[3줄 요약]
1. AI 등 기술 진보에도 해킹 사고는 급증 역설
2. 최첨단 공격 아닌 ‘SQL 인젝션’, ‘비번 재사용’ 등 기본기 부재가 원인
3. 2026년 과제는 ‘보안 문화’ 정착... 시스템 아닌 사람에 투자해야

[보안뉴스 조재호 기자] 지난해는 ‘대(大)해킹의 시대’였다. 매달 터져 나오는 개인정보 유출 사고와 랜섬웨어 공격, 그리고 국가 기밀 탈취 시도까지. 보안 업계에서 ‘역대급’ 혹은 ‘보안 불감증’이라는 수식이 과하거나 낯설지 않은 일상이 됐다.


[출처: gettyimagesbank]

하지만 이상하다. 기술은 어느 때보다 발전했다. 기존 보안 기술에 더해 인공지능(AI)의 발전으로 실시간 위협 탐지가 가능해지고, 차세대 양자내성암호(PQC)도 상용화되고 있다. ‘아무도 믿지 않는다’는 제로트러스트 보안 논의도 활발하다. 방패는 더욱 단단해졌는데 사고도 늘었다. 왜일까?

지난해 발생한 주요 보안 사고를 조금 더 자세히 들여다보면 답이 보인다. 2025년 보안 대란의 본질은 기술적 결함보다 ‘인적 리스크’(Human Risk)에 가깝다.

가장 최근 일어난 사고부터 살펴보자. 지난 연말 국내 웹사이트 20여곳의 데이터베이스(DB)가 유출된 일이 있다. 관련한 보안 공지를 살펴보면 우리가 대비하기 힘들었던 최첨단 해킹 기법이 동원된 것은 아니다. 10년도 더 된 고전 수법인 ‘SQL 인젝션’에 당하거나 관리자 페이지 비밀번호 설정, 업데이트 누락 등에 원인이 있다. 값비싼 보안 솔루션을 도입하고 정작 ‘기본’인 문단속에 실패한 격이다.

더 이상 해커들은 시스템의 취약점을 찾기 위해 고생하지 않는다. 훔친 인증 정보를 무차별 대입해 정문으로 들어온다. 지금도 논란 중인 쿠팡 사태도, 이동통신 3사 개인정보 유출 사건도 기술 이전에 인적 자원 관리 문제였다. 고도화된 위협에 대응할 ‘보안 인식’ 개선이 선행되지 않으면 이러한 사고는 언제든 다시 일어난다.

국내에서 보기 힘든 사례지만, 과도한 솔루션 도입도 문제가 될 수 있다. 매일 쏟아지는 수천·수만 건의 알림 속에서 정작 중요한 경고를 놓칠 수 있기 때문이다. 보안 담당자의 역량을 논하기 이전에 개인 혹은 팀이 감당할 수 없는 수준의 시스템 복잡도 역시 사고를 부를 수 있다.

지난해부터 시작된 보안 사고들이 우리에게 던진 메시지는 명확하다. “보안의 최종 방어선은 시스템이 아니라 사람”이라는 점이다.

2026년 새해는 보안 전략의 중심축이 기술 주도에서 ‘문화 정착’으로 이동해야 한다. 기술적 문제는 패치·업데이트로 해결할 수 있지만, 인적 문제는 교육부터 의식화 단계를 거쳐 하나의 문화가 되기까지 오랜 시간이 필요하다. 솔루션 도입을 넘어, 조직에 보안 DNA를 이식하는 ‘투자’가 절실한 시점이다.

대 해킹의 시대, 진짜 구멍은 시스템이 아니라 사람에 있다. 기술이 아무리 발전해도 그 기술을 운용하는 사람의 보안 의식이 뒤따르지 않는다면 밑 빠진 독에 물 붓기일 뿐이다. 새해엔 부디 ‘역대급’ 사고 대신 성숙한 보안 문화가 자리 잡기를 기대해 본다.

[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>