"내 정보가 언제부터 공공재가 된 거지?"

롯데카드와 KT에서 연이어 발생한 보안사고는 우리 사회의 정보보완 시스템이 얼마나 취약한지 적나라하게 보여준다. 롯데카드는 해킹으로 297만 명의 개인정보(카드번호, 유효기간, CVC 등 포함)가 유출되었고 이 중 28만 명은 결제에 직접 악용될 가능성이 높은 주요 정보까지 유출된 것으로 확인되었다.

KT의 최근 해킹으로 인한 무단 소액결제 피해자는 362명, 피해 금액은 약 2억 4천만 원에 달한다.

수 백만 명의 고객 정보가 무방비로 노출되고 피해자들은 자신의정보가 어떻게 악용될지 모른다는 불안과 분노 속에서 하루하루를 보내고 있다.

더 큰 문제는 이런 대규모 개인정보 유출 사건이 처음이 아니라는 점이다.

2014년 카드 3사, 2020년 이랜드 그룹, 2014년 KT 홈페이지 사건, 2023~2025년 SKT 해킹에 다수의 중소 규모의 보안 사고들까지 지난 10여년 간 유사한 사건들이 반복적으로 발생했다. 매번 재발 방지를 약속하고 책임자가 머리를 조아렸지만 현실은 달라지지 않았다.

대체 무엇이 잘못된 걸까? 왜 우리는 같은 실수를 반복하는 걸까?

전문가들은 한국에서 개인정보 유출 사고가 반복되는 가장 큰 원인으로 '과도한 개인정보 수집 관행' 과 '보안을 비용으로 보는 경영진의 인식'의 두 가지를 꼽는다.

한국은 다른 나라에 비해 유독 많은 개인정보를 요구한다. 온라인 쇼핑몰 가입에도 주민등록번호, 휴대전화번호, 주소, 이메일은 기본, 관심 분야, 가입경로 등을 요구한다. '혹시 모르니까' 일단 수집하고 보자는 식이다.

결과적으로 통신사, 카드사, 포털사이트 등 몇몇 대형 기업에 수천만 명의 정보가 집중된다. 이는 해커들에게는 원스톱 쇼핑 장터와 같다. 한 번의 공격으로 엄청난 양의 정보를 탈취할 수 있기 때문이다. 한 화이트 해커는 언론사 인터뷰에서 "한국 기업은 공격하는 해커 입장에서 '가성비'가 가장 좋은 대상"이라고 했다. 탈취할 정보는 많은데 보안은 취약하니, 지속적으로 공격 대상이 될 수밖에 없다는 뜻이다.

반면 2018년 5월부터 시작된 유럽의 개인정보보호법 GDPR(General Data Protection Regulation)은 '최소 수집 원칙'을 철저히 적용한다. 서비스 제공에 꼭 필요한 정보만 수집하도록 강제하고, 위반 시 전 세계 매출의 4%까지 과징금을 부과한다. 정보가 적으면 유출되더라도 피해가 제한적이기 때문이다.

정보유출 사건이 터지면 많은 전문가들이 그 원인을 기술적 취약점에서 찾는다. 구식 보안 시스템, 미흡한 암호화, 불충분한 접근 제어 등을 지적한다.

하지만 더 근본적인 원인은 '보안의식 부재' 에 있다.

롯데카드의 경우 2017년에 이미 드러난 취약점을 8년간 방치했다. 경영진이 보안을 '비용'으로 보았기 때문이다. 많은 기업의 CEO들은 입으로는 보안의 중요성을 강조하지만 실제 의사결정에서는 다른 우선순위를 부여한다. 매출 증대, 비용 절감, 신규 사업 진출 등 가시적인 성과를 내는 일에 비해 보안 투자는 늘 후순위로 밀린다. '사고가 나지 않으면 투자의 효과가 보이지 않기' 때문이다.

더 큰 문제는 기업들이 시스템 중단 우려로 보안 업데이트를 미루는 것이 일상화되었다는 점이다. 24시간 서비스를 중단할 수 없다는 이유로, 고객 불편을 최소화한다는 명분으로, 보안 패치는 계속 연기된다. 그 사이 해커들은 취약점을 파악해서 공격을 준비한다.

이제는 AI 기술의 발전으로 전문 지식 없이도 누구나 해커가 될 수 있는 환경이 조성되고 있다. 실지로 2025년 8월, GTG-2002 라는 해커그룹은 명확한 코딩 지식 없이도 LLM 기반 AI에게 모호한 명령만으로 악성 코드를 생성하게 하거나 보안 우회 코드를 작성하도록 유도하는 방식인 '바이브 해킹'으로 정부·의료·응급·종교기관 등 17곳 해킹, 최대 50만 달러 몸값을 요구했다. 갈수록 태산이다.

보안 의식의 부재는 조직 곳곳에서 드러난다. 많은 기업들은 보안을 여전히 IT부서만의 책임으로 여진다. 현장 직원들은 연 1회 의무적으로 듣는 온라인 보안교육에서 클릭만 하면 끝이다. 현실과 동떨어진 이론 중심의 영상 강의로는 결코 보안 의식을 높일 수 없다.

