디지털 전환의 그늘…中企 랜섬웨어 '사각지대'

정부 관심 AI·AX쏠린 사이…'해킹 표적'된 中企
AI 기술 발전에 랜섬웨어 '진화 중'…방어는 '제자리'
中企 보안 예산 축소·정책 미흡…추경에서도 소규모

중소기업을 겨냥한 해킹 피해가 갈수록 심각해지는 가운데 예방을 위한 정책은 점점 더 오그라드는 형국이라 우려가 높아진다. 정부가 인공지능(AI)과 AI 전환(AX) 등 유망한 기술을 육성하는 데 집중하는 사이 중소기업의 정보보안은 관련 예산의 축소와 미흡한 정책 탓에 사각지대로 내몰리는 분위기다.

9일 한국인터넷진흥원(KISA)에 따르면 2022년부터 최근 3년간 접수된 랜섬웨어 신고 804건 가운데 655건(82%)이 중소기업에서 발생한 것으로 나타났다. 중견기업은 130건(16%), 대기업은 19건(2%)에 그쳤다. 랜섬웨어는 사용자 컴퓨터나 서버의 데이터를 암호화한 뒤 복구를 대가로 금전을 요구하는 사이버 공격 수법이다.

AI 기술의 발달로 랜섬웨어는 빠르게 진화하고 있다. 글로벌 보안 기업 카스퍼스키는 지난 5월 국제 안티 랜섬웨어의 날을 맞아 발표한 '2025 랜섬웨어 현황 보고서'를 통해 'AI 기반 랜섬웨어의 확산'을 피해 증가의 주요 요인으로 지목했다. 한 보안업계 관계자는 "IT 개발 환경에서 생산성을 높이는 핵심 기술인 AI와 거대언어모델(LLM)이 사이버 범죄자의 공격 생산성을 높이는 수단으로도 악용되고 있다"며 "방어자의 대응 난도 역시 덩달아 올라가는 것이 가장 큰 문제"라고 했다.

그런데도 중소기업이 정보보호 체계를 구축하지 못한 이유는 보안에 대한 인식 부족과 대응 역량의 한계 때문이다. 한국정보보호산업협회(KISIA)에 따르면 지난해 기업 규모별 정보보호 정책 보유율은 ▲10~50인 미만 기업 48.9% ▲50~250인 미만 기업 58.9%로 절반 수준에 머물렀다. 정보보호 예산 사용률은 49.9%에 그쳤다. 미사용 이유로는 '필요한 정보보호 활동이 무엇인지 몰라서(38.3%)'가 가장 많았다.

문제는 이를 지원할 정부 예산도 계속 줄고 있다는 점이다. 중소기업을 대상으로 정보보호 컨설팅, 보안 솔루션 도입 등을 지원하는 과학기술정보통신부의 'ICT 중소기업 정보보호 안전망 확충 예산'은 올해 57억원으로 2022년(173억원) 이후 급감했다. 중소기업의 사이버 침해 대응과 역량 강화를 위해 과기정통부와 KISA가 2014년 공동 설립한 '지역 정보보호지원센터'도 2020년 10개로 확대된 이후 더는 늘지 않고 있다.

중소기업계는 최근 정부의 관심이 AI·AX에만 집중되면서 중소기업 정보보호 대책이 우선순위에서 밀린 것 아니냐는 우려를 제기하고 있다. 최근 국회를 통과한 과기정통부의 제2차 추가경정예산은 총 1793억원인데, 역시 'AI 대전환'에 방점이 찍혔다. 이 가운데 사이버 침해사고 분석과 대응을 위한 예산은 ▲AI 기반 침해 대응체계 구축(50억원) ▲해킹·바이러스 대응 고도화(90억원) ▲인터넷 경로 보안 고도화(30억원) 등 소규모로 편성됐다. 중소기업이 체감할 수 있는 실질적 보안 예산은 여전히 부족하다는 지적이다.

업계에선 사이버 위협이 고도화되는 만큼 중소기업이 보안 역량을 키울 수 있도록 정부가 예산을 확대하고 실효성 있는 지원책을 마련해야 한다고 목소리를 높이고 있다. 김재기 S2W 위협인텔리전스센터장은 "예전처럼 과징금 등 처벌 위주의 규제 방식보다, 보안에 적극적으로 투자하고 역량이 뛰어난 중소기업에 예산 지원을 늘리거나 정부 사업에 대한 우선 참여권을 제공하는 등의 인센티브가 필요하다"고 했다. 이어 "이런 구조가 정착되면, 기업들도 자발적으로 보안에 더 투자하게 되고, 사이버 보안 문화도 더 성숙해질 것"이라고 덧붙였다.

최호경 기자 hocance@asiae.co.kr