소상공인 개인정보 조회 정황
조폐공사·인제대 등 사고 잇달아

北 해킹조직, 국내 서버 30곳 공격 정황

중기부 ‘모두의창업’ 1·2차 모두 해킹
당국, 민·관·군 관리 체계 정비 방침

금융기관과 중소기업, 공공기관, 대학 등에서 개인정보 해킹·유출 사고가 잇따르며 피해가 전방위적으로 확산하고 있다. 인공지능(AI)을 활용한 공격 등 해킹 수법이 정교해지면서 기존 보안체계의 취약점이 드러나고 있다. 기업·정부의 대응에도 사고가 반복되는 만큼 보안 투자 확대와 전문인력 확충 등 근본적인 대응 역량 강화가 시급하다는 지적이다.

15일 노란우산이 위치한 서울 여의도 중소기업중앙회 로비 전광판에 관련 영상이 나오고 있다. 연합뉴스

15일 중소기업중앙회에 따르면 전날 노란우산 홈페이지 공지를 통해 외부의 불법적인 침해가 발생해 일부 고객의 개인정보가 조회된 정황이 확인됐다고 밝혔다. 중기중앙회는 성명, 주민등록번호 앞 7자리, 연락처, 자택 주소, 이메일 주소 등이 유출 가능성이 있다고 했다. 노란우산공제는 중기중앙회가 소기업·소상공인의 폐업 등에 대비해 운영하는 공제제도로 가입자가 192만명에 달한다. 실제 개인정보 유출 여부와 피해 규모는 확인되지 않았다.

카카오의 업무용 메신저 ‘카카오워크’를 운영하는 디케이테크인과 고객상담 위탁업체 메타엠, 기업용 소프트웨어 업체 더존비즈온 등에서도 잇따라 해킹 사고가 발생했다. 디케이테크인은 지난 9일 외부 공격자가 카카오워크 시스템에 비정상적으로 접근해 일부 이용자의 이름, 연락처, 메일 본문, 암호화된 메시지 등 개인정보를 빼낸 사실을 확인했다.

고객상담 위탁업체 메타엠도 일부 고객상담 시스템에 외부 공격자가 무단 접근해 전화번호와 상담 내용 등을 조회하거나 반출한 정황을 확인했다. 메타엠에 상담 업무를 위탁한 가상자산거래소 코인원은 고객 개인정보가 외부에 노출된 사실을 공개했다. 코인원의 거래 시스템이나 가상자산 지갑에 직접 침입한 정황은 확인되지 않았다. 앞서 고팍스, 빗썸 등 다른 가상자산거래소도 개인정보 유출 사고를 겪었다.

서울 서초구 빗썸 라운지 앞으로 시민들이 지나가고 있다. 뉴스1

조폐공사가 운영하는 모바일 지역사랑상품권 플랫폼 ‘착’(chak)에서도 3000여명의 개인정보가 외부에 노출되는 사고가, 경남 김해 인제대학교에서도 학생·직원들의 휴대전화 번호 등 개인정보 2만4000여건이 유출됐다.

정부 프로젝트에서도 개인정보 유출 사고가 되풀이됐다. 중소벤처기업부에 따르면 중기부의 2차 ‘모두의창업’ 사업에 참여한 AI 솔루션 공급기업 아미쿠스렉스에서 11일 외부 해킹 공격으로 총 2만28명의 개인정보가 유출되는 피해가 발생했다. 이 중 818명은 2차 모두의창업 참가자로 확인됐다. 앞서 6월 중기부의 ‘모두의창업’ 1차 사업 당시 합격자 5000명의 이메일 주소와 창업 아이디어, 심사평 등이 외부 유출되어 한성숙 당시 중기부 장관(현 국무총리)이 사과했다. 중기부는 이날 아미쿠스렉스에 대한 사업 선정 취소 등 제재를 검토하고, 다른 공급업체 49곳에 대한 긴급 보안점검에 나선다고 밝혔다.

이런 가운데 북한 연계 해킹조직 라자루스가 한국 서버 30곳을 공격 대상으로 삼은 정황도 포착됐다. 사이버 보안기업 사이퍼마는 최근 공개한 보고서에서 북한 해커들이 웹 서버에 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용하고, AI로 공격 기법을 선별해 침투를 시도한 것으로 분석했다.

정부는 청와대 합동회의를 여는 등 대책 마련에 나섰다. 국가안보실은 사이버 침해사고에 선제적으로 대응하기 위해 민·관·군의 시스템·네트워크 관리체계를 정비하고, 소프트웨어 명세서(SBOM) 도입을 앞당기기로 했다.

국가안보실은 지난 13일 송기호 3차장 주재로 ‘민·관·군 사이버안보 공동대응회의’를 개최하고 최근 국내외 주요 사이버 침해사고에 대한 공동 상황평가를 실시했다. 8월부터 민간·공공·국방 분야를 대상으로 추진 중인 시스템·네트워크 전수조사 상황을 중간 점검했다. 안보실은 시스템·네트워크 구성도를 최신 상태로 유지하는 관리체계를 조속히 정착시키고, 해외 정부기관과 소프트웨어 공급업체 등을 통해 취약점 정보를 공개 전 확보·공유해 선제적으로 예방조치를 시행할 계획이다.

전문가들은 보안사고에 대한 인식 자체를 바꿔야 한다고 지적한다. 임종인 고려대학교 정보보호대학원 명예교수는 통화에서 “현미경이 발명되자 그동안 못 보았던 세균을 알게 된 것처럼 AI 공격으로 기존에 안전하다고 생각한 것에서 취약점이 발견되고 있다”면서 “큰 투자를 해야 하고 기존 인력도 재훈련을 시켜야 한다”고 말했다.

이도형 기자, 편집국 종합