Board

지난 8월, 수도권 일부 지역에서 KT 이동통신망을 이용하는 고객들의 휴대전화 해킹을 통한 소액결제 피해가 발생했다. 조사 결과 불법 초소형 기지국을 이용한 해킹을 통해 모바일 상품권, 교통카드 충전에 무단 결제가 이뤄진 것으로 나타났다. KT가 국회에 제출한 자료에 따르면 18일 기준 전체 소액결제 피해자 362명의 피해 금액은 2억 4천만 원에 달했다. 이와 더불어 5천561명의 가입자식별번호와 2만 명의 단말기고유식별번호 및 휴대전화 번호가 유출됐다. 최근 이 같은 해킹 및 유출 범죄가 빈번하게 발생하고 있다. 4월에는 SK텔레콤에서 고객의 전화번호·가입자식별번호·유심 인증키 등 25종의 정보가 유출되는 사건이 있었다. 18일 롯데카드에서도 해킹이 발생해 297만 명에 이르는 이용자의 개인정보가 유출됐다.

해킹 및 유출 사고 이후 기업들의 대응이 늦어지면서 소비자들의 불안은 더욱 커지고 있다. 현행 「정보통신망법」은 기업이 침해 사고를 인지한 뒤 24시간 이내에 관계 기관에 신고하도록 규정하고 있다. 그러나 KT는 지난 15일 침해 사실을 인지하고도 72시간이 지나서야 신고를 접수한 것으로 드러났다. 기업은 피해 사실 인지 후 72시간 내에 정보주체에게 피해 사실을 통지해야 하지만 이 과정이 지연되기도 한다. 국회 정무위원회 소속 허영 의원실이 제출받은 자료에 따르면 2023년부터 2025년 7월까지 총 133개 기업이 개인정보를 유출하고도 기한 내에 정보주체에게 알리지 않아 개인정보보호위원회(아래 개보위)로부터 행정처분을 받았다. SK텔레콤 역시 4월 개보위에 신고했으나 정보주체에게는 한 달 넘게 해당 사실을 통지하지 않았다. SK텔레콤 유심 정보 유출 사고의 피해자인 김경돈(53)씨는 “해킹 소식을 뉴스로 접한 뒤 직접 홈페이지에 들어가서야 피해 사실을 확인할 수 있었다”고 전했다. 조효진 교수(정보대학원·정보보호/AI보안)는 “해킹 흔적을 발견했더라도 외부 공개로 인한 기업 이미지 타격을 우려해 신고 및 개별 통지가 늦어지는 경우가 많다”고 설명했다. 세종대 사이버보안학과 박기웅 교수도 “기업 입장에서는 개인정보 공격 사실을 공개하는 것 자체가 패널티로 작용한다”며 “과징금 부과 등 제재를 우려해 위협 관련 정보가 드러나지 않는 경우도 있다”고 말했다.

피해 사실이 드러난 뒤 KT·롯데카드는 전액 보상을 약속했고, SK텔레콤 역시 보상과 함께 통신사 변경을 원하는 고객에게 위약금을 면제하는 등 대응에 나섰다. 그러나 이미 유출된 개인정보에 따른 2차 피해 확산이 우려되는 상황이다. 조 교수는 “개인정보 유출은 정보 자체의 유출인 1차 피해를 넘어 금융사기, 신용훼손, 사생활 침해 등 2차 피해로 이어질 수 있다”고 말했다.

아주대 사이버보안학과 곽진 교수도 “유출된 개인정보는 불법적인 경로로 거래돼 다른 범죄에 악용된다”며 “특정인의 정보를 지속적으로 감시 및 추적하는 데도 활용될 수 있다”고 전했다. 실제로 국내 정보 보안 전문업체 ‘스텔스모어 인텔리전스’에 따르면 지난 2월 기준 다크웹에 유출된 한국인의 개인정보는 4억 6천만 건으로 추산됐다. A씨는 “복제폰이 만들어진 건 아닌지, 유출된 개인정보가 어디에 활용되고 있을지 알 수 없어 아직도 불안에 떨고 있다”고 전했다.

