| 한스경제=석주원 기자 | 2025년은 국내 사이버보안 역사에 있어 최악의 한 해로 기록될 것으로 보인다. 통신, 금융, 전자상거래 등 국민 생활과 직결된 인프라에서 발생한 전례 없는 규모의 보안 사고는 기존의 경계 중심 방어 체계가 지능화된 공격자들 앞에서 얼마나 무력할 수 있는지를 여실히 보여줬다.
작년 4월 국내 이동통신 1위 사업자인 SK텔레콤에서 지난 3년간 2600만명 이상의 개인정보가 유출된 사건이 밝혀졌고 6월에는 국내 최대 인터넷서점 예스24가 랜섬웨어 공격으로 서비스가 마비됐으며 이후에 롯데카드, KT 그리고 최근 쿠팡에 이르기까지 대형 보안 사고가 잇따라 발생했다.
이와 함께 지난 3년간 정부기관에서도 중요 데이터가 유출된 정황이 해외 보안 매거진을 통해 공개되면서 국민들의 불안감이 갈수록 높아지는 상황이다. 2025년 발생한 일련의 보안 사고들을 분석해 보면 기술적 결함 이면에 자리 잡은 몇 가지 공통적인 구조적 문제점을 식별할 수 있다.
대형 통신사와 유통사에서 발생한 사고의 공통 원인으로 지목된 것은 ‘정보보호 거버넌스 체계의 마비’다. 보안이 IT 부서의 하위 업무로만 치부되면서 최고 경영진의 의사결정 구조에서 소외됐고 이는 보안 투자의 미흡과 사고 발생 시의 비합리적인 대응(은폐, 늑장 보고)으로 이어졌다.
공격자들은 보안이 상대적으로 취약한 협력업체, 유지보수 사업자, 혹은 개인 개발자의 PC를 첫 번째 침투 지점으로 삼았으며 이는 기업이 자사망뿐 아니라 연결된 모든 외부 솔루션과 파트너사에 대한 보안 가시성을 확보해야 함을 의미한다.
SK텔레콤의 사례에서 가장 치명적이었던 점은 민감 정보에 대한 암호화 조치가 제대로 이뤄지지 않았다는 점이다. 주민등록번호, 계좌번호, 유심 고유 정보 등이 평문으로 저장돼 공격자가 침투에 성공하자마자 즉시 활용 가능한 데이터로 전환됐다.
랜섬웨어 공격은 이제 단순히 데이터를 암호화하는 수준을 넘어섰다. 데이터를 유출한 뒤 공개하겠다고 협박하고 동시에 디도스(DDoS) 공격을 가하는 3중 갈취 전술이 보편화됐다. 동시에 RaaS(Ransomware as a Service) 모델의 확산으로 전문적인 해킹 기술이 없는 범죄 조직들도 강력한 악성코드를 구독해 공격에 참여하면서 중소기업부터 대기업까지 무차별적인 피해가 발생하고 있다.
이처럼 국가 전체의 보안 체계에 커다란 구멍이 발생하면서 2026년 새해에는 국가 보안망 전반에 대한 점검과 대책 마련이 무엇보다 시급한 과제가 됐다. 지난 9월 국가정보원이 발표한 ‘국가망 보안체계(N2SF)’ 가이드라인은 향후 국내 보안 체계 구축의 기반이 될 핵심 보안 전략을 담고 있으며 새해에는 이와 관련한 보안 시장의 움직임도 본격화될 것으로 보인다.
N2SF의 핵심은 모든 업무 정보와 시스템을 중요도에 따라 기밀(Classified), 민감(Sensitive), 공개(Open)의 세 가지 등급(C/S/O)으로 분류하고 각 등급에 맞춰 보안 통제를 차등 적용하는 것이다. 과거 모든 내부망을 일률적으로 차단했던 방식에서 벗어나 공개 등급의 데이터는 클라우드와 인공지능(AI)을 활용해 자유롭게 공유하되 핵심 기밀은 제로트러스트 원칙에 따라 더욱 강력하게 보호하는 것이 골자다.
‘아무도 신뢰하지 않고 항상 검증한다’는 제로트러스트 원칙이 N2SF의 설계 기반이 됨에 따라 신원 기반의 지속적 인증과 최소 권한 접속을 보장하는 보안 솔루션 수요가 폭발적으로 증가할 것으로 보인다. 이와 함께 ▲데이터 분류 및 관리 솔루션 ▲보안 게이트웨이 ▲클라우드 보안 ▲망연계 솔루션 ▲무선 보안 솔루션 등의 수요가 증가할 것으로 예상된다.
이와 함께 새해에는 미래 보안 기술로 불리는 AI와 양자 보안에 대한 연구와 실용화도 본격화될 전망이다. 이미 보안 시장에서 AI는 공격자와 방어자 모두에게 필수적인 기술로 자리잡았다.
공격자들은 생성형 AI를 활용해 악성코드 생성을 자동화하고 딥페이크 기술을 악용해 경영진이나 협력사 담당자를 사칭하는 사회공학적 공격을 감행하고 있다. AI 기술이 고도화될수록 공격자들의 AI를 악용한 공격 역시 정교해지고 있다.
새해에는 자율적으로 목표를 설정하고 침투 경로를 탐색하는 공격용 에이전트 AI의 등장이 예고돼 있다. 이에 맞서 보안 업계 역시 자율형 SOC와 AI 기반 위협 탐지 시스템을 대규모로 배치해 인간 분석가의 개입 없이도 기계의 속도로 위협에 대응하는 체계 구축에 나서고 있다.
업무에 AI를 활용함으로써 발생하는 간접적인 보안 위협도 증가 추세에 있다. 업무 편의를 위해 조직의 승인 없이 사용하는 섀도 AI 도구들로 인해 기업의 기밀이나 개인정보가 AI 모델 학습에 사용되고 외부 서버로 유출되는 사고가 빈번해질 것으로 예상된다. 기업들은 명확한 AI 사용 가이드라인을 수립하고 비인가 AI 서비스에 대한 가시성과 통제력을 확보하는 것이 시급하다.
양자컴퓨터의 실용화가 가까워지면서 양자보안에 대한 관심도 높아질 전망이다. 공격자들은 현재의 암호화된 데이터를 미리 수집해 두었다가 나중에 해독하려는 ‘선취 후 해독(Harvest now, decrypt later)’ 전략을 취하고 있다. 이에 대응하기 위해 새해에는 금융권과 공공기관을 중심으로 양자내성암호(PQC)로의 전환이 본격적으로 시작될 것으로 보인다.
보안업계 관계자는 “새해에는 국가망 보안체계의 본격 적용과 AI, 양자보안 같은 새로운 보안 기술 트렌드에 대응하기 위해 보안업계도 더욱 바빠질 것”이라며 “이와 함께 대형 보안사고의 여파로 공공과 기업들의 보안 예산 확대가 예상되면서 보안 산업에도 긍정적인 영향을 미칠 것으로 기대하고 있다”고 말했다.
Copyright ⓒ 한스경제 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
