사이버 보안 팬데믹 시대, 우리는 어떻게 대응해야 할까?

최근 2년 사이 통신사, 쇼핑몰, 은행, 증권사들의 보안망이 차례로 뚫렸습니다. 이달 초에는 미래에셋증권마저 해킹 공격을 받아 임직원과 퇴직자, 외주직원 등 약 3만 5천 명의 이름과 사번, 이메일, 휴대폰 번호가 유출되기도 했습니다. 요즘 뉴스를 볼 때마다 "내 정보도 진작에 어딘가에서 털렸겠지"라며 체념하는 게 일상이 된 듯합니다.

저는 작금의 사이버 보안 위기가 우리가 겪었던 코로나19 팬데믹과 무척 닮아 있다고 생각합니다. 당시 우리는 전염병이 얼마나 빠르고 교묘하게 일상을 파고드는지 온몸으로 배웠습니다. 지금의 사이버 공격 역시 세 가지 치명적인 공통점을 보입니다. 누구나 감염되고, 눈에 띄지 않게 번지며, 피해 사실을 너무 늦게 알아챈다는 것입니다.

첫째, 이제 사이버 공격은 대상을 가리지 않습니다. 2025년 한 해 동안 국내 기업이 정부에 신고한 침해사고는 2,383건으로 전년 대비 26.3%나 늘었습니다. 대기업만의 문제가 아닙니다. 규모가 작은 중소기업부터 개인 계정까지 모두가 타깃입니다.

게다가 바이러스가 변이하듯 공격 수법도 교묘하게 진화했습니다. 예전에는 어색한 번역투나 틀린 맞춤법만으로도 피싱 메일을 쉽게 걸러낼 수 있었지만, 지금은 인공지능(AI)이 타깃의 성향과 상황에 맞춘 자연스러운 메일을 순식간에 대량으로 찍어냅니다.
그렇다고 최근 발생한 굵직한 보안 사고들의 책임을 모두 AI 탓으로 돌려서는 안 됩니다. SK텔레콤, 쿠팡, 은행권, 미래에셋증권 등에서 발생한 대규모 유출 사고의 근본 원인은 AI라는 신기술이 아니었습니다. 계정 관리 부실과 같은 아주 오래되고 기본적인 관리망의 구멍이 문제였죠. 즉, AI는 완전히 새로운 바이러스라기보다 감염의 전파 속도를 폭발적으로 높이는 "가속 페달"에 가깝습니다.

둘째, 가장 무서운 것은 기나긴 "잠복기"입니다. SK텔레콤의 경우 2025년 4월에 정보 유출 사실이 드러났지만, 정부 조사 결과 해커의 침입 흔적은 무려 2022년부터 존재했습니다. 3년 가까이 증상 없이 감염된 상태로 방치되었던 셈입니다. 촘촘한 감시 체계를 자랑하는 금융권조차 첫 침입을 알아채는 데 15시간 이상이 걸렸습니다. 정부 실태조사를 보면 사태의 심각성이 더 명확해집니다. 해킹 피해를 입었다고 답한 기업보다 "피해 여부조차 모르겠다"고 답한 기업이 37배나 많았습니다. 아예 검사를 하지 않으니 내부에 바이러스가 퍼진 줄도 모르는 아찔한 상황입니다.

셋째, "무증상 전파"가 일어납니다. 만약 다른 사이트에서 유출된 내 비밀번호를 이용해 해커가 내 업무용 이메일에 조용히 숨어들었다고 가정해 봅시다. 해커는 내가 진행 중인 거래 내역을 훔쳐보다가, 결정적인 순간에 내 이름으로 거래처에 "결제 계좌가 변경되었다"는 메일을 보냅니다. 늘 연락을 주고받던 내 메일 주소로 온 요청이기에 거래처는 아무 의심 없이 돈을 입금합니다.
실제로 금융감독원 통계에 따르면, 2021년부터 2025년 상반기까지 발생한 은행 송금 과정의 무역사기 1,591건 중 95% 이상이 이런 이메일 해킹 수법이었습니다. 진짜 비극은 금전적 피해가 발생한 거래처에서 먼저 난리가 나고, 정작 메일의 주인인 나는 가장 마지막에 이 참사를 알게 된다는 점입니다.

