상황이 달라졌습니다
몇 해 전까지 작은 회사는 이렇게 생각할 수 있었습니다. 웹사이트는 가끔 업데이트하고, 비밀번호도 나쁘지 않고, 우리 같은 회사를 노릴 사람은 없다는 식으로 말입니다. 완전히 맞았던 적은 없지만 그 정도면 충분했습니다. 공격에는 시간과 기술이 필요했기 때문입니다.
자동화된 도구는 오래전부터 인터넷에서 알려진 취약점을 찾아 왔습니다. AI가 더한 것은 이해입니다. 회사의 웹사이트나 소프트웨어를 읽고, 그곳에만 있는 실수를 찾아내고, 몇 주가 아니라 몇 시간 만에 실제로 작동하는 공격을 만듭니다. 같은 도구가 맞춤법 오류 없는 자연스러운 한국어, 영어, 이탈리아어로 그럴듯한 이메일을 쓰고, 수천 개 회사에 한꺼번에 보냅니다. 예전에는 철자 실수가 사기를 알아채는 단서였습니다.
그래서 3년 동안 손대지 않은 사이트에는 예전보다 빨리 발견되고 악용되는 취약점이 있습니다. 평소 업무 중에는 그런 조짐을 알 수 없습니다.
오래된 백업 이야기
사업을 오래 한 사람이라면 이 이야기를 압니다. 좋은 백업과 검증된 복구 절차에 돈을 쓰려는 사람은 없습니다. 눈에 보이는 것을 사는 돈이 아니기 때문입니다. 그러다 어느 날 디스크가 죽거나, 누군가 폴더를 잘못 지우거나, 바이러스가 파일을 잠급니다. 회사는 데이터가 없어진 뒤에야 자신이 무엇을 가지고 있었는지 알게 됩니다. 처음부터 다시 시작하는 회사도 있고, 다시 시작하지 못하는 회사도 있습니다.
오늘날 이 이야기에는 한 줄이 더 있습니다. 공격자가 같은 네트워크에서 닿을 수 있는 백업은 다른 파일과 함께 잠깁니다. 랜섬웨어는 백업부터 찾기 때문입니다. 한 부는 네트워크가 닿지 않는 곳, 즉 오프라인이나 별도 계정에 두고, 복구를 시험해 보십시오.
사이버 보안도 같은 이야기이고, 규모만 더 큽니다. 지금까지 아무 일도 없었으니 안전하다고 느끼는 것은 측정이 아닙니다. 아직 일이 터지지 않았다는 뜻일 뿐입니다.
왜 투자처럼 느껴지지 않을까
보안은 매출을 늘리지 않습니다. 제품을 더 좋게 하거나 웹사이트를 더 빠르게 하지도 않습니다. 잘 되면 아무 일도 일어나지 않고, 아무 일 없었던 날을 축하하는 사람은 없습니다. 그래서 보안은 광고, 새 장비, 신규 채용과 겨루는 예산 회의에서 늘 집니다.
가치를 보는 방법은 나쁜 날의 비용을 세어 보는 것입니다. 회사가 팔지도 배송하지도 못하는 날수를 세어 보십시오. 시스템을 다시 만드는 일과, 사고 소식을 다른 경로로 접하게 되는 고객을 세어 보십시오. 대표가 다른 일을 못 하고 이 일에만 매달릴 몇 주도 세어 보십시오. 보안은 그 청구서를 받지 않기 위해 내는 값입니다.
지금의 속도, 나중의 구조
많은 대표가 개발자에게 곧바로 팔 수 있는 결과를 재촉합니다. 이해할 수 있는 바람이고, 지름길은 대개 통합니다. 그 비용은 나중에 옵니다. 건너뛴 견고한 설계가 바로 취약점을 막아 주었을 설계이기 때문입니다.
유출 대부분을 일으키는 취약점은 평범합니다.
- 코드나 공유 파일에 그대로 적어 둔 비밀번호와 키.
- 모두가 함께 쓰는 관리자 계정 하나.
- 실제 고객 데이터가 들어 있는 채로 인터넷에 열려 있는 테스트 시스템.
- 보호하려는 서버와 같은 서버에 저장된 백업.
- 업데이트를 책임지는 사람이 없는 상태.
- 인터넷에 열려 있는 저장소나 관리자 페이지, 로그인 때 두 번째 확인이 없는 계정.
이것은 대표가 정할 수 있는 선택입니다. 개발자에게 한 가지를 물어보십시오. 문제가 생기면 대가를 치르게 될 지름길은 무엇이었습니까? 그 답을 앞에 두고 어느 것부터 고칠지 정하십시오.
우리 데이터만의 문제가 아닙니다
이 점이 결정을 바꿉니다. 고객의 이름, 전화번호, 주소, 주문, 청구서를 보관하는 회사는 그 데이터의 주인인 사람들을 대신해 돌보고 있는 것입니다.
- 고객은 하나의 목적을 위해 데이터를 주었고, 안전하게 지켜 주리라 기대합니다.
- 한국에서는 개인정보 보호법(PIPA)이 보호 조치를 취하고, 유출이 일어나면 정보주체와 규제 기관에 지체 없이 알리도록 요구합니다.
- 유럽에도 고객이 있다면 EU 규정(GDPR)도 함께 적용될 수 있습니다.
