민관 가리지 않는 해킹… “유출 이후가 더 위험”
민관 가리지 않는 해킹… “유출 이후가 더 위험”
민관 가리지 않는 해킹… "유출 이후가 더 위험"
2025년 국내 대기업과 커머스 플랫폼을 강타한 해킹 사고에 이어, 공공부문 정보시스템 전반에서도 외부 해킹에 취약한 구조가 확인되면서 사이버 리스크가 기업과 공공 영역을 가리지 않고 확산되고 있다. 해킹으로 유출된 개인정보가 피싱·금융사기 등 2차 범죄로 이어지는 구조가 고착화되면서, 사이버 리스크를 바라보는 보험과 제도 대응의 한계도 함께 드러나고 있다.
감사원은 지난달 26일 공개한 공공부문 개인정보 보호 및 관리 실태 감사 결과에서, 개인정보 보유량이 많은 공공 '집중관리시스템' 7개를 대상으로 모의해킹을 실시한 결과 7개 전부에서 보안 취약점이 발견됐다고 밝혔다. 감사원은 "외부 해킹에 의한 개인정보 유출 우려가 상존하고 있음에도 공공시스템 보안 취약점 점검 체계가 충분히 마련되지 않았다"고 지적했다.
감사원에 따르면 2021년부터 2024년까지 발생한 공공부문 개인정보 유출 사고의 95.5%가 외부 해킹에 의해 발생했다. 내부자의 고의 유출 비중은 0.1%에 불과해, 사이버 공격 대응 역량이 핵심 과제로 떠올랐다.
그럼에도 공공시스템은 주요 정보통신기반시설이나 전자금융기반시설과 달리 강화된 보안 취약점 점검 요건이 적용되지 않고 있는 것으로 나타났다. 일부 시스템에서는 권한이 없는 이용자가 타인의 개인정보를 조회할 수 있었고, 관리자 권한이 탈취될 경우 수만 명의 주민등록번호 등 민감 정보가 한 번에 유출될 수 있는 구조도 확인됐다.
접근권한과 인사 관리의 허점도 드러났다. 퇴직자나 보직 변경자의 시스템 접근권한이 적시에 말소되지 않아, 퇴직한 계약직 직원이 수개월간 공공시스템에 접속할 수 있었던 사례도 있었다. 개인정보 접속기록 관리 역시 미흡해, 운영자가 데이터베이스에 직접 접속해 정보를 조회하더라도 기록을 남기지 않거나 점검하지 않는 경우가 적지 않았다고 감사원은 밝혔다.
그러나 공공과 민간을 가리지 않고 유출된 개인정보가 단순한 1차 피해에 그치지 않고, 개인별 상황에 맞춘 '정밀 타깃형 사기'로 재가공되는 사례는 오히려 늘고 있다. 실제로 최근의 피싱·금융사기는 불특정 다수를 상대로 한 무차별 접근보다, 거래 이력이나 이용 서비스 정보를 바탕으로 신뢰를 먼저 확보한 뒤 접근하는 방식이 주류로 자리 잡았다.
이 과정에서 문자, 연락처, 사진 등 스마트폰 내 민감 정보를 직접 탈취하는 개인정보 탈취형 악성앱이 1년 새 53% 급증하며 최대 위협으로 부상했다. 해킹으로 확보한 정보가 맞춤형 사기의 일종인 '공격 설계도'로 활용되면서, 개인 피해 가능성은 더욱 커지고 있다는 지적이 나온다.
반면 개인정보 유출 이후의 국가 차원 대응 체계는 여전히 미흡하다는 평가다. 감사원은 개인정보보호위원회가 운영 중인 '털린 내 정보 찾기' 서비스가 다크웹에서 수집된 이메일 계정정보 위주로 제공돼, 실제 유출 경로인 웹사이트 계정정보를 충분히 반영하지 못하고 있다고 지적했다.
개인정보 노출 탐지 체계의 허점도 확인됐다. 탐지 대상 웹사이트 주소가 제때 현행화되지 않거나, 중요도에 따른 탐지 주기가 지켜지지 않아 대량 노출 위험을 키운 사례가 다수 발견됐다. 천 명 이상 개인정보가 노출된 정황이 확인됐음에도 실제 유출 여부를 파악하지 못한 채 장기간 방치된 사례도 있었다.
이처럼 대기업 해킹과 공공시스템 취약성이 동시에 드러나면서, 사이버 리스크의 최종 피해자가 개인으로 이동하고 있다는 점이 분명해지고 있다. 그러나 사이버보험은 기업의 직접 손실을 중심으로 설계돼 있어, 개인정보 유출 이후 발생하는 광범위한 2차 피해까지 충분히 흡수할 수 있는지에 대한 의문도 커지고 있다.
보험업계 관계자는 "사이버 사고는 손실 규모와 확산 경로를 사전에 예측하기 어려워 보험시장만으로 흡수하는 데 한계가 있다"며 "보안 투자와 제도적 변화로 사전대응이 되지 않으면 보험의 역할 역시 제한될 수밖에 없다"고 말했다.
