[나병문 칼럼] KT 소액결제 해킹 사건이 몰고 온 파장이 만만치 않다. 초소형 기지국을 악용해 가입자 정보를 빼내고 이를 토대로 상품권 구매, 교통카드 충전 등을 반복 결제한 범죄 행위다. 피해 규모도 그렇지만, 국가 중요 인프라가 그토록 쉽게 뚫렸다는 사실이 더 충격적이다.
사건 발생 이후 KT 측의 안일한 대응도 비판의 도마 위에 올랐다. 관리 부실과 피해 축소 논란에 더하여 사후 보상 지연까지 드러나며 국민의 분노를 키웠다. 이번 사건은 단순한 금융 범죄가 아니라 국가 핵심 인프라의 취약성을 고스란히 드러낸 치명적 사건이다. 이제 사이버 공격은 어느 한 기업의 문제가 아니라, 국가 기반망(基盤網)을 송두리째 흔들어 경제와 안보를 위협하는 단계에 이르렀다.
문제는 이와 유사한 사고가 언제든 재발할 수 있다는 점이다. 우리 일상이 네트워크에 의존할수록 공격에 노출될 확률도 커진다. 클라우드와 원격근무, 스마트팩토리 등의 확산은 우리에게 편리함을 주지만 그만큼 위험이 뒤따르기 마련이다. 국내 굴지의 통신사도 그 정도로 쉽게 뚫리는데 규모가 작은 기업들은 말할 것도 없다. 북한이나 중국의 해커 조직이 불순한 의도로 침투한다면 그 파장이 어떨지 상상만 해도 끔찍하다.
이제 사이버 공간은 전쟁터가 되었다. 전력망과 금융망, 통신과 물류, 공항과 항만, 연구실의 데이터까지 모든 게 표적이다. K-조선·K-방산·반도체 같은 전략 산업은 더더욱 탐나는 먹잇감이다. 만약 설계도와 핵심 기술 자료가 유출된다면, 수십 년간 쌓아 올린 경쟁력이 한순간에 무너질 수 있다. 이는 기술 문제를 넘어 국가 안보와 산업의 생존이 걸린 중차대한 문제다.
빠르게 진화하는 해킹 기술
최근 들어 사이버 공격은 한층 정교하고 은밀해졌다. 과거의 단순 피싱이나 계정 탈취를 넘어, 산업 설비를 멈추고 도시의 서비스를 마비시킬 정도로 강력해졌다. 실제로 미국에선 2021년 해킹 피해로 인해 송유관이 멈추고 주유소가 텅 비어 비상사태를 선포한 적이 있었다. 유럽과 우크라이나에선 전력망이 꺼져 병원 응급실과 교통관제가 마비된 사례도 있다. 이제 어떤 곳도 사이버 공격으로부터 안전하다고 장담할 수 없게 되었다.
북한은 오래전부터 사이버 전력을 ‘비대칭 무기’로 키워왔다. 가상자산 거래소와 금융기관을 털어 외화를 조달하고, 방산·원전·교통 시스템을 노리는 정황도 심심찮게 제기된다. 나아가 중국·러시아와 연계된 고도의 지능형 사이버 조직들도 한국의 기술과 기밀을 호시탐탐 노리고 있다. 그들은 다층 우회로와 위장 인프라를 이용해 침투 흔적까지 지움으로써 공격자를 특정하기 어렵게 만든다.
적의 공격력은 갈수록 강력해지는데, 그에 대한 우리의 대비는 갈 길이 멀다. 물론 정부는 정부대로 해킹 방어 전략과 지침을 수립·운용 중이며, 대기업들도 나름의 대비책을 세우고 있다. 하지만 중소기업이나 영세 협력사 쪽의 사정은 열악하기 짝이 없다. 예산과 인력이 턱없이 부족하고, 암호 관리와 접근 통제 같은 기본 수칙이 기준에 못 미치는 경우도 허다하다. 어느 한쪽의 약한 고리가 뚫리면 곧바로 전체를 무너뜨릴 위험성이 상존한다.
생산 설비가 인터넷과 연결되면서 OT(운영기술)와 IT의 경계가 희미해졌다. 그에 따라 외부 유지보수 계정과의 원격 접속이 우회로가 된다. 협력사의 허술한 인증과 패치 관리로 인해 대기업의 방어벽이 쉽게 뚫릴 수 있다는 말이다. 그것 말고도 다양한 형태의 부주의가 침투 경로를 열어준다. 더욱 안타까운 건 사고를 인지하고도 신고를 미루는 탓에 골든타임을 놓쳐 대형 사고로 이어지는 경우도 많다는 점이다.
사이버 공격에서 살아나려면
세계는 앞다투어 사이버 공격을 막을 대책 마련에 고심하고 있다. 특히 미국을 비롯한 선진국들과 글로벌 대기업들은 인공지능을 이용한 방어 기술 개발에 박차를 가하고 있다. 사이버 공격과 방어 모두에 인공지능이 동원되고 있는 셈이다. 이처럼 인공지능이 창과 방패 역할을 주도하는 시대에 IT 강국임을 자부하는 한국은 사이버 공격에 얼마나 준비가 되어있는가? 안타깝게도 그러지 못한 게 현실이다.
그렇다고 정부가 마냥 방관하고 있다는 말은 아니다. 정부는 이미 사이버 위기 대응 모의훈련, 인공지능 기반 자동 방어 등 다층적 대응체계를 구축하고 있다. 허위 정보 및 사회 혼란 시도에 대응하기 위한 선제적 식별과 대응 기반을 마련하고, 미국과 일본, 영국 등과의 사이버 공조 체제도 가동하고 있다. 하지만 여전히 미흡하다. 범죄 수법은 하루가 다르게 진화하는데 대책 마련은 지지부진하다. 이번에 발생한 KT 사건만 봐도 그걸 알 수 있다.
앞서가는 몇몇 국가들의 행보는 우리와 확연하게 다르다. 미국은 이미 사이버사령부와 NSA를 중심으로 국가-민간 공조 체계를 가동하고 있다. EU는 GDPR과 NIS2 같은 법 제정을 통하여 기업의 의무와 보고 체계를 확립했다. 이스라엘은 민간 기업이 군 출신 인재들을 대거 영입하여 세계적 수준의 보안 생태계를 구축했다. 이들의 공통점은 기술 개발에 그치지 않고 법·제도·문화·인력까지 총체적으로 대응한다는 점이다. 한국이 배워야 할 대목이다.
디지털 안보는 곧 국가 안보다. 통신망, 공공 서비스, 전략 산업은 이미 사이버 공격의 표적이 되었다. 이번에 발생한 KT 소액결제 해킹은 빙산의 일각일 뿐이다. 이는 앞으로 사이버 방패 없이는 안보도 경제 성장도 보장할 수 없음을 말해준다. 사건이 발생할 때마다 미봉책으로 넘어갈 일이 아니다. 확실한 위기관리 체계와 법 제도 개선, 인력 양성, 국제 공조가 맞물려야 제대로 된 방어력이 생긴다. 정부와 국회, 관련 기업들의 분발을 촉구한다.
저자 소개
나병문(rabmna1958@naver.com)
-전국퇴직금융인협회 금융시장연구원 연구위원
-SN경영연구원장
-경영학박사, 전 우리은행 지점장
