22일 서울 종로구 정부서울청사에서 '범부처 정보보호 종합대책 합동브리핑'이 진행되고 있다. (왼쪽부터) 이용석 행안부 디지털정부혁신실장, 신진창 금융위 사무처장, 김창섭 국정원 3차장, 배경훈 부총리 겸 과기정통부 장관, 류제명 과기정통부 2차관, 이정렬 개보위 사무처장. [ⓒ연합뉴스]

[디지털데일리 김보민기자] 미국 보안 전문지 프랙이 제기한 '한국 정보시스템 해킹 의혹'이 사실로 드러나자 정부가 칼을 뽑았다. 정부는 단기적으로 수행할 범정부 정보보호 종합대책을 추진하고, 연내 장기 과제를 담은 국가사이버안보전략을 발표하겠다고 약속했다. 단기 종합대책에는 해킹 가능성이 있는 기업을 직권조사하고, 보안을 소홀히 한 곳에 징벌적 과징금을 부과하는 내용이 담겼다.

국회 과학기술정보방송통신위원회가 연 '해킹 국정감사'에서도 정부는 국가 차원에서 보안 체계를 재정립하겠다는 의지를 표했다. 정부의 책임도 무시할 수 없다는 입장을 표했다. 현장에는 올해 초부터 보안사고 중심에 선 통신3사 대표들이 줄지어 소환되기도 했다.

통신3사뿐만 아니라 보안기업 SK쉴더스도 해킹 사고 중심에 섰다. SK쉴더스는 한국인터넷진흥원(KISA)에 이어 개인정보보호위원회에도 신고를 완료했다. 개인정보위는 구체적인 유출 경위와 규모를 파악해 개인정보보호법 위반사항까지 면밀히 살펴보겠다고 강조했다.

◆ "국가 비상사태"…구멍 뚫린 한국, 정부 책임론 부상

정부는 22일 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 금융위원회 등이 참여한 범부처 정보보호 종합대책을 발표했다. 대책에는 공공·금융·통신 등 정보기술(IT) 시스템 1600여개를 대상으로 보안 취약점 점검을 실시하고, 반복적으로 사고를 낸 기업에게 징벌적 과징금을 부과하는 내용이 담겼다. 보안사고가 발생한 기업이 신고를 하지 않더라도 정부 차원에서 직권조사가 가능하도록 체계를 개편하겠다는 계획도 포함됐다. 정보보호 공시 의무 대상도 상장사 전체로 확대된다.

배경훈 부총리 겸 과기정통부 장관은 같은 날 브리핑에서 "국민 피해가 계속되는 현 상황을 국가 비상사태에 준하는 위기상황으로 받아들이고 있다"며 "이번 종합대책은 즉시 실행할 단기 과제 위주며, 국가안보실 중심으로 중장기적 과제를 총망라하는 국가사이버안보전략을 12월 발표하겠다"고 말했다. 정보보호 투자를 유도할 만한 대책이 빠져있다는 지적에 대해서는 "분명히 세제 지원이나 인센티브 등을 제공하는 방안을 내놓겠다"며 "전방위적 논의가 이뤄지고 있다"고 강조했다.

브리핑 현장에서는 민간기업이 아닌 정부부처가 책임질 수 있는 해킹 대책이 필요하다는 의견도 제기됐다. 배 부총리는 "정부도 책임을 부인할 수 없고 해킹 이슈에서 자유롭지 못하다는 것을 인정한다"고 이야기했다.

21일 국회 과학기술정보방송통신위원회 국정감사에 증인으로 출석한 관계자들이 대기하고 있다. 사진은 현장에 참석한 홍범식 LG유플러스 대표(왼쪽 첫번째), 유영상 SK텔레콤 대표(오른쪽 두번째), 김영섭 KT 대표(오른쪽 첫번째).

◆ 국감장 불린 통신3사…KT '김영섭 책임론' 질타

정부가 종합대책을 발표하기 하루 전에는 통신3사 대표가 소환된 과방위 국감이 열렸다. 현장에는 대형 보안사고로 우려를 낳은 통신 3사 대표가 출석해 조사 현황과 개선 방향에 대해 답했다. 여야 공세가 KT에 쏠리면서 SK텔레콤과 LG유플러스에 대한 질문은 상대적으로 밀리는 분위기였다. 대신 홍범식 LG유플러스 대표이사는 최근 제기된 계정권한관리시스템(APPM) 시스템 해킹과 관련해 신고를 하겠다는 입장을 표하기도 했다.

기업뿐만 아니라 정부와 관계기관에게도 책임이 있다는 질타가 이어졌다. 이에 정부는 연이은 보안사고에 정부 책임을 절감하고 있다는 입장을 밝혔다. 류제명 과기정통부 2차관은 "보안기업 SK쉴더스까지 연이은 사이버보안 사고가 발생하면서 국민께 불안을 끼쳐 큰 책임감을 느낀다"며 "부족한 점을 면밀히 들여다보고 개선점을 찾겠다"고 말했다.

현장에서는 '버그바운티' 제도를 활성화해야 한다는 지적이 나왔다. 한민수 의원(더불어민주당)은 "미국과 유럽연합(EU) 등 해외는 이미 버그바운티가 활성화돼 있지만 국내 기업은 자발적인 보안 투자 의지가 여전히 부족하다"며 "보안 취약점을 스스로 찾고 보완하는 데 투자를 아끼지 않아야 한다"고 강조했다. 버그바운티는 소프트웨어와 웹 서비스의 보안 취약점을 발견해 신고한 사람에게 포상금과 인센티브를 지급하는 제도다.

송경희 개인정보보호위원회 위원장이 10월22일 오후 서울 종로구 정부서울청사에서 개최된 2025년 제22회 개인정보보호위원회 전체회의에서 의사봉을 두드리고 있다. [ⓒ 개인정보위]

◆ SK쉴더스 해킹 결말은? 개인정보위도 조사 착수

이러한 가운데 보안기업 SK쉴더스를 둘러싼 해킹도 화두로 떠올랐다. 개인정보위는 "22일 SK쉴더스가 개인정보 유출 사실을 신고하면서 즉시 조사로 전환했다"며 "유출 경위와 규모, 개인정보보호법 위반 여부 등을 면밀히 확인할 예정"이라고 설명했다.

신고 내용에 따르면, 해커는 SK쉴더스 직원의 개인 이메일 계정에 침입해 업무 담당자의 개인정보가 포함된 자료를 유출한 것으로 추정된다. 유출된 정보에는 이름, 전화번호, 이메일 등이 포함된 것으로 알려졌다.

한편 SK쉴더스는 해커로부터 경고를 받은 지 일주일이 지난 18일 KISA에 침해 사고를 신고했다. 당시 회사는 KISA에 '허니팟(해커를 유인하기 위한 가상 환경) 기반 보안 테스트 중 개인 메일함 자동 로그인 설정으로 인해 정보가 유출됐다'고 보고한 것으로 전해졌다.

허니팟은 해커를 유인해 공격 행위를 탐지·추적·차단하기 위해 만든 가상 환경이다. 공격자가 표적이라고 믿도록 시스템을 위장한 뒤, 공격 기법과 침투 경로 등 위협 정보를 수집하는 것을 목적으로 한다. 허니팟은 애플리케이션과 데이터를 갖춘 정상 시스템처럼 보이기 때문에 사이버 범죄자들이 접근해 정보를 빼가거나 공격을 시도하도록 유도할 수 있다.