이 기사는
2026년 10월 26일 18:36 IB토마토 유료 페이지에 노출된 기사입니다.
[IB토마토 송혜림 기자] 금융권에서 개인정보 유출 사고가 잇따르면서 정보보호 공시의 실효성을 높여야 한다는 지적이 나온다. 정부가 공시 의무 대상을 확대하고 있지만, 투자액과 인력 중심의 정보만으로는 실제 사고 발생 여부와 피해 규모, 사후 조치의 적절성을 파악하기 어렵기 때문이다. 이에 따라 투자 현황뿐 아니라 중대한 보안 사고와 그에 따른 경영 위험도 투자자에게 알려야 한다는 목소리가 커지고 있다.
보안 프로그램, 북한 공격 경로에 다시 등장
26일 글로벌 보안업체 카스퍼스키와 국내 보도 등에 따르면 한국의 소프트웨어와 건설, 유선 통신장비 제조 분야의 최소 세 곳 이상의 기업이 북한 해킹 조직 라자루스의 새 공격 활동 '플래시홀'을 받았다. 북한의 이번 공격에 이용된 프로그램은 '이니세이프 크로스웹(INISAFE CrossWeb EX)'으로 알려졌다.
이 프로그램은 인터넷 뱅킹과 정부 웹사이트에 접속할 때 필요한 금융 보안 프로그램으로, 공동인증서를 사용해 로그인이나 전자서명을 할 때 쓰인다. 보안을 위해 설치한 프로그램이 오히려 침투 경로로 활용된 것이다.
카스퍼스키가 공개한 보고서에 따르면 북한 공격자들은 인공지능(AI)으로 형성한 가짜 사이트를 만들어 기업 직원들을 유인했고, 크로스웹 EX가 관여하는 과정에서 감염이 시작된 것으로 분석했다.
이니세이프 크로스웹은 코스닥 시장 금융·보안 전문기업
이니텍(053350)의 제품이다. 앞서 이니세이프 크로스웹은 지난 2023년에도 북한이 소프트웨어의 보안 취약점을 악용해 PC 해킹 및 악성코드 유포 등 해킹 공격을 벌였다고 국정원이 발표한 바 있다. 당시 해커들은 소프트웨어의 보안 허점을 노려 국가·공공기관 및 방산·바이오업체 등 국내외 주요 기관 60여 곳의 PC 약 210대를 해킹했다. 이니텍은 현재 금융권을 중심으로 여러 ASP(Application Service Provider, 애플리케이션 서비스 제공) 서비스를 제공하고 있다.
이번 은행권에 동시다발적으로 일어난 개인정보 유출 피해 사고가 해당 서비스와 관련이 있는지는 파악되지 않는다.
한 은행 관계자는 <IB토마토>에 "은행마다 침해 경로가 상이하기 때문에 해당 서비스와 침해 사고가 관련 있는지는 알기 어렵다"라며 "자사의 경우 외부 영업에 나갈 때 쓰는 내부 직원용 시스템에서 침해가 발생했기 때문에 해당 소프트웨어와는 관련이 없다"라고 말했다.
이니텍 측은 해당 기사 내용과 관련해 어떠한 국가기관으로부터도 통지받은 사실이 없다고 선을 그었다.
회사 관계자는 <IB토마토>에 "회사의 모든 보안 취약점 점검 및 대응은 국가 공인기관의 정식 통지 절차를 거쳐 투과적이고 엄격하게 관리되고 있다"라면서 "회사는 국가기관을 통해 정식으로 사안이 접수되는 대로 즉시 정확한 사실관계를 파악할 예정이다. 파악된 결과에 따라 필요한 보안 조치가 있다면 그에 맞추어 신속하고 철저하게 대응해 나갈 것"이라고 말했다.
정보보호 공시 강화 '사후 조치'까지 이어지나
최근 금융권 전방위적으로 개인정보 유출 사고 및 해킹이 발생하면서 사회적 불안감이 커지고 있다.
금융당국에 따르면 지난 14일까지 개인정보 침해 사고가 파악된 금융사는
신한(005450)은행 등 총 16곳, 유출된 개인정보는 약 10만건에 이른다.
이번 침해 사고는 전 세계 웹사이트에서 다수 활용되는 프로그래밍 언어인 PHP에서 보안 취약점이 발생한 것으로 알려져 있다. 여기에 AI를 활용한 해킹 공격까지 가세하면서 피해 규모가 커진 것으로 파악된다. 최근에는 경찰청 국가수사본부가 이번 사건을 중대범죄수사청 수사 대상인 중대범죄에 해당하는 전자금융거래법 위반으로 보고 중수청에 통보하는 등 단순 금융 사고 이상으로 사건 양상이 커지는 모습이다.
이번 보안 사고 이후 여러 금융권 회사들은 내년 정보보호 예산을 큰 폭으로 늘리며 유사 피해 방지에 힘쓰겠다는 입장이다. 과학기술정보통신부에서도 기업별 정보보호 공시 의무를 강화하며 강경한 조치에 나섰다. 과기부 자료를 살펴보면 내년 1월부터 매출액 규모에 상관없이 코스피·코스닥 전체 상장법인은 공시 의무 대상에 포함된다. 그간 의무 대상에서 제외되던 공공기관, 소기업, 금융회사, 전자금융업자 등도 모두 적용 대상이 된다.
