서버를 마비시키거나 개인정보를 빼가는 해킹 공격이 금융 통신 온라인플랫폼 등 대상을 가리지 않아 이용자 불안이 고조된다. 지난 4월 국내 최대 통신사인 SK텔레콤에서 무려 2324만여 명 개인정보가 유출된 데 이어 예스24 SGI서울보증 웰컴금융그룹 등이 피해를 입더니 최근엔 KT와 롯데카드가 타깃이 됐다. 해커들이 기업 내부망에 직접 침입해 가입자 정보를 훔쳐가거나(SK텔레콤 웰컴금융그룹 롯데카드), 랜섬웨어 공격으로 서버를 마비시키는(예스24 SGI서울보증) 식이다. KT처럼 초소형 기지국(펨토셀)으로 통신 이용자 정보를 빼돌려 소액결제에 사용하는 방식도 동원된다. 단순한 개인정보 유출을 넘어 금전 피해까지 발생하는데도 속수무책이다.

조좌진 롯데카드 대표이사 등 관계자들이 18일 서울 중구 부영태평빌딩에서 해킹 사고로 인한 고객 정보 유출사태에 대해 대고객 사과를 하고 있다. 오른쪽은 같은 날 종로구 KT광화문빌딩에서 김영걸 KT 서비스프로덕트 본부장이 소액결제 피해 관련 기자회견을 하면서 고개 숙여 사과하는 모습. 연합뉴스

회원이 960만 명이나 되는 롯데카드 해킹 사고는 피해 규모가 애초 알려진 수만 명보다 훨씬 많은 300만 명 수준이다. 금융감독원에 잠정 보고한 유출 데이터는 1.7기가바이트(GB)였으나 실제로는 200GB 분량이었다는 게 18일 발표한 자체 조사 결과다. 온라인 결제 서버의 내부 파일이 통째로 빠져나갔기 때문에 카드번호 유효기간 CVC 등을 이용한 제2, 제3의 피해까지 우려되는 상황이다. KT 사건은 다행히 범인 일부가 잡히기는 했다. 그러나 범죄 전체를 설계하고 지시한 총책이 드러나지 않는 한 소형 기지국으로 통신 이용자의 개인정보를 해킹하고 소액결제까지 할 수 있었던 매커니즘은 오리무중이다. 앞서 SK텔레콤 사태를 일으킨 해커 조직은 검거조차 되지 않았다.

해킹 예방이나 근절 책임은 최우선적으로 개별 기업이 질 수밖에 없다. 민감한 개인정보를 보관하고 있으면 그에 합당한 투자를 통해 보안시스템을 강화해야 함에도 그렇지 못한 경우가 다반사다. 롯데카드만 해도 사모펀드 인수 이후 이윤 극대화를 위해 보안 관련 예산을 줄였다는 분석이 있다. KT 사태는 좀 더 따져봐야겠지만, 범죄자들의 초소형 기지국 장비 입수 경위가 KT측의 관리 부실 탓일 가능성이 거론된다. 적절한 폐기 절차를 거치지 않아 시장에 흘러나온 장비들이 지금도 암암리에 거래된다고 한다.

사이버 범죄 기법은 날이 갈수록 지능화 한다. 인공지능(AI) 기술 발달은 날개를 달아준 격이다. 미국 영국 등이 오래전부터 국가 차원 컨트롤타워를 만든 이유다. 우리나라는 금융위원회 산하 금융보안원, 과학기술정보통신부 산하 한국인터넷진흥원(KISA), 국무총리 직속 개인정보보호위원회 등으로 대응체계가 분산돼 있다. 전문인력과 노하우가 있는 조직을 중심으로 정보 공유, 기술 분석 등이 유기적으로 이뤄져야 한다. 그래야 수사기관과 역할 분담이 원활해진다. 개별 기업의 사후약방문격 보상이나 대처 약속만 믿어서도 안 된다. 고객 정보를 관리하지 못한 책임은 징벌적 제재 수준으로 물을 필요가 있다. 혀를 내두르게 하는 범죄 기법을 감안하면 사이버 보안 강화가 기업의 최우선 투자 고려 대상이 돼야 마땅하다.