"누구 때문이야?" 덜컥 해고 생각만…몸값 뜯기고도 반년만에 또 털리는 기업들[은폐⑦]

은폐_해킹 당해도 숨는 기업들

<3부. 덮치면 끝장. 알면서도 왜>
[1]당했는데 또 당했다

랜섬웨어에 당해도 보안의식 '바닥'
중소기업 보안의식점수 매기니 34.9점
보안조직도, 해킹대응 매뉴얼도 미비

중소기업 보안시스템 의무화 규정 없어
IT인력난 극심…사람 뽑기 '하늘의 별따기'

사이버보험은 1년에 300만~500만원
5년째 보험 계약건수는 2만곳 수준

픽사베이

"누구 때문이야? 해고해야겠네."

지난해 한 전자기기 제조업체가 첫 번째 랜섬웨어 피해를 당하자 회사 대표는 격분했다. 해킹사고 발견부터 해커와 협상 과정까지 도맡았던 이 회사 전산팀 실무자는 "해킹을 당하고 나서 보고서를 들고 갔더니 첫마디가 해킹 원인을 제공한 직원을 색출해서 자르겠다는 것이었다. 중소기업용 보안관리 솔루션을 도입해야 한다는 대책 페이지까지 넘겨보지도 않더라. 결국 해커에게 몸값을 주는 걸로 끝났다"고 토로했다.

하지만 이 회사는 6개월 뒤 또다시 해킹 피해를 입었다. 이번에는 재무 담당 임원이 "해커에게 두 번씩이나 돈을 준 것이 굴욕적이지 않냐"고 전산팀 실무자를 다그쳤다. 실무자는 "'그럼 진즉 보안투자를 하셨어야지'는 말이 목구멍까지 올라왔다"고 당시 상황을 떠올렸다. 그는 "대표가 무관심하니 아무 대책이 없었던 것이다. 두 번 당한 것이 이상한 일도 아니다"고 말했다.

▲랜섬웨어 감염으로 '.locked'라는 확장자가 붙어 있는 업무파일들 (사진=피해기업 제공)

회사 대표부터 '보안의식' 바닥

랜섬웨어 공격을 당하고도 신고 안 한 채 속앓이를 한 기업들의 보안의식은 사후에도 밑바닥 수준을 벗어나지 않고 있다. 반년 만에 또 당한 건 '소 잃고 외양간도 고치지 않았다'는 얘기다. 이런 회사들은 적게는 수천만 원, 많게는 수십억 원을 해커에게 뜯긴 다음에도 아무런 조치를 취하지 않아 같은 사고를 반복해 당한다. 기업들이 얼마나 보안에 안일한지는 한국인터넷진흥원(KISA)이 지난해 중소기업을 대상으로 한 보안컨설팅 결과를 보면 실태를 알 수 있다. KISA 관계자는 "246개 중소기업을 대상으로 점검한 결과 정보보안 관리체계가 100점 만점에 평균 34.9점으로 매우 취약했다"며 "쉽게 말해 보안조직은 물론 해킹을 당했을 때 대응 매뉴얼이 없는 곳들이 대다수"라고 밝혔다.

과학기술정보통신부는 보안시스템을 의무적으로 갖추고 '정보보호관리체계(ISMS) 인증'을 받아야 하는 기업들을 지정한다. 그러나 여기엔 대형병원이나 학교, 연매출액 100억원 이상이거나 하루 이용자 수가 100만명 이상인 테크기업 정도가 해당할 뿐이다. 제조업 중심의 다수 중소·중견기업은 대상이 아니다. 보안체계에 구멍이 숭숭 뚫려있어도 정부에서 아무런 제재를 받지 않는다.

법적 의무가 없는 데다 경영진의 무관심까지 겹치면서 한 회사가 여러 차례 랜섬웨어에 당하는 경우가 생긴다. 안랩의 위협 인텔리전스 플랫폼 '티아이피(TIP)'가 제공하는 비공개 보고서에도 사례가 나온다. 제조업체 A사는 2년에 걸쳐 두차례 공격을 받았다. 2022년에는 '스내치'라는 데이터 유출 전문 해커조직에 털렸다. 지난해는 높은 기술력으로 악명을 떨친 '헌터스 인터내셔널'이 침입했다. 보고서는 "두 번째 공격이 발생했다는 것은 첫 번째 공격 이후 보안 취약점이 완전히 해소되지 않았거나 새로운 취약점이 발생했을 가능성이 높다는 의미"라고 설명했다.