잇따른 개인정보 유출 사고로 우리 사회 전반의 개인정보 보안 인프라가 취약하다는 지적이 나온다. 전문가들은 특히 ▲정보보안 인력 부족 ▲투자 미비를 문제점으로 제시한다. 다국적 기술기업 시스코(Cisco)의 ‘2025 사이버보안 준비 지수’에 따르면 국내 기업의 97%가 숙련된 사이버보안 인력이 부족하다고 응답했으며, 34%는 ‘10개 이상의 보안 관련 포지션이 미충원 상태’라고 답했다. 조 교수는 “현재 많은 기업에서 보안 전담 인력 부족을 호소하고 있다”며 “전문 인력 없이 IT 부서에서 보안과 운영을 모두 담당하는 경우가 많아 사이버 공격에 효과적으로 대응하기 어렵다”고 말했다. 포티넷코리아가 발표한 ‘2025 글로벌 위협 환경 보고서’(아래 포티넷코리아 보고서)에 따르면 국내 기업 중 독립된 최고정보보호책임자*(Chief Information Security Officer, CISO)를 보유한 조직은 전체의 15%에 불과했으며, 63%는 IT와 보안 업무를 겸임하는 구조였다. 곽 교수는 “겸임 구조는 기업이 보안을 경영의 핵심 요소로 인식하지 않는 현실을 단적으로 보여준다”며 “중소기업의 경우 CISO의 타 IT 업무 겸직을 허용하고 있어 실제로는 보안보다 운영 효율성을 우선시할 가능성이 크다”고 말했다.

보안 투자가 충분하지 않은 것도 문제다. 한국인터넷진흥원의 ‘2024 정보보호 공시 현황’(아래 정보보호 현황)에 따르면 지난 2024년 국내 기업들의 정보기술 투자액은 약 35조 원에 달했지만 이 중 정보보호 투자액은 2조 1천억 원으로, 전체의 6.1%에 그쳤다. 미국 투자 평균치인 13.2%의 절반에도 미치지 못한 수치다. 최근 해킹 사고가 일어난 롯데카드는 올해 정보보호 예산을 2024년에 비해 약 15% 축소하기도 했다. 중앙대 산업보안학과 장항배 교수는 “정보화 및 보안 체계에 대한 선투자는 안전성을 확보하기 위한 보험과 같은 역할을 한다”며 “사고 예방과 사후 대응을 위한 필수 비용임에도 사고가 발생하지 않으면 불필요한 지출로 인식하는 문화가 만연해 있다”고 지적했다. 박 교수 역시 “재정 투자가 충분해야 인력 충원, 기술 보완 등 보안 문제를 다방면으로 해결할 수 있지만 현재 보안 관련 투자가 부족한 상황”이라고 말했다.

국내 사이버보안 체계의 구조적 한계 역시 신속한 대응을 가로막는 원인으로 지목된다. 현재 사이버보안 관련 업무는 ▲국가정보원 ▲개보위 ▲한국인터넷진흥원 등으로 분산돼 있다. 이로 인해 조사 과정에서 빠른 피해 내용 수집과 대처가 지연된다. 곽 교수는 “개인정보 유출 사고는 개보위, 침해 사고는 한국인터넷진흥원, 금융 사고는 금융위원회 등 개인정보 관련 사건을 각각 다른 부처에서 담당하고 있다”며 “신고 내용에 따라 별개의 사건으로 진행되면서 초기 사실관계 파악에 혼선을 겪게 된다”고 말했다. 실제로 이번 KT에서 발생한 소액결제 피해에 따른 침해 사고는 한국인터넷진흥원에, 며칠 뒤 개인정보 유출 사고는 개보위로 각각 신고됐다.

