대통령 순방단의 여권번호부터 은행 고객의 신상정보, 커피전문점 회원의 비밀번호까지. 국가와 기업에 맡긴 정보가 해킹 또는 부주의로 인해 잇따라 외부로 새면서 ‘해킹 포비아’가 일상 전반으로 번지고 있다. 외부 공격과 정보관리 부실에 대한 불안은 금융거래와 소비생활을 넘어 국가 의전·경호 영역까지 확대됐다. 정보보호가 개별 기업의 전산 문제를 넘어 사회 전체의 신뢰를 좌우하는 현안으로 떠올랐다.
4일 정부 발표와 관련 보도를 종합하면 지난 6월 이재명 대통령의 유럽 순방에 동행한 공군 1호기 탑승자 168명의 개인정보가 외부 악성코드 검사 사이트에 약 5개월간 노출됐다. 대통령 부부와 정부 인사, 경호인력, 수행원, 동행 기자 등의 이름과 생년월일, 여권번호 등이 담겼다. 국가 정상의 이동을 지원하는 보안문서마저 관리망 밖으로 빠져나간 것이다.
다만 이번 사건을 해킹으로 단정할 수는 없다. 외교부는 3일 문서의 생산·전달 경로 등을 조사하고 있다며 해킹보다는 관계자 부주의로 인한 유출에 무게를 뒀다. 대통령 부부의 여권은 재발급을 완료했고 다른 인사들에 대해서도 재발급을 진행하고 있다. 청와대는 순방 보안관리 체계의 전면 점검을 지시했다.
민간에서는 금융권이 연쇄 침해사고에 노출됐다. 금융위원회의 지난달 14일 발표에 따르면 신한은행 사고 전후로 침해가 확인된 금융회사는 은행·저축은행·캐피탈·가상자산사업자 등 16곳이다. 이름과 연락처, 주민등록번호, 이메일 등 정보 유출 규모는 약 10만건으로 파악됐다. 다만 당시 계좌 비밀번호나 카드번호 등 직접적인 부정결제에 악용될 정보의 유출은 확인되지 않았다.
생활 속 멤버십도 예외가 아니다. 할리스는 지난달 19일 약 276만건의 개인정보 유출을 신고했다고 밝혔다. 중복 회원이 포함된 신고 규모로 실제 피해 인원은 추가 확인 중이다. 회사는 현재 운영하는 고객 데이터베이스가 아니라 과거 멤버십 개편을 위해 제공한 임시 파일에서 정보가 유출된 것으로 파악했다. 2009년부터 2020년 2월 11일까지 축적된 고객 자료로 추정되며, 아이디와 비밀번호, 이름, 전화번호, 주소 등이 포함됐다.
종교단체에서도 경고음이 울렸다. 여의도순복음교회는 지난달 7일 자체 분석 결과 성도 85만명의 이름과 생년월일 등이 담긴 정보 변경 이력의 유출이 의심된다고 밝혔다. 금융거래와 소비생활을 넘어 종교활동 과정에서 맡긴 정보까지 유출 우려가 번진 셈이다.
유출 이후의 위험도 남는다. 할리스는 공식 안내에서 자사 멤버십뿐 아니라 같은 계정정보를 사용하는 다른 서비스의 비밀번호도 바꾸라고 권고했다. 출처가 불분명한 전화·문자·이메일에도 주의를 당부했다. 한 곳에 맡긴 정보의 유출로 이용자가 다른 서비스의 보안까지 다시 점검해야 하는 상황이다.
통계에서도 위협의 규모가 확인된다. 과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 올해 상반기 접수된 사이버 침해사고는 1236건으로 전년 동기보다 19.5% 늘었다. 직전인 지난해 하반기보다는 8.4% 감소했다. 디도스 공격과 악성코드 감염 등을 포함한 신고 통계로 개인정보 유출사고만 집계한 수치는 아니다.
공격의 고도화만 탓하기 어려운 대목도 있다. 금융당국이 지난달 8일까지 금융회사 555곳의 보안 상태를 체크리스트로 점검한 결과 130곳이 미흡사항을 보고했다. 최신 보안 업데이트를 적용하지 않거나 기술지원이 끝난 시스템을 제대로 관리하지 않은 사례가 있었다. 24시간 보안관제나 강화된 인증절차를 갖추지 않은 곳도 확인됐다.
연이은 사고는 개인의 주의만으로 정보를 지키기 어렵다는 점을 보여준다. 비밀번호를 바꾸더라도 기관이 보관한 과거 자료나 외부로 전달한 문서의 접근 권한까지 이용자가 통제할 수는 없다. 공격 차단과 함께 정보가 어디에 복제·보관되고 누구에게 전달되는지 관리하는 체계가 필요한 이유다. 핵심 시스템뿐 아니라 임시 파일과 외부 연결 지점까지 점검해야 한다.
이 대통령은 지난 3일 국무회의에서 공공과 민간에 흩어진 보안 기능을 총괄·조정할 ‘사이버 보안 차르’ 기구 구성을 적극 검토하라고 주문했다.
한 보안 전문가는 “과제는 조직 신설을 넘어 현장의 관리 공백을 줄이는 데 있다”며 “사고 뒤 비밀번호와 여권을 바꾸는 대응에서, 사고 전에 불필요한 정보 보관과 허술한 접근 권한을 줄이는 체계로 전환해야 한다”고 말했다.
김재원 기자 jkim@segye.com
