Security

침해사고는 왜 매년 반복되지만, 대응은 늘 익숙하고 질문은 제자리에! Part2

Donghwi Shin, Jin Kwak

Published: 11:23, 23 Jan 2026 (Updated: 14:07, 10 Feb 2026)

Photo by Kevin Ku / Unsplash

💡

Editor Pick
- 사고는 반복되는데, 질문은 제자리에 머물고 있음
- 질문을 바꾸기 위해 시선을 바꿔야하 상황
- 9가지 질문을 선정하고 논해보고자 한다.

본지는 Part1에서 인증제도, 지속적인 개인정보 유출 상황 파악, 공격자 행동, 정보보 공시 등에 대한 내용을 다루었다. Part2는 Part1에서 다룬 5개의 질문에 이어 다음 4개의 질문에 대한 내용을 기술하고 Part1과 Part2를 종합하여 결론을 맺고자 한다.

인증은 있었지만, 사고는 왜 발생했나
이미 유출된 개인정보, 정말 ‘더 이상 문제없나’
개인정보를 ‘누가 어디로 가져갔는지’가 핵심일까
공격자의 행동 변화는 일어나고 있는가?
침해사고 후, 정보보호 공시 분석의 한계
“암호화되어 있으니 안전하다”라는 말의 한계
결과만 묻고, 원인은 묻지 않았다
“랜섬웨어에 감염되었다”라는 현상을 바라보는 적절한 시선
대기업 중심의 침해사고 발생으로 명명되는 상황은?

A wooden block spelling the word encryption on a table — Photo by Markus Winkler / Unsplash

6.“암호화되어 있으니 안전하다”라는 말의 한계

침해사고가 공개될 때마다 반복적으로 등장하는 문장이 있다. “중요 정보는 암호화된 상태로 유출되었다”라는 설명이다. 실제로 2025년 다수의 개인정보 유출 사고에서도 비밀번호, 주민등록번호와 같은 민감 정보가 암호화되었거나 해시(Hash) 처리된 상태로 유출되었음을 강조하는 발표가 이어졌다. 이 문장은 마치 사고의 위험성을 일정 부분 상쇄하는 근거처럼 사용된다. 그러나 암호화되었다는 사실이 곧 안전함을 의미하는 것은 아니다. 오히려 암호화되었다는 말은, 이론적으로든, 실질적으로든 복호화가 가능한 상태로 존재한다는 뜻이기도 하다.

일부 기업은 “일방향 암호화, 즉 해시 처리되어 있어 복호화할 수 없다”라고 설명한다. 하지만 해시는 ‘복호화 불가’라는 표현과 달리, 동일한 해시값을 만들어내는 입력값을 찾는 방식으로 우회될 수 있다. 특히 충분한 연산 자원과 사전 데이터, 또는 재사용된 비밀번호 패턴이 존재할 경우 일부 값은 현실적으로 역추적할 수 있다. 이는 이미 여러 사고 사례에서 입증된 바 있다. 해시 처리 여부만을 안전의 기준으로 제시하는 것은 공격 환경의 현실을 충분히 반영하지 못한 설명이다.

더 중요한 문제는 암호화 키 관리에 대한 침묵이다. 암호화된 데이터가 안전해지려면, 최소한 해당 암호화에 사용된 키가 공격자에게 노출되지 않았어야 한다. 그러나 실제 사고 공지 어디에서도 “암호화 키는 안전하다”, “키 관리 시스템에는 접근 흔적이 없다”라는 설명은 찾아보기 어렵다. 데이터 유출 사실은 비교적 상세히 공개되면서도, 그 데이터를 보호하는 핵심 요소인 키 관리 영역은 공백으로 남는다. 암호화된 데이터와 함께 키 관리 서버 접근 권한이 탈취되었는지, 키가 동일 네트워크 내에 존재했는지에 대한 정보가 없는 상황에서 “암호화되어 있으니 안전하다”라는 설명은 지나치게 단정적이다.

공격자의 시선에서 암호화된 데이터는 결코 ‘쓸모없는 정보’가 아니다. 오히려 공격자가 바라보는 우선순위는 명확하다. 첫째, 중요한 데이터이며, 둘째, 암호화된 데이터는 복호화하라고 존재한다라는 인식이다. 공격자는 암호화된 데이터를 확보한 순간 포기하지 않는다. 오히려 더 많은 시간과 자원을 투입해 복호화 가능성을 탐색하고, 키 관리 구조와 시스템 설계를 역으로 추론한다. 암호화는 공격을 지연시키는 수단일 뿐, 공격자의 의지를 꺾는 장벽이 되지 않는다.

