[3줄 요약]
1. 업종을 가리지 않은 연쇄 사고, 소비자의 변화: 가만히 있지 않았다
2. ‘문서가 현장을 멈췄던’ 현실, 복구와 방어가 보고로 분산돼
3. 회복력이 관건... 지원과 복구를 시스템으로 만들어야

[보안뉴스=이아람 기술사/한국정보공학기술사회] 2026년 새해가 밝았다. 2025년은 개인정보 유출이 단발성 사고가 아니라, 업종을 가리지 않고 서로 다른 방식으로 연쇄적으로 터졌다는 점에서 유난히 잔인했다.


[출처: gettyimagesbank]

이전에도 크고 작은 사고는 늘 있어 왔다. 하지만 2025년의 특징은 동시에, 다발적으로, 그리고 생활 전반을 겨냥해 발생했다는 데 있다. 어느 한 산업의 보안이 취약해서 생긴 예외라기보다, 사회 전체의 디지털 운영 방식이 가진 구조적 허점이 한꺼번에 드러난 징후에 가깝다.

더 큰 문제는 유출의 대상이 단순한 이름·연락처 수준을 넘어섰다는 점이다. 통신에서는 유심(USIM) 정보처럼 개인의 인증과 연결될 수 있는 정보가 흔들렸다. 플랫폼에서는 배송 정보와 주문 정보처럼 한 사람의 생활 패턴과 동선, 취향을 그려낼 수 있는 데이터가 위협받았다. 카드사에서는 결제 정보(CVC)처럼 금전 피해로 직결될 수 있는 민감한 정보가 거론되며 불안감을 키웠다. 개인정보는 이제 개인을 증명하고, 생활을 추적하고, 금융·거래를 움직이게 하는 ‘열쇠’가 되었다.

그래서 2025년의 유출은 단순히 ‘정보가 새었다’는 사건이 아니었다. 일상에서 당연하게 사용하던 인증, 결제, 배송, 통신의 신뢰가 동시에 흔들리며 “내가 사용하는 서비스들이 과연 안전한가”라는 질문을 사회 전체에 남겼다.

누군가에게는 스팸과 피싱의 불편함으로, 누군가에게는 계정 탈취와 금전 피해의 공포로, 또 다른 누군가에게는 “이제 어디까지 조심해야 하느냐”는 피로감으로 번졌다. 2025년은 결국, 개인정보가 단순한 관리 항목이 아니라 신뢰의 기반이라는 사실을 확인시킨 한 해였다.

사고가 반복되자 소비자도 달라졌다. ‘내 정보는 공공재’라는 체념 대신, 실제 행동으로 옮겼다. SKT 유심 사고 이후 5월 한 달 번호이동이 약 94만 명수준으로 치솟았고, 이용자 9175명이 46억 원대 손해배상 공동소송에 나섰다.

쿠팡 유출 국면에서는 2차 피해(피싱·스미싱) 우려가 커지며 KISA의 ‘털린 내정보 찾기’ 이용자도 급증했다는 보도까지 나왔고, 약 50만명이 단체소송에 참여했다. 신뢰가 깨졌을 때 소비자는 더 이상 “가만히 있지 않는다”는 신호다. 피해는 개인이 감당해야 할 불운이 아니라, 기업과 제도가 책임져야 할 비용으로 되돌아오기 시작했다.

점검·인증의 확대와 현장의 역설
그렇다면 우리의 대응은 어땠나. 이렇게 달라진 소비자 앞에서, 기업과 감독체계의 대응은 과연 실효적이었는가.

감독기관은 긴급 브리핑을 열고, 주요 기업 CISO를 소집해 자체 보안점검을 주문했다. 개인정보위 역시 조직을 늘리고 사전 점검 전담부서를 신설하는 등 체계를 강화했다. 위기 때 신속하게 움직이려는 의지 자체는 이해할 수 있다. ‘무언가를 하고 있다’는 메시지를 사회에 주는 것도 필요하다. 문제는 그 다음이다.

현장에서는 “문서가 현장을 멈춘다”라는 말이 절로 나온다. 사고가 날 때마다 점검과 자료 요구가 폭증하지만, 그 순간 보안 인력과 예산이 갑자기 늘어나는 조직은 거의 없다. 당장 해야 할 일은 동시에 쏟아진다.