그러나 현재 정보보호 공시는 기업의 정보보호 투자액과 인력, 관련 인증·평가·점검 및 보안 활동 등을 중심으로 이뤄진다. 실제 보안 사고가 발생했는지, 사고 이후 어떤 조치와 재발 방지 대책을 마련했는지까지 파악하기에는 한계가 있다. 사고를 계기로 드러난 취약점이 실제로 개선됐는지 판단하기 어려운 것이다.
한 금융회사 관계자는 <IB토마토>에 "최근 발생하는 보안 침해 사고는 AI를 활용한 만큼 보안 투자를 아무리 늘려도 현실적으로 막기 어렵다"면서 "이제 기업들이 신경 써야 할 건 투자 규모보다 사고 발생 후 사후 대처를 어떻게 할 것인지다"라고 강조했다.
아울러 한국인터넷진흥원(KISA)에 따르면 정보보호 투자액이 전년보다 감소하더라도 이를 이유로 별도의 감독이나 제재가 이뤄지지는 않는다. 매출액의 일정 비율 이상을 정보보호에 투자하도록 의무화한 규정도 없다. 기업별 투자 규모와 증감 추이를 공개하고 있지만, 이를 토대로 적정한 투자 수준을 유지하고 있는지 점검하거나 투자 확대를 강제하는 구조는 아닌 셈이다.
이니텍 역시 2023년 보안 이슈가 불거진 이후 정보보호 투자액과 인력이 감소한 것으로 나타났다. 이니텍은 지난 2024년 정보보호 부문에 5억 9770만원을 투자했지만 지난해는 3억 2560만원으로 투자액이 45.5% 감소했다. 정보기술(IT) 대비 정보보호 부문 투자액 비율도 5.7%에서 2.6%로 낮아졌다. 정보기술 부문 인력은 115.6명에서 102.7명으로 줄었으며, 정보보호 부문 전담 인력은 2.3명에서 0명으로 감소했다. 현재 CISO와 CPO는 본부장이 겸직하고 있다.
이니텍 측은 <IB토마토>에 "경상연구개발비 감소는 사업부 인력 변동에 따른 비용 감소가 주요 원인"이라면서 "비용 규모의 변동과 별개로 주요 연구개발 과제를 중심으로 핵심 연구 활동은 지속하고 있다"라고 말했다.
중대한 침해사고, 투자자 공시는 별개
일각에선 정보보호 현황 공시뿐만 아니라 일반 공시로도 개인정보 침해 사고 여부를 알려야 한다는 의견도 나온다. 개인정보 침해 사건이 회사의 경영과 사업에 중대한 영향을 미치는 사안일뿐더러 외부 해킹뿐만 아니라 내부통제 소홀로도 빚어질 수 있기 때문이다.
현재 금융회사와 전자금융업자는 법령상 보고 대상에 해당하는 침해 사고를 인지하면 감독당국에 보고해야 한다. 그러나 당국에 대한 사고 보고와 투자자를 대상으로 한 공시는 목적과 대상이 다르다. 감독당국에 사고 내용이 보고되더라도 그 정보가 투자자에게 같은 수준으로 공개되는 것은 아니다.
해외 제도로는 미국의 공시 제도를 참고할 만하다.
미국은 주요 사이버 사고를 투자자에게 알리는 수시공시 제도를 운영하고 있다. 미국 증권거래위원회(SEC)는 기업이 사이버 사고를 투자 판단에 중요한 사안으로 판단한 경우, 원칙적으로 4영업일 이내에 수시보고서를 제출하도록 한다. 사고의 성격과 범위, 발생 시점뿐 아니라 재무상태와 경영성과에 미친 영향 또는 합리적으로 예상되는 중요한 영향도 공개 대상이다.
공시 여부는 피해액만으로 결정하지 않는다. 영업 차질과 평판 훼손, 고객 관계 등 정량·정성적 요소를 종합해 판단한다. 공시 기한은 사고 발생일이나 발견일이 아닌 중요성을 판단한 시점부터다. 만일 피해 규모 등이 확정되지 않았더라도 중요한 사고로 판단했다면 우선 공시하고 미확인 정보는 추후 보완해야 한다.
국내에서도 정보보호 공시 관련 제도 개편 논의가 진행 중이다. 유동수 더불어민주당 의원이 대표 발의한 전자금융거래법 개정안은 금융회사와 전자금융업자의 정보보호 공시제도 마련, 대표이사의 책임 명확화, 정보보호최고책임자의 권한 강화 등을 담고 있다. 개정안은 현재 국회 정무위원회에 계류 중이다.
금감원 관계자는 <IB토마토>에 "공시는 자본시장법이나 공정거래법 등 관련 법에서 정하지 않으면 공시 서식이 없기 때문에 법 개정이 먼저 이뤄져야 한다"라고 설명했다.
송혜림 기자 diving@etomato.com
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지