예를 들어, 대규모 서비스에서 암호화된 비밀번호 수백만 건이 유출되었다고 가정해 보자. 이 중 단 몇 개의 비밀번호만이라도 복호화에 성공한다면, 그 자체로 사고는 새로운 국면에 접어든다. 공격자는 복호화된 계정을 기반으로 실제 서비스에 로그인해 접근 권한과 내부 구조를 파악할 수 있고, 권한 분리 미흡, 관리자 기능 노출, 추가 취약점을 식별할 수 있다. 이는 곧 2차 침해, 추가 데이터 탈취, 또는 내부 시스템 확산으로 이어질 수 있다. 결국 암호화된 데이터는 공격자가 다음 단계로 나아가기 위한 출발점이자 발판이 된다.

2025년의 침해 사고들은 암호화 여부만으로 사고의 위험성을 판단하는 접근이 얼마나 취약한지를 보여준다. 암호화는 분명 중요한 보호 수단이지만, 그 자체가 안전을 보장하지는 않는다. 키 관리, 접근 통제, 운영 구조, 그리고 암호화된 데이터가 공격자의 손에 들어갔을 때 어떤 시나리오가 가능한지까지 함께 고려하지 않는 한, “암호화되어 있으니 안전하다”라는 말은 현실을 지나치게 단순화한 설명에 불과하다.

grayscale photo of tree roots — Photo by DeeDee Wang / Unsplash

7.결과만 묻고, 원인은 묻지 않았다

침해사고 보도와 사회적 논의는 대부분 “얼마나 유출되었는가”에 집중된다. 피해 규모, 과징금 액수, 주가 변동이 주요 관심사가 된다. 그러나 2025년 사고 사례들을 종합하면, 진짜 문제는 사고 이전 단계에 존재했다. 장기간 방치된 기존 시스템, 퇴사자 계정 미정리, 과도한 관리자 권한, 형식적인 보안 점검은 거의 모든 사고에서 공통으로 발견된다. 또한 침해사고가 발생하면 “랜섬웨어에 감염되었다”, “악성코드가 발견되었다”, “외부 비인가 접근이 있었다”와 같은 내용만 확인할 수 있다. 하지만 이런 문장들은 사고의 원인이라기보다, 이미 사고가 상당 부분 진행된 뒤 겉으로 드러난 결과에 가깝다. 랜섬웨어는 어느 날 갑자기 나타나지 않는다. 악성코드 역시 이유 없이 시스템에 설치되지 않는다. 외부 비인가 접근이 가능했다면, 그 이전 단계에서 반드시 방어선이 무너진 지점이 존재한다.

그럼에도 우리는 사고의 최종 단계에서 관찰된 현상만을 문제의 중심으로 삼는 경향이 강하다. “랜섬웨어에 감염되었다”라는 설명은 이해하기 쉽고, 상황을 단순하게 정리해 준다. 하지만, 이 설명만으로는 사고가 어디서부터 시작되었는지, 그리고 어떤 선택과 방치가 누적되었는지를 알 수 없다. 실제로 많은 침해사고에서는 랜섬웨어 실행 이전에 계정 탈취, 내부 시스템 정찰, 권한 상승, 추가 악성코드 설치와 같은 일련의 침해 활동이 이미 진행된 상태였다. 최종 단계만 바라보는 시선은 이러한 과정 전체를 가려버린다.

문제는 이로 인해 사고의 핵심 질문이 빠져버린다는 점이다. “어떻게 랜섬웨어가 설치되었는가”, “외부 비인가 접근은 어떤 경로를 통해 가능했는가”, “최초 침투 시점은 언제였는가”와 같은 질문은 사고 조사에서 가장 중요한 단서임에도 불구하고, 종종 뒷전으로 밀린다. 이는 사고 발생의 Root Cause, 즉 근본 원인을 묻지 않는 태도와 다르지 않다. 최종 결과만을 중심으로 사고를 정의하는 순간, 원인은 흐릿해지고 재발 우려는 그대로 남는다.

재발 방지를 위해 필요한 것은 ‘최종 상태’를 막는 대책이 아니다. 이미 내부에 침투한 공격자가 랜섬웨어를 실행하지 못하도록 막는 것만으로는 충분하지 않다. 그보다 중요한 것은 최종 단계에 이르기 전, 공격자가 어떤 활동을 했고 어디서 탐지·차단될 수 있었는지를 집요하게 추적하는 일이다. 계정 탈취 징후는 없었는지, 비정상적인 접근 시도는 감지되지 않았는지, 초기 침투를 허용한 취약점은 무엇이었는지를 묻지 않는다면, 사고는 형태만 바꾼 채 반복될 수밖에 없다.