영향 범위를 확인하고, 취약점을 봉합하고, 서비스 복구와 이용자 안내를 병행해야 한다. 그런데 여기에 각 기관별 점검표와 자료 제출 요구까지 겹치면, 조직의 한정된 역량은 복구와 방어가 아니라 보고와 대응 문서로 분산된다. 결과적으로 점검은 늘어나는데 방어력이 같이 올라가지 않는 구조가 된다.

더 근본적인 질문도 남는다. 인증은 왜 계속 사후에 무력해 보이는가. SKT는 사고 직전 정부 보안 심사를 통과했다는 보도와 함께 제도 실효성 논란이 불거졌고, 롯데카드는 ISMS-P 인증을 받은 직후 해킹을 당했다는 보도까지 나왔다.

그래서 정부가 ISMS-P 개선과 의무화 같은 대책을 내놓았지만, 인증이 만능 방패가 될 수 없다는 사실만은 분명해졌다. 인증은 최소한의 기준인 것이지, 공격자와의 경쟁에서 이겼다는 증표가 아니다.

인증이 주로 확인하는 것은 체계와 문서, 절차의 존재다. 반면 사고가 시험하는 것은 운영의 탄력성(Resilience)이다. 권한이 정말로 회수되는지, 패치가 정말로 제때 적용되는지, 로그가 실제로 보이는지, 탐지와 대응이 현장에서 굴러가는지, 백업과 복구가 계획이 아니라 훈련으로 검증됐는지.

즉, 인증은 과거의 준비 상태를 보여줄 수는 있어도, 위기 상황에서의 생존력을 보장해주지는 못한다. 그 간극이 반복될수록 인증은 ‘안전의 보증서’가 아니라 ‘안전하다고 믿게 만드는 종이’처럼 보이게 된다.

여기에 우리가 자주 놓치는 축이 하나 더 있다. 공격자는 언제나 밖에만 있지 않다. 실제 사고의 시작점은 악성코드나 취약점만이 아니라, 과도한 권한을 가진 계정과 느슨한 접근 통제인 경우가 많다.

퇴사자·협력사 계정이 제때 회수되지 않거나, 업무상 필요를 넘어선 권한이 누적되면 유출은 정상 접근의 형태로 조용히 발생한다. 그래서 내부자 위협은 개인의 일탈 문제라기보다 권한을 설계하고 운영하는 방식의 문제다.

권한은 최소화하고, 입사·이동·퇴사 과정에서 접근권한을 즉시 정리하며, 특권계정은 별도 통제와 승인 체계를 적용해야 한다. 무엇보다 누가, 언제, 무엇에 접근했는지를 남기고 이상 징후를 감지할 수 있도록 로그와 모니터링이 기본값이어야 한다.


▲2025년 주요 사건 사고 [출처: 한국정보공학기술사회]

투입이 아니라 운영과 회복력
여기서 흔히 등장하는 반론이 있다. 정보보호 공시를 보면 보안 투자와 인력이 우수한 기업에서도 사고가 발생한다는 점이다. 이 사실은 자칫 “어차피 뚫리는데 왜 투자하나”라는 투자 무용론으로 흐르기 쉽다.

그러나 결론은 그 반대다. 보안 투자는 분명 필요조건이고, 투자 없이 운영 역량이 생기지는 않는다. 다만 얼마를 썼는가만으로 안전이 보장되지 않을 뿐이다. 공시가 보여주는 것은 투입이고, 사고가 가르는 것은 투입이 운영으로 전환되는 방식, 즉 운영의 품질이다.

같은 예산과 인력이라도 결과는 달라진다. 권한이 최소화되어 있는지, 퇴사·이동 시 계정이 즉시 정리되는지, 취약점 패치가 일정에 밀리지 않는지, 로그가 쌓이기만 하는지 아니면 탐지·대응으로 연결되는지, 백업이 존재하는지 아닌지가 아니라 복구가 실제로 가능한지가 결국 사고의 크기를 갈라놓는다. 투자 규모가 아니라, 투자한 것들이 일상 운영의 규율과 자동화, 훈련으로 굳어졌는지가 핵심이다.

또한 대규모 기업일수록 공격자 입장에서 표적가치가 크고, 시스템·계정·협력사까지 포함한 공격 표면이 넓다. 서비스를 많이 제공할수록 외부 연동과 권한 구조는 복잡해지고, 그 복잡성이 곧 공격면이 된다. 그래서 현실적인 목표는 사고 0이 아니라, 사고가 나더라도 피해를 어디까지 제한할 수 있는가로 옮겨가야 한다. 다시 말해, 사고의 범위를 제한하고 빠르게 복구할 수 있는 역량, 회복력을 키워야 한다.

