매일같이 들려오는 해킹과 개인정보 유출 소식에 대다수 국민은 자신의 정보가 이미 노출되었을 것이라는 자조 섞인 불안감을 느끼고 있다. 정부가 조사를 실시하고 매출액의 최대 10%에 달하는 과징금을 부과하는 등 대응에 나서고 있지만, 유출 사고는 줄어들기는커녕 오히려 늘어나는 추세다. 개인정보 유출 신고 건수는 2024년 307건에서 지난해 447건으로 45.6% 급증했으며, 올해 8월까지의 신고 건수는 579건을 기록하며 이미 전년도 수치를 넘어섰다. 한국인터넷진흥원에 접수된 올해 상반기 침해사고 역시 전년 동기 대비 19.5% 증가하며 심각성을 더하고 있다.
디지털 의존도와 관리 공백의 위험성
이러한 재난 수준의 해킹 사고가 발생하는 근본적인 배경에는 한국의 높은 디지털 의존도가 자리 잡고 있다. 과학기술정보통신부의 2025년 인터넷 이용실태 조사에 따르면, 국내 가구의 인터넷 접속률은 99.98%에 달하며 만 3세 이상 개인의 인터넷 이용률 또한 95%에 육박한다. 생활과 거래의 온라인화가 가속화되면서 공격의 접점이 늘어나고 데이터가 집중됨에 따라, 사고 발생 시 피해 규모 또한 걷잡을 수 없이 커지는 구조다. 하지만 높은 보급률만이 원인은 아니다. 금융위원회의 지난 10월 점검 결과, 555개 조사 대상 기업 중 130개 사에서 보안 패치 미적용, 기술지원 종료 시스템의 관리 부실, 24시간 관제 체계 미구축, 외부 시스템의 인증 및 인가 누락 등 심각한 관리 공백이 확인되었다.
AI 해킹 대응과 보안 인증 체계의 변화
실효성 있는 방어 대책을 위해서는 상시적인 점검과 조치가 필수적이다. 기존의 체크리스트 방식처럼 특정 시점에 일회성으로 확인하는 차원을 넘어, 보안 조치가 실제 현장에서 지속적으로 작동하는지 검증하는 체계로 전환해야 한다. 이에 정부는 '정보보호 및 개인정보보호 관리체계(ISMS-P)' 인증 의무화 범위를 확대할 계획이다. 인증 대상에는 서비스 관련 장비와 시설은 물론, 공격 경로가 될 수 있는 외부 연결 디지털 자산까지 포함된다. 또한 서면 점검에 그치지 않고 실제 작동 여부를 확인하며, 전문 인력을 투입해 취약점 진단과 모의 침투를 수행할 예정이다. 다만 중소기업들이 인증 대상에서 제외되는 문제는 해결해야 할 과제다. 이들 기업 역시 유출 위험이 큰 만큼, 정부가 인증에 필요한 예산을 지원하는 방식을 통해 의무를 부여하는 방안을 검토해야 한다.
통합 보안 거버넌스와 사이버보안청 신설 필요성
최근 금융권을 중심으로 나타나는 AI 에이전트 기반의 해킹은 더욱 위협적이다. AI 에이전트는 인간이 찾기 힘든 보안 허점을 신속히 찾아내고 여러 시스템을 동시에 타격할 수 있어, 사람이 일일이 확인하고 차단하는 기존 방식으로는 한계가 명확하다. 따라서 탐지부터 분석, 대응에 이르는 전 과정에 AI를 적용해 보안 결함을 상시 모니터링하고 이상 행위를 즉각 분석하는 AI 기반 방어체계 도입이 시급하다. 아울러 사후 조사와 처벌 중심의 소극적 대응에서 탈피해, 공격자의 신원과 자금 흐름을 끝까지 추적해 범죄 수익을 박탈하는 적극적 대응으로 전환해야 한다. 특히 해외 해커를 잡기 위한 국제 공조 체계 구축도 필수적이다.
현재 한국의 사이버보안 거버넌스는 국가안보실을 중심으로 과기정통부, 금융위원회, 개인정보위원회, 국가정보원, 행정안전부 등이 협력하는 구조다. 그러나 이들 기관의 조정 체계가 신속한 판단과 집행력을 갖추었는지는 의문이다. 사이버 공격이 공공과 민간, 금융의 경계를 무너뜨리는 만큼, 통합적인 대응이 가능한 가칭 '사이버보안청'의 신설을 검토해야 한다. 이 조직은 상시 위협 분석과 중대 사고 대응, 복구 지원은 물론 공격자 검거와 기술 개발, 인력 양성까지 총괄하는 컨트롤 타워 역할을 수행해야 한다고 이성엽 고려대 기술경영전문대학원 교수이자 한국정보통신법학회장은 강조했다.