국내기업 100곳 중 3곳만 사이버 보안 역량 갖춰

글로벌 해커 그룹의 주 타깃된 한국
국내 사이버위협 건수 몇년 새 급증
기업 3%만 ‘성숙’ 수준의 보안 체계
보안체계 재검토 등 투자 확대 시급

한국을 타깃으로 한 사이버 위협이 갈수록 거세지고 있다. SK텔레콤 해킹 사고 이전에도 이미 보안 전문가들 사이에서는 해외로부터 해킹 시도가 크게 늘어나고 있다는 신호가 곳곳에서 감지됐다. [게티이미지뱅크]

“지난해 이맘때보다 업무량이 증가해 점심도 거를 정도로 바빠요.” 지난 2월 한 공기업 정보보안 부서에 근무하는 최민영(가명·29) 씨는 이상한 낌새를 느꼈다. 해외 공격으로 추정되는 인프라 해킹 시도 건수가 눈에 띄게 늘어난 것이다.

이에 따라 최씨의 업무량도 부쩍 늘었다. 최씨는 “SK텔레콤 해킹 사고 이전인 지난해 하반기부터 해킹 시도 건수가 늘어서 의아하게 생각하고 있었다”며 “SKT 사고를 보고 ‘터질 게 터졌다’는 생각이 들었다”고 전했다.

한국을 타깃으로 한 사이버 위협이 갈수록 거세지고 있다. SKT 해킹 이전에도 이미 보안 전문가들 사이에선 해외 해킹 시도가 크게 늘어나고 있다는 신호가 곳곳에서 포착됐다.

글로벌 사이버 위협 표적으로 ‘한국’이 집중 포화를 맞고 있지만, 정작 국내 기업 중 제대로된 보안 역량을 갖춘 곳은 100곳 중 단 3곳에 불과한 것으로 나타났다. 위협 수위에 달한 ‘사이버 보안’ 체계를 원점에서 재검토하고 보안 ‘빗장’을 완전히 뜯어 고쳐야한다는 목소리가 커진다.

▶급증하는 국내 사이버 위협 건수…한국 ‘주타깃’ 됐다=국내 사이버 위협 건수는 최근 몇년 새 두드러지게 증가세를 보이고 있다.

27일 한국인터넷진흥원(KISA) 통계에 따르면 국내 신고된 사이버 위협 피해 건수는 2023년 1277건에서 지난해 1887건으로 48% 증가했다. 지난해 상반기·하반기 피해 건수는 각각 899건·988건으로, 지난해 같은 기간보다 각각 35%·61% 오른 수치다.

보안업계는 무엇보다 ‘한국 기업’이 해킹의 주 타깃이 되고 있다는 점을 경고하고 있다. 대만 보안 기업 TeamT5는 헤럴드경제와 최근 진행한 서면 인터뷰에서 “자사 조사에 따르면 중국 APT(지능형 지속 위협) 그룹은 한국을 지속해서 표적 삼고 있다”며 “중국 APT 그룹은 향후 공급망 침투 등 해킹 관련 기술 발전에 투자를 늘릴 것으로 본다”고 설명했다.

중국뿐만이 아니다. 지난해 2월 미국 연방수사국(FBI)·국가안보국(NSA) 등은 러시아 군 정보기관 산하 해킹 그룹 ‘포레스트 블리자드’의 사이버 해킹 위협을 예고하는 사이버 보안 권고문을 발송했다. 경고문을 함께 발송한 파트너 국가에는 한국도 포함됐다.

한국이 글로벌 해커 그룹의 표적이 된 이유는 통신, 반도체, 자동차 등의 주요 산업에 데이터가 집약된 점이 꼽힌다. 최근 해커 그룹이 돈이 아닌 ‘데이터’를 해킹의 주 목적으로 삼는 것도 같은 맥락이다.

TeamT5는 “중국의 신산업 역량, 미국과 동맹, 지역 안보 등을 고려했을 때 한국이 핵심적인 역할을 담당하고 있기 때문”이라며 “지정학적 경쟁이 격화하면서 한국의 사이버 공간도 핵심 전장으로 자리 잡을 것”이라고 내다봤다.

▶100곳 중 3곳만 보안 역량 충분…보안 이해도도 낮아=한국을 표적으로 삼는 글로벌 해커들의 해킹 시도가 계속되고 있지만 정작 국내 기업의 보안 수준은 예상보다 훨씬 더 심각하다.

실제 시스코가 최근 발표한 ‘2025 사이버 보안 준비 지수’에 따르면, 한국 기업의 3%만이 ‘성숙’ 수준의 보안 준비 상태를 달성한 것으로 나타났다. 지난해 4%에서 올해 1%포인트 감소하며 작년보다 되레 후퇴했다.

이는 한국을 포함한 30개국 보안 전문가와 기업 리더 등 8000여 명을 대상으로 조사한 결과다. 시스코는 기업의 보안 솔루션 도입 여부와 구현 단계를 분석해, 보안 준비 수준을 ▷초기 ▷형성 ▷발달 ▷성숙 네 단계로 분류하고 있다.

특히 보안에 투입되는 예산 부족이 두드러진다. 시스코는 사이버 보안에 IT 예산의 10% 이상을 할당한 기업은 33%에 불과하다고 밝혔다. 이는 지난해 대비 7% 감소한 수치다.

보안에 대한 이해 수준 역시 낮았다. 국내 기업의 83%는 지난 1년간 인공지능(AI) 관련 보안 사고를 경험한 반면, 자사 직원이 AI 기반 위협을 충분히 이해하고 있다고 응답한 비율은 30%에 불과했다. AI를 활용한 정교한 공격 방식에 대한 이해 수준은 28%에 머물렀다.

최지희 시스코코리아 대표는 “국내 기업들의 대비 수준은 아직 충분하지 않은 상황”이라며 “AI 기반 위협 대응 역량을 강화하고, 관리되지 않는 디바이스와 섀도 AI 등 새로운 리스크까지 포괄하는 전략적 보안 포트폴리오에 대한 투자가 그 어느 때보다 절실하다”고 설명했다.

박세정·차민주 기자