- 유출은 회사 안에 머물지 않습니다. 회사를 믿었던 사람들에게 닿고, 그들은 누가 자기 데이터를 잃어버렸는지 기억합니다.
유출의 비용, 2026년 11월 기준
어느 회사에서 테라바이트 단위로 데이터가 유출되었다는 소식이 들리고, 그 뒤에는 아무 소식도 없습니다. 결과는 존재합니다. PIPA에 따르면 다음과 같습니다.
- 고객에 대한 손해배상. 법 위반으로 피해를 입은 사람은 손해배상을 청구할 수 있고, 회사는 자신에게 고의나 과실이 없었음을 증명해야 하며, 증명하지 못하면 책임을 집니다. 고의 또는 중대한 과실이 있었다면 법원은 손해액의 5배까지 배상을 명할 수 있습니다.
- 정확한 손해를 증명할 필요가 없습니다. 유출이 회사의 고의나 과실로 일어났다면 각자 300만 원 이하의 상당한 금액을 청구할 수 있습니다.
- 회사에 대한 과징금. 규제 기관은 회사 매출의 최대 3%를 부과할 수 있습니다. 다만 회사가 데이터 보호에 필요한 조치를 다했다면 부과되지 않습니다. 법이 정한 중대한 경우에는 최대 10%까지 부과할 수 있습니다. 당사자나 규제 기관에 알리지 않으면 최대 3,000만 원의 과태료 대상입니다.
- 외주를 맡겨도 의무는 사라지지 않습니다. 데이터 처리를 다른 곳에 맡긴 회사는 그 수탁자를 감독해야 합니다.
보상은 자동으로 이루어지지 않습니다. 고객이 직접 청구해야 하고, 법원이나 분쟁조정위원회를 통해 청구합니다. 같은 피해를 입은 사람이 많을 때는 집단 분쟁조정이 있습니다. 그래서 데이터를 잃어버렸어도 대부분의 고객은 한 푼도 받지 못합니다. 고객이 받는 것은 비밀번호를 바꾸라는 요청이고, 때로는 해지된 카드입니다.
저는 "비밀번호가 유출되었으니 바꾸세요"라는 이메일을 여러 번 받았습니다. 한 번은 은행이 침해를 당해 제 카드가 해지되었습니다. 환불은 한 번도 받지 못했습니다. 손실은 실제였고, 그것을 떠안은 사람은 저였습니다.
큰 예산 없이 시작하는 방법
한꺼번에 다 고칠 필요는 없습니다. 지금 어디에 서 있는지 알면 됩니다. 아래 질문에 확실하게 답할 수 있는 것이 몇 개인지 보십시오.
- 고객 데이터는 어디에 있고, 누가 접근할 수 있습니까? 어디 있는지 모르는 것은 지킬 수 없습니다.
- 백업을 만든 때가 아니라, 복구를 시험해 본 때는 언제입니까? 복구해 본 적 없는 백업은 희망일 뿐입니다.
- 백업 한 부는 오프라인에 있거나, 우리 네트워크에서 지울 수 없습니까? 랜섬웨어는 닿을 수 있는 백업을 지웁니다.
- 우리 시스템 중 어느 것이 인터넷에서 접근 가능합니까? 오래된 서브도메인, 잊힌 관리자 페이지, 원격 접속 장비가 포함됩니다. 대부분의 대표가 답하지 못하며, 점검에서 가장 먼저 나오는 항목입니다.
- 모든 시스템이 업데이트되어 있습니까, 업데이트할 수 없다면 사무실 네트워크와 분리되어 있습니까? 공장 기계는 업데이트하지 못하는 경우가 많고, 이때 현실적인 보호는 분리입니다.
- 중요한 계정은 모두 로그인할 때 두 번째 확인을 요구합니까? 도난되거나 재사용된 비밀번호가 많은 유출의 배경입니다.
- 직원들은 가짜 이메일이 어떻게 생겼는지, 누구에게 알려야 하는지 압니까? 이제 가짜는 완벽하게 읽힙니다.
- 오늘 저녁에 문제가 생기면 누구에게 전화하고, 그 사람이 가장 먼저 무엇을 합니까? 법은 지체 없이 알리도록 요구합니다.
대부분에 답하지 못한다면 그것이 결과입니다. 사고로 알게 되는 것보다 점검으로 알게 되는 편이 낫습니다.
저희가 하는 일
미켈레솔루션은 소프트웨어, 하드웨어, 연결된 기계를 만들기 때문에 웹사이트만큼 공장 네트워크도 이해합니다. 웹사이트, 웹 애플리케이션, 서버, 네트워크, 연결된 장치를 점검하며, 지금도 고객사를 위해 이 일을 하고 있습니다. 고객의 서면 허가와 합의된 범위 안에서 공격자처럼 침입을 시도하고, 발견한 것을 중요도 순으로 정리하고, 고치려면 무엇이 필요한지 쉬운 말로 설명합니다. PIPA가 요구하는 보호 조치에 비추어 기술적 보호 수준도 점검해 드립니다.
유료 진단으로 시작합니다. 누가 무엇을 고칠지는 고객이 정하며, 저희가 적합하지 않다면 그렇게 말씀드립니다. 기술적 보호 조치가 갖춰져 있는지, 어디가 노출되어 있는지 알고 싶으시면 상담을 요청해 주십시오.
2026년 11월 기준의 일반 정보이며 법률 자문이 아닙니다.
