해외는 해킹 신고하면 면책주는데…한국선 '낙인효과'만

[이데일리 최연두 기자] 국내 기업 10곳 중 8곳은 사이버 침해 사고가 발생해도 이를 신고하지 않는 것으로 나타났다. 사고 사실이 외부에 알려질 경우 기업 이미지 훼손, 고객 이탈, 매출 감소 등 경영상 치명적인 타격으로 이어질 수 있다는 우려에서다.

(그래픽=이미나 기자)

국내 침해사고 신고율 19.6%

과학기술정보통신부와 한국정보보호산업협회(KISIA)가 올해 4월 발표한 ‘2024 정보보호 실태조사’에 따르면, 지난해 사이버 침해 사고를 겪은 기업 중 이를 관계 기관이나 수사기관에 신고한 비율은 19.6%에 그쳤다. 이는 전년 대비 11.1%포인트 증가한 수치지만, 여전히 낮은 수준이다.

사고를 신고하지 않은 이유로는 ‘피해 규모가 경미하다’는 응답이 73.7%로 가장 많았으며, ‘신고 절차가 복잡하다’(54.3%), ‘피해 사실이 알려지는 것이 두렵다’(17.6%), ‘어디에 신고해야 할지 모른다’(8.7%)는 답변이 뒤를 이었다.

실제로 SK텔레콤은 2022년 2월 23일 일부 서버 점검 중 악성코드를 발견하고도 이를 관계 기관에 신고하지 않았다. 예스24 역시 지난달 랜섬웨어 공격으로 웹사이트와 앱이 마비됐음에도 한국인터넷진흥원(KISA)의 기술 지원 제안을 거부해 늦장 대응 논란을 빚었다.

허위 해킹에도 기업 부담↑

반면 해킹 피해 규모는 상상을 초월한다. 국내에서는 SK텔레콤이 유심 정보 서버 해킹 사고 이후 고객 보상안을 반영하며 매출 전망치를 약 8000억 원 하향 조정했다. 미국에서는 의료 청구 시스템 운영사인 체인지 헬스케어(Change Healthcare)가 지난해 랜섬웨어 공격을 받아, 모회사인 유나이티드헬스그룹이 연간 23억~24억 달러(약 3조 원)에 달하는 복구 및 대응 비용이 들 것으로 추산했다.

익명성이 보장된 ‘다크웹’ 등지에서 기업명이 언급되는 것만으로도 기업에는 심각한 부담이 된다. 지난달 말 중국계 텔레그램 채널에는 가상자산 거래소 업비트 이용자의 개인정보라며 이름, 생년월일, 전화번호 등이 포함된 이미지가 유포됐지만, 해당 인물들은 업비트 고객이나 임직원과 무관한 일반인이었다.

같은 달 네이버 쇼핑 플랫폼 ‘스마트스토어’도 판매자 73만 명의 정보가 엑셀 파일 형태로 다크웹에 유출됐다는 의혹에 휘말렸다. 그러나 이는 플랫폼 자체가 해킹된 것이 아니라, 해커가 캡차(CAPTCHA) 등 1차 보안장치를 우회해 웹사이트에 노출된 공개 정보를 수집한 것으로 파악됐다.

해킹 사고 이후 기업 매출 타격 관련 이미지(사진=생성형AI 서비스)

신고 유도할 장치의 필요성

이처럼 대규모 해킹 피해가 반복되고 있지만, 기업이 침해사고를 자발적으로 공개하거나 위협 정보를 공유하도록 유도하는 제도적 장치는 여전히 부족하다. 현행 정보통신망법과 개인정보보호법은 개인정보 유출 사실을 필수적으로 신고하도록 의무화하고 있다.

기업들은 이런 사고를 투명하게 공개해도 얻을 실질적인 이익은 거의 없다고 지적한다. 오히려 안전조치 위반 등 관련 과징금과 평판 악화 등 부정적 결과만 따를 수 있어 공론화하긴 어려운 분위기라는 것이다.

최근 허위 해킹 주장에 휘말린 한 기업 관계자는 “실제로 유출된 정보는 없었지만, 해커가 내부 정보를 탈취했다고 주장하며 기업명을 거론하자 고객 문의가 쏟아졌다”며 “사실 여부와 관계없이 악의적 허위 정보만으로도 기업 이미지에 심각한 타격을 입을 수 있다”고 토로했다.

“美·英 면책 제도 참고해야”

해외에서는 사고 은폐의 악순환을 끊기 위해 ‘면책 인센티브’ 제도를 통해 사고 공개를 장려하고 있다. 미국은 오는 10월부터 시행되는 ‘사이버 사고 신고법(CIRCIA)’에 따라 주요 인프라 기업이 사이버 침해 사실을 72시간 이내에 보고하면, 일정 수준의 법적 책임을 면제할 예정이다.

영국 역시 일반개인정보보호법(GDPR) 체계하에서 사고를 신속히 보고하고 후속 조치가 적절히 이뤄졌다고 판단되면 과징금을 대폭 감경한다. 이처럼 신고된 사고 정보는 정부와 업계가 공동 분석해 재발 방지 대책을 수립하는 데 활용된다.

전문가들은 국내에서도 제도 개선과 함께 사회적 인식의 전환이 필요하다고 지적한다. 박태환 안랩 사이버시큐리티센터(ACSC) 본부장은 “기업이 해킹 피해를 입었을 때 신속한 원인 탐지와 관계 기관 신고, 사례 공유는 전체 사회의 보안 역량을 높이는 핵심”이라며 “정부가 익명 신고 시스템과 피해 기업 보호 정책을 강화해야 자발적인 신고 문화가 자리 잡을 수 있다”고 말했다. 이장노 파이오링크 보안사업본부장도 “사이버 공격은 어느 조직이든 당할 수 있는 일”이라며 “중요한 것은 얼마나 빨리 인지하고, 투명하게 대응하느냐다. 이를 뒷받침할 법적·사회적 환경 조성이 시급하다”고 강조했다.