라졌지만, 뚫린 지점은 매번 같았다.
특히 공공 영역은 설계 단계에서 이미 취약한 상태였다. 정부 행정망은 VPN과 인증 체계 보안 구조가 느슨하게 연결된 구조에서 공격자가 내부 접근 권한을 쉽게 확보했다. 그들은 한 번 내부에 들어오면 여러 민감정보 시스템으로 빠르게 확산됐다. 이는 수비수인 보안체계 설계자들의 문제다.
공급망에 대한 보안도 허술하긴 마찬가지였다. SK텔레콤은 협력업체 소프트웨어를 검증 없이 도입했고, KT는 펌웨어 구성요소 관리(SBOM)가 사실상 없었다. 외부에서 들어오는 코드와 장비에 대한 통제 없이 내부망이 연결돼 있었다. 공격자는 문을 두드릴 필요조차 없었다. 왜냐하면 이미 대문은 활짝 열려 있었기 때문이다.
사고 이후 대응은 또 다른 사이버 침해가 반복될 수 있음을 보여주는 사례에 가까웠다. 자료 보존 단계부터 원칙이 무너지면서 수사의 기반 자체가 흔들렸다. 일부 기업은 서버를 임의로 폐기하거나 로그 기록을 제출하지 않았다. 디지털 증거는 시간 경과에 따라 쉽게 소멸되는 특성이 있다. 이 때문에 수사 실무에서는 침해사고 발생 직후 가능한 한 신속하게 포렌식을 통해 기록을 확보·복원해야 한다고 본다. 그럼에도 초기 대응 단계에서 이러한 보존 조치는 제대로 작동하지 않았다.
현행 법 체계로는 이를 실효적으로 규율하기 어렵다. 자료 보존 의무 위반에 대한 형사처벌 규정이 명확히 마련돼 있지 않기 때문이다. 특히 과학기술정보통신부 장관의 명령이 있어야 자료 보존 의무가 발생하는 구조에서는, 침해사고 발생 직후 즉시 보존 조치를 강제하기 어렵다. 그 결과 증거는 소멸되고, 책임 규명 또한 곤란해진다.
이처럼 증거가 확보되지 않으면, 형사법의 대원칙인 증거재판주의를 따르는 사법부 역시 형벌 규정에 따른 정확한 판단을 내리기 어렵다. 결국 수사 단계에서의 자료 보존은 단순한 절차 문제가 아니라, 피해자가 최소한의 구제를 받을 수 있도록 하는 가장 기본적인 안전장치다.
문제는 여기서 멈추지 않는다. 처벌 구조 역시 현실을 따라가지 못한다. 해킹은 국경을 넘고, 범죄 수익은 가상자산을 통해 빠르게 이동한다. 그러나 수사와 자산 환수 체계는 여전히 국가 단위에 머물러 있다. 범죄 수익을 추적·환수하기 위한 현행 법적 장치는 정보통신 침해 범죄의 특성을 충분히 반영하지 못하고 있다. 그 결과 공격자는 이익을 남기고, 피해만 누적된다.
피해 보상 구조 역시 유사한 한계를 보인다. 개인정보 유출로 인한 손해배상 규모는 대부분 소액에 그치고, 집단소송 제도 또한 실효성이 제한적이다. 이 같은 구조에서는 기업 입장에서 보안 투자 비용보다 사고 발생에 따른 부담이 상대적으로 낮게 형성된다. 보안 투자는 후순위로 밀리고, 동일한 유형의 사고가 반복되는 결과로 이어진다.
앞으로의 문제는 대응의 방향이다. 현행 구조는 사고 이후에 작동한다. 침해가 발생하면 대응하고, 결과를 발표한 뒤 사후 조치를 정리하는 방식이다. 그러나 작년 사례는 이러한 대응 체계로는 한계가 있음을 보여준다. 제로트러스트 도입, 취약점 신고 활성화, 공급망 보안 강화, 인증제도 실효성 확보 등은 모두 공통적으로 사고 이전 단계에서 위험을 차단하는 데 초점이 맞춰져 있다.
국회입법조사처는 “정보보호 관리·감독 체계가 현장에서 제대로 작동하지 않았다”며 “사후 조사 중심에서 벗어나 예방 단계의 관리 기능을 강화해야 한다”고 강조했다.
작년 사이버 침해사고는 관리 부재가 누적된 구조적 실패다. 한 번 무너진 체계는 스스로 복구되지 않는다. 방치할수록 붕괴는 심화된다. 지금 필요한 것은 기본을 다시 세우는 일이다.
[뉴스로드] 최지훈 기자 jhchoi@newsroad.co.kr
댓글
0