안랩의 사이버 침해사고 대응 및 위협 인텔리전스 전담 조직 '에이-퍼스트(A-FIRST·AhnLab Forensic Intelligence ReSearch Team)'의 이명수 팀장은 "제조업, 특히 전통기업일수록 보안 중요성을 소홀히 하는 경향이 있다"며 "해커와 협상해서 돈을 보낸 이후라도 왜 해킹이 발생했는지 반드시 분석해서 대책을 세워야 한다"고 했다.

제조업은 IT 담당직원 구하기도 힘들어

물론 제조 분야 중소·중견기업이 할 말이 전혀 없는 건 아니다. IT 인력난이 극심해 전문인력 뽑기가 하늘의 별 따기다. 보안시스템을 갖춘다 해도 관리할 전문인력이 부족한 것이 현실이다. 취업 플랫폼 잡코리아가 2023년 직원 수 300인 미만의 중소기업(283곳)을 대상으로 한 조사에 따르면 채용이 가장 어려운 직무는 'IT·개발직'이 21.2%로 2위였다. '영업직(23.9%)' 다음으로 높았다. '전공 지식이나 경험을 갖춘 인재 찾기가 어렵다'는 것이 이유였다.

보안업계 관계자는 "젊은 개발자들은 월급도 부족하고 배울 게 없다는 이유로 제조기업에 취직하는 것을 원하지 않는다"며 "회사 전산담당자가 많아야 1~2명 있는 작은 회사보다 하나라도 더 가르쳐 줄 선배들이 있는 큰 회사에 가고 싶지 않겠나"고 말했다.

해킹사고가 터지면 혼자서 책임을 뒤집어써야 하는 것도 문제다. 의약품 관련 중소기업에서 18년째 전산팀장을 맡은 신모씨는 "보안체계를 갖추는 것은 경영진이 적극 나서서 지원해야 가능한 일"이라며 "작은 기업일수록 여기에 투자하는 곳이 보기 드물다"고 했다. 그는 "담당자는 거듭 대책을 요청하지만 들은 척도 안 하고 사고가 터지면 모든 것이 다 본인 잘못인 양 문책만 당하기 때문에 개발자들이 작은 기업에 가는 걸 꺼린다"고 했다.

사이버보험도 외면…"돈 아깝다"

두세 번씩 해킹을 당해도 금전적으로 구제받을 수 있는 방법은 있다. 가장 쉽게 떠올리는 게 사이버보험이다. 하지만 1년에 300만~500만원에 달하는 보험료가 아까워 사이버보험에 가입한 기업은 보기 드물다. 한 중소기업 대표는 "보험사에 문의해봤더니 기업 규모에 따라서 보험료가 큰 차이도 없어서 내 입장에서는 오히려 손해라고 느껴졌다"며 "직원들 4대보험에 화재보험도 있고 지금도 비용이 만만치 않은데 사이버보험까지 추가로 들긴 쉽지 않다"고 했다.

사이버보험에 가입한 기업은 지난 5년(2020~2024년) 내내 2만곳 수준이었다. 아시아경제가 박상혁 더불어민주당 의원실(국회 정무위원회 소속)을 통해 입수한 자료에 따르면 국내 보험사들이 보유한 사이버보험 계약건수는 2020년 2만1794건에서 지난해 2만2599건으로 3.7% 증가하는 데 그쳤다. 대형 보험사 관계자는 "기존에 사이버보험에 가입한 기업들 위주로 계약갱신만 이뤄지고 있다"며 "우리나라 전체 기업 수가 800만개를 훌쩍 넘는 걸 고려하면 미미한 수준"이라고 말했다. 이어 "결국 사이버위협에 미리 대비하는 극소수 기업만 계속 조심하고 나머지 기업은 무방비 상태라는 뜻"이라고 했다.

편집자주현실 세계에서 인질극이 벌어지면 누군가 신고를 하기 마련이다. 당한 사람이 직접 하든 주변에서 대신 하든 빨리 경찰에 알리는 게 급선무다. 그런데 랜섬웨어로 인해 벌어지는 사이버 인질극은 정반대다. 피해기업은 돈과 시간을 해커에게 몽땅 빼앗기고도 철저하게 숨기 바쁘다. 지난 10년간 총 2만건이 넘는 랜섬웨어 공격에 대응해 온 이형택 한국랜섬웨어침해대응센터장은 "SK텔레콤처럼 해킹을 당하면 신고하는 기업은 극히 드물다고 봐야 한다. 피해를 입고도 외부에 절대 알리지 않는 기업이 10곳 중 9곳은 된다"며 "해커는 돈만 챙기고 떠나는 구조가 반복되고 있다"고 했다.

전영주 기자 ange@asiae.co.kr
박유진 기자 genie@asiae.co.kr
심나영 기자 sny@asiae.co.kr