정순채 서울과기대 겸임교수/법무법인 린 전문위원

북한의 사이버 공격이 갈수록 대담해지고 있다. 과거 군사·방산 기밀이나 외교 정보를 노리던 공격이 이제는 병원, 제약·바이오 기업, 언론사, 소프트웨어 개발사까지 전방위로 번지고 있다. 공격 대상에 성역이 사라졌다. 더 큰 문제는 우리가 그 위험의 심각성을 체감하지 못하고 있다는 점이다.

병원에는 환자의 이름과 연락처만 있는 것이 아니다. 질병, 검사 결과, 치료 이력 등 가장 민감한 개인정보가 쌓여 있다. 제약·바이오 기업에는 수년간 막대한 돈과 인력을 투입해 개발한 신약 기술과 연구자료가 있다. 언론사는 수많은 이용자와 기업·기관이 연결되는 거점이다. 공격자에게는 모두 매력적인 표적이다.

실제 사례는 섬뜩하다. 북한 해킹조직은 2021년 서울대병원을 공격해 환자와 전·현직 직원 등 약 83만 명의 개인정보를 탈취한 것으로 알려졌다. 2022년에는 국내 언론사 8곳을 포함한 61개 기관의 컴퓨터 207대에 악성코드를 심었다. 의료·바이오업체와 방산업체, 공공기관도 공격 대상에 포함됐다.

이제 북한 해커들의 목표는 단순히 ‘중요한 기관 하나’를 뚫는 데 그치지 않는다. 정보와 접근 권한이 몰려 있는 길목을 먼저 공격한다. 소프트웨어 공급망이나 그룹웨어, 개발 서버, 인증서 등을 장악하면 연결된 여러 기관으로 침투할 수 있기 때문이다. 한 번의 공격으로 더 많은 정보를 훔치고 더 많은 시스템을 장악하려는 것이다.

이는 사이버 공격의 패러다임이 바뀌고 있다는 뜻이다. 기업 한 곳의 보안만 잘한다고 안전한 시대가 아니다. 협력업체의 계정이 뚫리며, 개발자의 인증정보가 탈취되고, 정상적인 소프트웨어가 공격에 이용되는 순간 그 피해는 순식간에 확산될 수 있다.

개발 환경이 공격 대상이 되는 현실은 가볍게 볼 일이 아니다. Git이나 Jenkins 같은 시스템에는 소스코드뿐 아니라 각종 계정과 인증정보, 배포 권한이 집중돼 있다. 이곳을 장악하면 공격자는 마치 정당한 사용자인 것처럼 내부 시스템에 접근할 가능성이 커진다. 기업의 핵심 기술과 고객정보가 한꺼번에 위험해지는 이유다.

그런데도 우리는 사이버 보안을 여전히 비용 문제로 보는 경우가 많다. 보안 인력을 늘리고 시스템을 점검하는 것을 부담스러운 지출로 여긴다. 하지만 해킹 피해는 보안 투자비보다 훨씬 비싸다. 개인정보가 유출되면 국민의 삶이 흔들리며, 핵심 기술이 빠져나가면 기업의 경쟁력이 무너진다. 국가 차원에서는 산업기술과 안보까지 위협받는다.

정부의 대응도 사후 조치에만 머물러서는 안 된다. 공격 징후를 조기에 공유하며, 기업 간 위협정보 교류를 강화해야 한다. 의료·바이오·방산·언론·소프트웨어처럼 정보가 집중된 분야는 공급망 전체를 대상으로 보안 수준을 점검해야 한다. 대기업만 안전하다고 해서 끝나는 문제가 아니다. 작은 협력업체 하나가 전체 시스템의 약한 고리가 될 수 있다.

기업 역시 책임에서 자유로울 수 없다. 외부 업체와 개발자 계정, 인증서, 원격접속 권한을 철저하게 관리하며, 이상 징후를 상시 감시해야 한다. 직원 한 사람의 부주의가 수십만 명의 개인정보 유출로 이어질 수 있다는 현실을 직시해야 한다.

무엇보다 사이버 안보를 특정 기관의 업무로만 생각해서는 안 된다. 북한의 사이버 공격은 군부대와 정부청사에서 끝나지 않는다. 우리가 진료받는 병원, 이용하는 언론사, 신약을 개발하는 기업, 매일 사용하는 소프트웨어까지 공격 대상이 될 수 있다.

사이버 공간에는 국경이 없다. 공격자는 가장 약한 곳을 찾아 들어와 가장 많은 것을 가져간다. 그렇다면 우리도 가장 약한 고리부터 찾아야 한다.  <정순채 서울과기대 겸임교수/법무법인 린 전문위원>