회복력은 선언이 아니라 지표로 관리될 수 있다. 침해를 발견하기까지 걸린 시간, 확산을 차단하고 서비스를 정상화하기까지 걸린 시간, 데이터 손실 범위(RPO/RTO), 공지의 속도와 정확성, 재발 방지 조치의 이행률같은 것들이 결국 이용자 신뢰를 좌우한다.

이제 성과 기준도 통과했는가가 아니라 버틸 수 있는가, 더 정확히는 얼마나 빨리, 얼마나 작게 수습했는가로 바뀌어야 한다.

2026년 과제: 지원·공조·복구를 시스템으로
그래서 결론은 단순하다. 우리는 점검을 강화하는 것만큼, 현장 방어력과 복구력을 실제로 끌어올리는 방식을 강화해야 한다. 인증은 시작점이어야지, 종착점이 되어서는 안 된다. 새해의 과제는 명확하다. 사고 이후의 점검이 아니라, 사고 이전·사고 직후에 작동하는 지원과 복구를 시스템으로 만들어야 한다.

첫째, 침해사고가 터졌을 때 기업이 숨기거나 버티기 전에 도움을 요청할 수 있는 창구가 있어야 한다. 대응은 속도전인데, 지원 체계가 신뢰를 주지 못하면 기업은 협조를 미루고 그 사이 피해는 확산된다. 둘째, 사고 사례와 침해지표(IOC, Indicator of Compromise)를 신속히 공유하는 상시 업종별 공조가 돌아가야 한다. 한 곳의 교훈이 다른 곳으로 즉시 전달되지 않으면 같은 공격이 같은 방식으로 다음 피해자를 만든다. 셋째, 백업·복구는 문서가 아니라 훈련이어야 한다. 랜섬웨어는 ‘막는 것’만으로는 부족하고, 빨리 일어서는 것이 곧 안전이다.

결론: 신뢰의 비용을 줄이는 길

▲이아람 기술사 [출처: 한국정보공학기술사회]
결국 우리 보안의 문제는 기술만이 아니다. 규모와 투자, 그리고 운영의 우선순위다. 많은 조직이 “보안을 한다”고 말하지만, 실제 예산과 인력, 의사결정의 무게추는 종종 기능 개발과 매출, 일정 준수 쪽으로 기운다.

보안은 늘 중요하다고 말하면서도, 막상 선택의 순간에는 이번 분기만 넘기자는 논리로 뒤로 밀린다. 그 결과는 익숙하다. 취약점 패치는 우선순위에서 밀리고, 권한은 누적되며, 로그는 쌓이지만 들여다볼 사람은 없고, 백업은 되어 있다고 믿지만 복구는 시험해본 적이 없다. 사고는 결국 그 빈틈을 가장 빠르게 찾아오는 방식으로 발생한다.

사후약방문식 점검을 늘리는 것만으로는 신뢰가 돌아오지 않는다. 점검이 많아질수록 현장은 더 바빠지고, 바쁠수록 보안은 더 취약해지는 역설이 반복된다. 이제는 무사고라는 구호보다, 사고가 났을 때 피해를 어디까지 제한할 수 있는지가 경쟁력이 되는 시대다.

이용자가 체감하는 안전은 사고가 한 번도 없었다가 아니라, 문제가 생겼을 때 숨기지 않고, 빠르게 알리고, 피해를 최소화하고, 재발을 막는다에서 나온다. 이것은 선언이 아니라 체계로 증명되어야 한다.

2026년에는 점검을 더 받는 사회가 아니라, 사고가 나도 빨리 회복하고 재발을 막는 사회로 바뀌어야 한다. 정부는 점검의 강도를 높이는 것만큼, 현장이 실제로 활용할 수 있는 지원과 공조의 구조를 설계해야 하고, 기업은 보안을 비용이 아니라 신뢰를 위한 운영 역량으로 대우해야 한다. 신뢰는 공짜가 아니다.

하지만 신뢰가 무너지면, 그 비용은 언제나 더 비싸다. 그리고 그 비용은 결국 기업이 아니라, 일상을 살아가는 이용자에게 돌아간다.

[글_이아람 기술사/한국정보공학기술사회]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>