2025년의 침해 사고들은 하나의 공통된 메시지를 던진다고 생각한다. 사고의 결과는 늘 눈에 띄지만, 원인은 조용히 지나간다는 것이다. 그리고 그 원인을 묻지 않는 한, 우리는 매년 새로운 사고를 처음 보는 것처럼 다시 마주하게 될 것이다.

black flat screen tv showing 20 00 — Photo by Brian McGowan / Unsplash

8.“랜섬웨어에 감염되었다”라는 현상을 바라보는 적절한 시선

2025년 침해사고에서 랜섬웨어는 가장 자극적인 키워드였다. 그러나 많은 사례에서 랜섬웨어는 침해의 출발점이 아니라 마지막 단계였다. 공격자는 이미 내부에 침투해 충분한 정보를 확보한 뒤, 협박 수단으로 랜섬웨어를 실행했다. 그런데도 대응과 논의는 종종 “랜섬웨어 감염”이라는 결과에만 머문다. 이는 사고의 본질을 흐리는 시선이다. 2025년의 침해사고들은 랜섬웨어를 하나의 ‘현상’으로 보고, 그 이전의 침투·확산·은닉 과정을 분석하지 않는 한 동일한 사고는 형태만 바뀐 채 반복될 것임을 경고하고 있다.

랜섬웨어 감염은 단순한 시스템 장애가 아니다. 그것은 개인정보 유출 가능성과 함께, 서비스 가용성을 직접적으로 무너뜨리는 사건이다. 파일이 암호화되고 시스템이 멈추는 순간, 이용자는 즉각적인 피해를 체감한다. 이 때문에 랜섬웨어 사고는 언제나 가장 눈에 띄는 침해사고로 인식된다. 그러나 문제는 여기서 멈춘다. 랜섬웨어 감염이라는 현상을 정보 유출과 서비스 중단이라는 결과로만 바라보는 시선은, 이 사건이 내포한 더 중요한 의미를 놓치게 만든다.

랜섬웨어가 실행되었다는 사실은 단 하나의 분명한 전제를 포함한다. 공격자가 해당 시스템에서 임의의 프로세스를 실행할 수 있는 권한을 확보했다는 것이다. 파일 암호화는 그 결과일 뿐이다. 공격자가 실제로 실행한 프로세스가 처음부터 랜섬웨어였는지, 아니면 정보 수집·권한 확장·백도어 설치와 같은 다른 악성 행위가 선행되었는지는 별도의 분석이 필요하다. 그러나 현실에서는 이 질문이 충분히 다뤄지지 않는다. 랜섬웨어가 발견되는 순간, 사고의 설명은 종종 그 지점에서 멈춘다.

이러한 접근의 위험성은 명확하다. 공격자가 랜섬웨어 이전에 어떤 프로그램을 실행했는지, 어떤 명령을 수행했는지를 확인하지 않는다면, 이미 시스템 내부에 남아 있는 추가 침해 흔적을 놓칠 가능성이 크다. 랜섬웨어는 공격자가 더 이상 자신을 숨길 필요가 없을 때 선택하는 수단이다. 다시 말해, 랜섬웨어 행위는 침해 사실을 적극적으로 드러내는 신호탄이자, 많은 침해사고에서 마지막 단계에 해당한다.

따라서 랜섬웨어 감염을 적절히 바라본다는 것은, “왜 파일이 암호화되었는가”를 묻는 데서 끝나지 않는다. 그 이전에 공격자는 무엇을 했고, 무엇을 할 수 있었으며, 무엇을 남겼는지를 함께 살펴봐야 한다. 랜섬웨어를 하나의 사건으로만 인식하는 순간, 우리는 공격자의 활동 범위를 과소평가하게 된다. 2025년의 침해사고를 통해 랜섬웨어를 종착점이 아닌 단서로 바라보는 시선이 필요하다는 사실을 인지했으면 한다.

four markers on table — Photo by Jon Tyson / Unsplash

9.대기업 중심의 침해사고 발생으로 명명되는 상황은?

침해사고가 알려질 때, 사고의 이름에는 대개 대기업이나 중견기업의 이름이 붙는다. 실제 침해가 어디에서 시작되었는지와 무관하게, 언론 보도와 공식 발표는 최종 피해 주체의 이름을 전면에 내세운다. 이에 따라 독자들은 자연스럽게 “대기업이기 때문에 공격을 당했다”, “공격자의 주요 표적은 대기업이다”라는 인식을 가질 수 있다. 그러나 이러한 명명 방식은 침해사고의 구조를 온전히 설명하지 못한다.

