국가 배후로 추정되는 해킹이 수년간 잠복하며 통신·행정 핵심 시스템을 파고들었지만 로그 기록 부족으로 피해 범위조차 특정하지 못하는 사례가 잇따르면서, 기업의 법적·재무적 리스크가 급격히 커지고 있다.

전문가들은 해커가 오랜 시간 시스템에 잠복했으며 금전을 요구하지 않았던 사례들에 '국가 차원 공격' 가능성을 지적하고 있다. 국가 차원 공격에서 보안 실패의 책임은 최종적으로 기업에 전가되고 있으며, 국가 차원 대응이 필요하다는 지적도 나온다.

22일 업계에 따르면 최근 보안 전문가들 사이에서는 이 같은 우려가 확산되고 있다. 업계 한 관계자는 "국가 공격이니 기업 책임이 없다는 것은 아니지만 국가 차원의 대응력을 결집해야한다"며 "기업도 기본적으로 보안 의무를 지켜야한다"고 말했다.

실제로 김승주 고려대 정보보호대학원 교수는 최근 전문가 행사에서 SK텔레콤(SKT) 해킹 사례에 대해 "금전적 이득을 노리는 민간 해커와 달리, 국가 안보 정보를 노린 전형적인 스파이 행위로 봐야 한다"고 말했다. 이와 함께 공무원 업무 기반 시스템인 온나라 시스템 해킹 또한 잠복 기간이 매우 길고 흔적을 최소화한 전형적인 국가 배후 공격이라며 민간 해커와 달리 금전 요구 없이 장기간 정보를 수집하는 스파이형 공격이라고 꼬집었다.

특히 SKT 사례의 경우 CDR(통화기록) 서버까지 악성코드가 침투했지만 로그가 부족해 어디까지 유출됐는지 확인이 불가한 상태라고 지적했다. 침투 시점이 SKT는 2021년 8월, 온나라 시스템은 2022년 9월로 추정되지만 인지까지 수년이 걸렸다. 로그가 남아 있지 않으면 유출 규모를 보수적으로 최대치로 가정할 수밖에 없어 과징금 산정과 손해배상 범위가 눈덩이처럼 불어난다. SKT는 최근 1300억원대 과징금 처분에 불복해 행정소송에 들어갔다.

현행 법은 사이버 대응 대상을 중앙행정기관과 공공기관 전체로 포괄해 국정원의 역량이 분산돼 있다. 이에 김 교수는 국가 기밀·국방·외교·안보는 국정원이 전담하고, 일반 영역은 공공 안전 관점의 별도 체계로 분리해야 한다고 제안했다. 미국이 기밀 등급은 NSA, 민간 인프라는 CISA로 이원화한 구조가 참고 모델로 제시됐다.

김 교수는 "그동안은 일반적인 해커의 눈높이에 맞춰 대응해 왔다면, 이제는 국가의 후원을 받는 엘리트급 해커를 막아야 하는 단계"라며 "국정원의 사이버 공격 대응 역시 국가 배후의 엘리트급 해커에 선택과 집중이 필요하다"고 말했다. 최근 드러난 해킹 사고의 핵심 원인을 '국가 배후 해킹에 대한 대응 실패'로 진단하고, 국내 최고 수준의 사이버 대응 역량을 보유한 국정원의 역량을 결집해야 한다는 것이다.

이인애 머니투데이방송 MTN 기자