지난 8월 27일부터 9월 1일 사이, 재계를 대표하는 SK이노베이션과 롯데케미칼의 내부 시스템이 잇달아 외부 공격을 받아 임직원 개인정보가 유출되는 사고가 발생했다.

실제로 지난 9월 1~2일 빅데이터 연관어 분석 결과(썸트렌드)에서도 “임직원정보”라는 키워드를 중심으로 ‘해킹’, ‘유출’, ‘보안’과 같은 사고 피해와 관련된 ‘계좌’, ‘코인’, ‘투자금’, ‘보증금’, ‘사기’, ‘거래’, ‘송금’, ‘입금’, ‘출금’ 등 단어들이 대거 함께 언급되고 있어, 이번 사태에 대한 대중의 불안감이 단순한 정보유출 우려를 넘어 2차 금융범죄에 대한 걱정으로까지 확산되고 있음을 보여준다.

[출처: 게티이미지뱅크]

먼저 두 회사가 해킹을 당한 이유를 살펴보면, 아직 정확한 침투 경로는 조사 중이지만 공통적으로 내부 업무 시스템이 표적이 됐다는 점이 확인된다. 빅데이터 연관어에 등장하는 ‘원격’, ‘원격제어’, ‘인증’, ‘로고’, ‘화면’ 같은 단어는 이번 사고의 성격을 짐작하게 한다. 즉 공격자가 정상적인 원격 접속이나 인증 절차의 허점을 파고들어 내부 화면에까지 접근했을 가능성이 제기되는 대목이다. 대기업이라 하더라도 협력업체나 외주 인력이 함께 사용하는 원격 접속 체계, 다중 인증이 미흡한 레거시 시스템은 여전히 공격에 취약한 지점으로 남아 있으며 이번 사고는 그 허점이 실제 침해로 이어질 수 있음을 다시 한 번 보여줬다.

▲‘임직원정보 연관어 빅데이터 분석 [출처: 인사이트케이]

피해 상황을 보면, 두 회사 모두 유출 가능성이 있는 정보로 이름, 로그인 아이디, 휴대전화번호, 이메일 주소, 사번과 직급 등을 지목했다. 다행히 주민등록번호나 비밀번호 같은 민감 정보, 그리고 외부 고객 정보는 유출되지 않은 것으로 파악됐고, 아직까지 확인된 2차 피해 사례도 없다고 한다.

그러나 안심할 단계는 아니다. 이름과 직급, 연락처, 사번이 결합된 정보는 그 자체로는 사소해 보여도 피싱 공격의 정교한 재료가 될 수 있다. 빅데이터 연관어에 등장하는 ‘업체’, ‘회사’, ‘공식’, ‘담당자’, ‘자금’, ‘수익’, ‘계정’, ‘상대방’, ‘대화’, ‘방식’이라는 단어들은 유출된 임직원 신원 정보가 회사 명의를 사칭한 ‘공식’ 문자나 메일, 가짜 담당자를 내세운 대화, 투자금이나 보증금을 요구하는 수법으로 악용될 위험을 시사한다. 실제로 사번과 직급까지 아는 발신자가 회사 로고를 붙인 이메일이나 문자로 접근한다면 임직원은 물론 그 가족까지 속아 넘어가기 쉽다.

▲배종찬 연구소장 [출처: 인사이트케이]

문제는 이번이 특정 기업만의 예외적 사건이 아니라는 데 있다. 매출 수 십 조원대의 대기업, 그것도 정유·화학 업종의 핵심 기업들조차 보안이 뚫렸다는 사실은 국내 기업 전반의 보안 체계에 근본적인 재점검이 필요하다는 신호로 읽어야 한다.

이를 위해 몇 가지 대비가 요구된다. 첫째, 원격 접속과 협력업체 계정에 대한 다중 인증과 접근 권한의 최소화가 시급하다. 누구나 회사 시스템에 접근할 수 있는 구조가 아니라, 필요한 사람에게 필요한 만큼만 권한을 부여하는 원칙이 지켜져야 한다. 둘째, 이상 접속을 실시간으로 탐지하고 즉각 차단할 수 있는 모니터링 체계를 상시화해야 한다. 셋째, 임직원 대상 피싱·스미싱 대응 교육을 강화해 유출된 정보를 활용한 2차 공격에 스스로 대비할 수 있도록 해야 한다. 회사 로고나 직위, 사번을 정확히 아는 발신자라도 송금이나 계좌 정보를 요구하면 반드시 별도 채널로 진위를 확인하는 습관이 필요하다.

결국 이번 SK이노베이션과 롯데케미칼의 해킹 사고는 개별 기업의 보안 실패를 넘어, 디지털 전환이 가속화되는 시대에 어떤 기업도 사이버 공격의 예외가 될 수 없다는 사실을 보여준다. 유출된 정보가 크지 않다고 안심하기보다, 그 정보가 어떻게 조합돼 새로운 범죄의 도구가 될 수 있는지를 냉정하게 짚어보고 선제적으로 대비하는 자세가 지금 기업들에게 요구되고 있다.

[글_ 배종찬 인사이트케이 연구소장]

연세대 정치외교학과를 졸업하고 서울대 국제대학원에서 석사 학위를 받았다. 고려대 행정학과 박사과정을 수료했다. 이 외에 미국, 일본, 홍콩 등에서 연구 경험을 가지고 있다. 주된 관심은 정치 시사와 경제정책인데 특히 대통령 지지율과 국정 리더십, 글로벌 경제 분석 그리고 AI 인공지능 및 블록체인 보안 이슈다. 한국교육개발원·국가경영전략연구원·한길리서치에서 근무하고 리서치앤리서치 본부장을 거친 데이터 분석 전문가다. 현재 인사이트케이 연구소장을 맡아 심층 리서치뿐 아니라 빅데이터·유튜브까지 업무영역을 확대하고 있다.

출처 : 보안뉴스(https://www.boannews.com)