AI로 생성한 이미지

[한국미래일보=맹연정 대학생 기자]

2025년 4월 SKT의 대규모 해킹 사태를 시작으로 KT와 롯데카드, 그리고 11월 업비트와 쿠팡까지 2025년 한 해 동안 여러 건의 해킹 사태가 발생했다. 통신사와 금융기관, 이커머스 등 다양한 업계에서 고객의 개인정보가 대규모로 유출된 것이다. 

가장 최근 해킹 사태가 일어난 쿠팡의 경우 고객명, 연락처, 주소, 이메일, 주문정보 등을 포함한 3370만 건의 생활 밀착 정보가 유출되었는데, 이는 올해 최악의 해킹 사태로 여겨진 SKT(2300만 명)보다 더 큰 규모이다. 그리고 2011년 3500만 명의 피해가 발생한 네이트 해킹 사고 이후 최악의 유출 사고라고 지적되고 있다. 다만 쿠팡의 경우 외부 공격이 아닌 내부자의 소행으로 보여지고 있다. 

한편 SKT는 4월 2324만 명의 개인정보가 유출되는 해킹 사태가 있었고, 그 후 반년도 지나지 않은 9월에는 KT 가입자들의 개인정보가 불법기지국을 통해 유출돼 소액결제 피해를 입는 일이 있었다. 같은 달 롯데카드는 회원 297만 명의 카드번호, 유효기간, 주민번호, 휴대폰 번호, 결제 내역, CVC 번호까지 유출되는 사고를 기록했다. 국내 최대의 가상자산거래소인 업비트의 경우 이달 27일 445억 원 규모의 해킹 사고가 발생했다. 

롯데카드 해킹의 경우 CVC 번호까지 유출되어 피해 고객들의 카드 복제가 가능한 상황이었고, 최근 발생한 쿠팡 해킹은 피싱, 스미싱 등 2차 피해가 우려되고 있는 상황이다. 

올해 일어난 국내 해킹 사건들은 비슷한 패턴을 가지고 있는 것으로 분석된다. 

첫째, 뒤늦은 인지. 쿠팡 개인정보 유출이 시작된 시점은 6월 24일이다. 그러나 사실 파악 후 공지한 시점은 11월 29일로 5개월의 차이가 존재한다. SK텔레콤의 경우 해커가 침투하기 시작한 2021년부터 4년 동안 침입 탐지 및 방어 시스템이 가동되지 않았다. 그리고 KT 역시 불법기지국 접속 사실을 1년이 지난 뒤 파악했다. 

둘째, ISMS-P 인증 통과. SKT, KT, 롯데카드, 쿠팡 모두 국내 최고 수준의 보안 인증인 ISMS-P를 통과했음에도 대규모 정보 유출이 발생했다. 현재 해당 인증의 실효성이 계속 제기되고 있는 상황이다.

셋째, 피해 발표 번복. 쿠팡은 앞선 20일 4천 건의 정보 유출이 발생했다고 밝혔지만, 29일 7500배가 증가한 3300만 명으로 정정했다. KT와 롯데카드 역시 초반에는 해킹 피해는 없다는 입장을 고수하다가 뒤늦게 인정하는 태도를 보였다. 

해킹 발생 후 대기업들의 늦장 대응과 미비한 대처로 인해 사태 수습은 오롯이 이용자들에게 돌아갔다. 

이 세 가지 패턴 외에도 최근 발생한 해킹 사건들은 국가 배후의 해킹으로 보여지고 있다는 공통점을 갖는다. SK텔레콤, 업비트에서 발생한 해킹 사고의 배후로는 북한이 지목되고 있고, 이번 쿠팡 해킹 사태의 유력 용의자인 전 직원은 중국 국적으로 중국이 배후 세력으로 있는 것 아니냐는 가능성도 논의되고 있다. 

전문가들은 '관치보안'을 연이은 대기업 해킹 및 보안 문제 발생의 원인으로 지적한다. 관치보안은 우리나라 인터넷 보급 초기부터 구축한 국가 주도의 보안 시스템을 말한다. 이는 온라인 인프라를 빠르게 갖추는 데 긍정적으로 작용했지만, 기업에 보안 문제가 발생하면 정부를 탓하는 문제로 변모했다. 관치보안이 기업의 면죄부로 작용하게 된 것이다. 

관치보안으로 인한 문제점을 해결하기 위해서는 세제 혜택을 주는 방식 등 기업이 보안에 자발적으로 투자할 수 있는 방안들을 만들어야 한다고 전문가들은 지적한다. 더불어 ISMS-P의 실효성 강화, 기업 내부 탐지 및 대응 시스템을 구축하도록 유도해야 한다고 말하고 있다.