전문가들은 사이버 공격 사태 예방 및 대응을 위한 방안으로 ▲전문 기관을 통한 통합 대응 체계 구축 ▲보안투자 하한선 설정 ▲디스커버리 도입 ▲개인정보 관련 특별법 제정을 꼽는다. 특히 개인정보 보안을 담당하는 전문 기관을 신설해 분산된 조사·관리 체계를 일원화하는 것이 시급하다는 의견이 나온다. 곽진 교수는 “기업의 개인정보 관리 실태를 상시 감독하고, 정보 유출 사고가 발생할 시 신속하게 대응할 수 있는 통합적 체계가 마련돼야 한다”며 “신고 단계를 단일화해 기업의 신속한 신고를 권고하고 대응이 지연될 경우 벌금을 부과하는 등의 조치가 필요하다”고 말했다. 장 교수 역시 “개인정보 보호에 특화된 전문 기관을 통해 사이버보안 제도를 종합적으로 관리하고 보험 등 법적 장치를 조정해 신고부터 피해자 구제까지의 과정을 독립적으로 운영해야 한다”고 말했다.

보안투자 하한선을 설정해 기업의 투자를 유인하는 방안도 제시된다. 현재 정부는 예산편성 지침을 통해 정보보호 부문 투자 비율을 명시하도록 하고 있지만, 이는 일부 공공기업에 한정된다.

곽진 교수는 “AI 기술의 발전으로 공격 기법이 갈수록 정교해지고 있다”며 “이에 대응하려면 기업이 보안을 핵심 경쟁력으로 인식하고 적극적으로 투자할 수 있는 환경이 마련돼야 한다”고 강조했다. 조 교수도 “주요 업종별로 매출 대비 보안투자 비율 최소치를 설정해 준수 여부를 평가 지표에 반영하는 방법을 고려할 수 있다”고 말했다. 다만 획일적인 비율 강제에 대한 산업계의 반발을 우려하는 시각도 존재한다. 조 교수는 “보안 투자 관련 세제 혜택 등 인센티브를 제공하는 정책을 병행해야 한다”며 “중소기업의 경우 인력·예산이 열악하기 때문에 공동 관제 센터 및 보안 바우처 제도 등의 지원을 생각해볼 수 있다”고 전했다.

현행 법 제도의 한계를 보완하기 위해 개인정보 보안을 규제하는 특별법을 마련해야 한다는 의견도 있다. 우리나라에는 개인정보 보호를 포괄하는 「개인정보보호법」이 존재하지만, 통신 영역만을 별도로 다루는 통신보안 전용 법률은 존재하지 않는다. 이 때문에 개인정보·통신·금융 등 관련 사건이 발생할 경우 여러 법률이 분산해 담당하는 구조다. 이 교수는 “정보보안 관련 특별법 제정은 기존의 대응 방안이 분산됐다는 지적을 해소할 수 있다”며 “국제 공조 기반을 강화하고 국가 차원의 통합적 대응 근거를 확보할 수 있다”고 말했다.

곽진 교수 역시 “KT 사례와 같이 통신 인프라 취약점을 노린 공격에 대응하기 위해 기업의 책임과 의무를 더 강력하게 명시하는 법령이 포함돼야 한다”며 “기존 정보통신망법과 개인정보보호법, 신용보증기금법 등 통신과 개인정보 및 금융결제가 교차되는 영역을 조율하는 것이 핵심”이라고 전했다. 일례로 미국은 전자통신 프라이버시법(Electronic Communication Privacy Act, ECPA)을 제정해 개인의 전자 통신 영역에서 정보 수집 및 공유를 법적으로 보호한다. 박 교수는 “사이버보안은 빠르게 변화가 일어나는 영역이기 때문에 지속적인 모니터링을 통해 제도를 보완해 나가야 한다”고 전했다.

곽진 교수는 “기업의 책임과 국민의 관심이 뒷받침돼야 균형 잡힌 정보보호 생태계가 구축될 수 있다”고 강조했다. 지난 26일에는 국가정보자원관리원 대전 본원에 화재가 발생해 각종 정부 시스템 및 홈페이지가 마비되면서 정부서비스 이용이 차질을 빚기도 했다. 디지털과 인공지능이 일상이 된 지금, 사회 전반의 경각심과 선제적 대응을 바탕으로 한 디지털 인프라와 정보보안 강화가 절실한 시점이다.

[관련출처: 연세춘추]