오늘날 대기업과 중견기업은 개인정보 처리의 전 과정을 독자적으로 수행하지 않는다. 고객 관리, IT 운영, 데이터 분석, 마케팅 등 다양한 영역에서 외부 기업과 위·수탁 관계를 맺고 있으며, 개인정보 역시 이 과정에서 여러 조직을 거쳐 이동한다. 즉, 침해사고의 결과는 대기업에서 드러날 수 있지만, 침해의 출발점은 전혀 다른 곳일 가능성이 상존한다.

그런데도 사고가 대기업 이름으로 명명되는 이유는 명확하다. 법적 책임과 사회적 파장이 가장 크게 나타나는 지점이 바로 그곳이기 때문이다. 하지만, 이 명명 방식은 의도치 않게 왜곡된 메시지를 만들어낸다. 마치 공격자가 대기업만을 주요 표적으로 삼고 있는 것처럼 보이게 만들고, 그 이면에 존재하는 수많은 위·수탁 기업과 중간 경로는 시야에서 사라진다.

공격자의 관점에서 보면, 반드시 보안 예산이 많고 주목도가 높은 대기업을 정면으로 공격할 필요는 없다. 오히려 보안 수준이 균일하지 않은 협력사나 서비스 제공사가 더 효율적인 침투 지점이 될 수 있다. 공격자는 최종적으로 대기업의 시스템이나 데이터를 노릴 수 있지만, 그 시작은 상대적으로 덜 주목받는 지점일 가능성이 높다. 대기업은 공격의 출발점이 아니라, 결과가 집결되는 종착지일 수 있다.

또한 개인정보를 확보할 수 있는 경로는 대기업에만 존재하지 않는다. 보험, 교육, 각종 서비스 기관 등은 장기간 축적된 민감한 개인정보를 보유하고 있으며, 때에 따라서는 특정 대기업보다 더 정교한 정보 집합을 다루고 있다. 공격자가 특정 대기업에서 직접적인 침투가 어렵다고 판단할 경우, 이를 대체할 수 있는 선택지는 산업 전반에 충분히 존재한다.

결국 대기업 중심으로 침해사고가 명명되는 현상은, 사고의 책임 소재를 명확히 하는 데에는 도움이 될 수 있지만, 공격 구조를 이해하는 데에는 오히려 걸림돌이 된다. 이름에 가려진 침해의 시작점과 경로를 들여다보지 않는다면, 우리는 계속해서 “누가 당했는가”만을 반복해서 확인할 뿐, “어디서부터 문제가 시작되었는가”라는 질문에는 도달하지 못한다.

맺으며: 2025년 침해사고가 던진 질문의 방향

2025년의 침해 사고들은 숫자로만 보면 이전 해들과 크게 다르지 않을지도 모른다. 그러나 사고를 바라보는 방식과 그 안에 드러난 구조를 찬찬히 들여다보면, 분명히 달라진 질문들이 존재한다. 우리는 여전히 “어디가 뚫렸는가”, “얼마나 유출되었는가”를 묻지만, 그 질문만으로는 더 이상 침해사고를 설명할 수 없다는 사실이 반복해서 확인되었다.

암호화되었는지만으로 안전을 단정하고, 랜섬웨어 감염이라는 현상만으로 사고를 설명하며, 대기업 이름이 붙은 침해사고를 보며 공격의 이유를 추정하는 방식은 모두 결과에 머무는 시선이다. 그러나 2025년의 사고들은 결과보다 훨씬 앞선 지점에서 이미 문제가 시작되었음을 보여준다. 암호화된 데이터는 공격자의 다음 목표가 되었고, 랜섬웨어는 침해의 종착점으로 기능했으며, 대기업은 공격의 출발점이 아니라 피해가 집결된 이름으로 남았다.

또한 침해사고 이후 반복되는 정보보호 공시는 보안 수준을 가늠하는 지표처럼 소비되지만, 제한된 분량의 정형화된 정보만으로는 보안의 실제 성숙도를 판단하기 어렵다. 얼마를 썼는지보다 중요한 것은 어떻게 운영되었는지, 무엇을 막지 못했는지, 그리고 왜 그 지점에서 실패했는지다. 그러나 우리는 여전히 그 질문을 충분히 던지지 않는다.

결국 2025년이 남긴 가장 중요한 메시지는 기술이나 예산, 특정 기업의 문제가 아니다. 그것은 침해사고를 바라보는 우리의 언어와 질문이 여전히 과거에 머물러 있다는 사실이다. 이제는 “유출되었는가”가 아니라 “어디서부터 시작되었는가”를, “누가 당했는가”가 아니라 “어떤 구조가 이를 가능하게 했는가”를 물어야 한다. 침해사고를 사건으로 소비하는 데서 멈추지 않고, 구조로 이해하려는 시선이 자리 잡을 때 비로소 같은 사고의 반복에서 벗어날 수 있을 것이다.