협력업체 보안 관리도 소홀하다. 아무리 본사의 보안이 철저해도 협력사의 보안이 허술하면 그곳이 침투 경로가 된다. 하지만 많은 기업들은 협력사 선정 시 가격과 납기만 따지고 보안 역량은 뒷전이다.

약한 처벌과 책임 회피 구조 역시 결정적인 문제다. 개인정보보호법은 여러 차례 개정되었지만 여전히 미흡하다. 처벌 수준이 낮아 대기업들은 과징금을 '사업 비용'으로 여기는 경향까지 있다.

보안은 특정 부서만의 책임이 아니다. 영업사원부터 고객센터 직원, 협력업체 직원에 이르기까지 고객 정보에 접근하는 모든 사람이 보안의 최전선에 있다. 단 한 명의 부주의가 수백만 명의 정보를 위험에 빠뜨릴 수 있다.

효과적인 보안 교육은 실제 업무 상황에 기반해야 한다. 각 부서의 특성에 맞는 맞춤형 교육, 실제 사례를 활용한 시뮬레이션, 정기적인 모의 훈련이 필요하다. 더 중요한 것은 보안을 불편한 규제가 아닌 나와 고객을 지키는 필수 행동으로 인식하도록 만드는 것이다. 보안 절차를 지키는 것이 칭찬받고 보상받는 문화, 보안 위협을 발견했을 때 적극적으로 보고하는 분위기를 만들어야 한다.

보안의식은 하루 아침에 만들어지지 않는다. 디지털 시대에 정보는 가장 중요한 자산임을 전 국민적으로 인식해야 한다. 이를 위해 디지털 선진국들은 체계적인 노력을 기울여왔다.

군이 직접 사이버 보안 인재 양성에 나서는 이스라엘은 고교 최상위급 우수 인재를 군의 첨단 사이버훈련장(Cyber Range)에서 훈련시키고, 이들이 대학과 연계된 프로그램으로 학위까지 취득하도록 지원한다. 복무하면서 쌓은 실전 경험과 기술은 전역 후 창업과 민간 보안 시장을 주도하는 밑거름이 된다.

일본은 초등학생부터 일반 국민, 전문가까지 단계별 맞춤형 교육 체계를 구축했다. 실제 사이버 공격 사례를 공유하고 시나리오 기반 교재를 개발해, 이를 이용한 실전형 정보보호 교육과 훈련을 전국적으로 실시하고 있다. 어린 시절부터 보안 의식을 내재화하여, 디지털 네이티브 세대가 자연스럽게 보안을 생활화하도록 만드는 장기 전략인 셈이다.

EU는 GDPR을 통해 보안 인식 교육을 규정 준수 요구사항으로 정했다. 단순 권고가 아닌 법적 의무로 규정함으로써, 모든 조직이 직원 교육에 투자하도록 강제한 것이다. 위반 시 전 세계 매출의 4%까지 과징금을 부과하는 강력한 제재도 병행한다.

롯데카드와 KT사건은 우리에게 보안에 대한 패러다임을 전환시키는 마지막 경고가 되어야 한다.

보안은 '사고가 나면 대응하는 것'이 아니라 '사고를 예방하는 것'으로, '비용'이 아니라 '투자'로, 'IT부서의 일'이 아니라 '모두의 책임'으로 생각을 바꾸어야 한다.

디지털 시대에 정보는 무엇보다 중요한 자산이다. 이 자산을 지키지 못하면 개인은 물론 기업과 국가 전체가 위험에 빠진다. AI 기술이 해킹을 더 쉽고 강력하게 만드는 지금이야 말로 '보안의식 전환'이 절실하다.

자신의 정보가 어디에 어떻게 사용되는지 관심을 가지고, 불필요한 개인정보 제공을 거부할 줄 알아야 한다. 기업들이 과도하게 개인정보를 수집하려 할 때 문제를 제기하고, 보안 사고가 발생했을 때 적극적으로 권리를 주장해야 한다.

보안은 누구도 예외일 수 없고, 누구도 방관자일 수 없는 생존과 직결된 문제다. 개인은 경각심을, 기업은 책임감을, 정부는 정책과 제도로 노력을 기울여야 한다. 해킹의 창이 예리해질수록 막아내는 방패 역시 부지런히 업그레이드돼야 하지 않을까?

◇하민회 이미지21대표(미래기술문화연구원장) =△경영 컨설턴트, AI전략전문가△ ㈜이미지21대표 △경영학 박사 (HRD)△서울과학종합대학원 인공지능전략 석사△핀란드 ALTO 대학 MBA △상명대예술경영대학원 비주얼 저널리즘 석사 △한국외대 및 교육대학원 졸업 △경제지 및 전문지 칼럼니스트 △SERI CEO 이미지리더십 패널 △KBS, TBS, OBS, CBS 등 방송 패널 △YouTube <책사이> 진행 중 △저서: 쏘셜력 날개를 달다 (2016), 위미니지먼트로 경쟁하라(2008), 이미지리더십(2005), 포토에세이 바라나시 (2007) 등