그렇다면 우리는 이 사이버 팬데믹에 어떻게 맞서야 할까요? 저는 코로나19를 극복하며 몸에 익힌 "방역의 순서"를 그대로 사이버 세계에 적용하면 된다고 봅니다.

가장 기본은 "개인위생"입니다. 회사 메일에는 반드시 다른 곳과 구별되는 독립적인 비밀번호를 설정하고, 2단계 인증을 켜야 합니다. 소프트웨어 업데이트 알림이 뜨면 미루지 않고 그날 바로 설치하는 습관도 중요합니다. 외출 후 손을 씻는 것처럼 사소해 보이지만, 이 작은 실천이 대다수의 감염을 1차로 막아냅니다.

다음은 "증상 확인"입니다. 해커들의 사기 수법이 아무리 다양해져도 결국 끝은 송금 유도, 계좌 변경, 인증번호 요구로 귀결됩니다. 이런 요청을 받으면 일단 한 박자 쉬고, 메일이나 문자에 적힌 번호가 아니라 내가 원래 알고 있던 담당자의 연락처로 직접 전화를 걸어 확인해야 합니다. 회사 서버에서 정보가 새어 나가는 건 직원 한 명의 힘으로 막기 어렵지만, 악성 링크를 누르고 돈을 송금하는 그 "마지막 클릭"만큼은 내가 통제할 수 있습니다. 백신이 감염 자체를 완벽히 막진 못해도 중증으로 악화하는 것을 막아주는 이치와 같습니다.

"빠른 신고" 역시 필수입니다. 확진 사실을 숨기면 지역사회 감염이 걷잡을 수 없이 커지듯, 사이버 보안에서도 실수를 감추면 해커에게 활개 칠 시간만 벌어줄 뿐입니다. 현행법상 신고 기한은 침해사고 발생 시 24시간, 개인정보 유출 시 72시간 이내입니다. 직원의 보고가 지연될수록 회사가 대응할 수 있는 골든타임은 줄어듭니다. 악성 링크를 눌렀거나 의심스러운 상황이 발생했을 때 눈치 보지 않고 즉각 알릴 수 있어야 하며, 알린 사람을 탓하지 않는 문화가 정착되어야 다음 보고도 이어질 수 있습니다.

마지막으로 완성해야 할 것은 "집단면역"입니다. 공격자는 조직 내에서 보안 의식이 가장 취약한 단 한 사람의 빈틈을 노립니다. 나 혼자 조심한다고 끝날 일이 아닙니다. "계좌 변경 요청은 반드시 전화로 교차 검증한다"는 식의 원칙을 팀원 모두가 공유하고 지킬 때, 해커가 누구를 노리든 동일한 방어막에 막히게 됩니다.

이번에 이 주제로 두 가지 교육 과정을 개설한 이유도 바로 여기에 있습니다. 「사이버보안 팬데믹 시대, 우리의 대응법」은 전염병이 퍼지고 가라앉는 순서에 빗대어 공격의 흐름과 대응책을 짚어주고, 「해커의 시선으로 보는 나의 하루」는 우리의 평범한 일상을 공격자의 시선으로 뒤집어보며 어느 지점에서 방어막을 쳐야 하는지 직관적으로 보여줍니다. 특히 보안 전담 인력이 부족한 작은 회사에서 회계와 총무, 거래처 연락까지 도맡아 고군분투하는 분들을 생각하며 기획하였습니다.

팬데믹 방역에서 우리가 얻은 가장 큰 교훈은 "나 한 사람만 조심해서는 이 위기가 결코 끝나지 않는다"는 것이었습니다. 사이버 보안도 마찬가지입니다. 보안 교육이 일부 대기업이나 전담 직원의 몫으로만 남는다면 우리 사회 어딘가에는 계속해서 약한 고리가 남고, 그 틈을 타 공격은 또다시 번져나갈 것입니다.

지키는 방법을 아는 사람이 늘어날수록 우리 모두가 안전해집니다. 기회가 누구에게나 공평하게 열려 있어야 하듯, 일상과 일터를 지킬 힘 역시 누구에게나 주어져야 한다고 믿습니다.