예스24 해킹 사건으로 본 대한민국 사이버 보안 현황

• 사건 개요
  • 예스24 랜섬웨어 공격 발생
    • 2025년 6월 9일 새벽 국내 최대 온라인 서점 예스24에 랜섬웨어 공격이 발생하여 서비스 전반이 마비됨
  • 부분 복구 및 피해 현황
    • 공격 발생 닷새 만인 6월 13일 저녁 일부 기능이 복구되었으나, 상품 미리보기, 리뷰, 중고거래, 마이페이지, 통합 검색 등 핵심 부가 서비스는 여전히 복구되지 않은 상태임
  • 예상 피해 규모
    • 현재까지 개인정보 유출 정황은 없으나, 단순 매출 손실만 100억 원을 넘어설 것으로 추정됨
• 정부-민간 협력 체계의 문제점
  • KISA 기술 지원 거부 및 혼선
    • 예스24는 해킹 직후 '시스템 점검 중'이라는 공지만 게시한 채 이틀간 침묵함
    • 이후 KISA와 협력 중이라고 밝혔으나 KISA가 즉각 반박하는 등 초기 협조 과정에서 불협화음이 발생함
  • 법적 강제성 부재
    • 현행 법률상 민간 기업은 공공기관의 기술 지원을 거부할 수 있으며, 정부가 이를 강제할 법적 근거가 없음
  • '해킹법' 제정 논의
    • 최수진 국회의원(국회 과학기술정보방송통신위원회 소속)은 국민적 피해가 큰 해킹 사건에 대해 당국 조사가 가능하도록 정보통신망법 개정을 검토 중이며, 이는 사이버 안보의 사각지대를 해소하기 위함임
  • 법 제정 우려
    • 기업의 영업 기밀이나 민간 자율성 침해 우려와 함께, 해킹 피해 사실을 숨기는 기업이 늘어날 수 있다는 지적이 있음
• 사이버 보안 인프라 및 인력 문제
  • KISA 예산 감소
    • KISA 사이버침해대응본부의 해킹 바이러스 대응 체계 고도화 예산은 2025년에 전년 대비 8.8% 감소한 579억 원(2022년 이후 최저 수준)
    • 정보 보호 전문 인력 양성 예산 또한 8.1% 감소함
  • 정보 보호 담당자 불만족
    • 기업 정보 보안 담당자의 57.5%가 업무에 불만족
    • 주요 원인
      • '업무 중요성 대비 평가절하'(50%)
      • '비협조적 태도와 경시하는 분위기'(30.3%)
      • '처벌에 대한 두려움'(38.5%) 등
  • 인력 경시 경고
    • 업계 관계자들은 보안 인력을 대우하지 않는 국가는 생성형 인공지능 시대에 주도권을 쥘 수 없다고 경고함
  • 해외 사례
    • JP모간 체이스는 사이버 공격 대응에 20조 원을 투입하고 62,000명의 보안 엔지니어를 운영하며 민관 협력을 강조함
• 진화하는 사이버 위협 동향
  • AI 기반 랜섬웨어 증가
    • 최근 등장한 AI 기반 랜섬웨어 조직은 LLM 을 활용하여 코드 은폐, 이중 협박, 고빈도 공격을 감행
    • 정부, 교육, 금융, 기술 분야를 집중 표적으로 삼음
  • RaaS(Ransomware as a Service) 생태계 확산
    • RaaS를 통해 기술 지원과 악성 코드가 패키지로 판매되어 초보 공격자도 고도화된 해킹을 시도할 수 있는 환경이 조성됨
  • 공격 툴의 대중화
    • '드래그 앤 드롭' 방식의 공격 툴까지 등장하여 사이버 위협의 대중화가 현실화되고 있음
  • 아시아 지역 고위험군 분류
    • 글로벌 보안 기업 카스퍼스키(Kaspersky)의 보고서에 따르면 아시아 태평양 및 중동 지역은 전 세계에서 랜섬웨어 피해 비율이 가장 높음
    • 대한민국은 빠른 디지털 전환 속도와 보안 성숙도 격차로 인해 고위험군으로 분류됨
  • 국내 AI 기반 공격 탐지
    • 카스퍼스키 한국 지사장은 2025년 1분기 한국 내에서 다수의 AI 기반 사이버 공격이 탐지되었다고 밝힘
• 보안 권고
  • 근본적인 보안 의식 전환
    • 기업들은 보안을 단순 비용이 아닌 필수적인 투자로 인식하고, 모든 임직원의 보안 의식 제고가 필요함
  • 정부와 민간의 긴밀한 협력
    • 정부는 기업의 '보호자' 역할을 수행하고, 민관이 협력하여 변화하는 해킹 수법에 효과적으로 대응해야 함
  • 선제적 대응 및 기술 지원 활용
    • 해킹 발생 시 즉시 공공기관(예: KISA)에 기술 지원을 요청하고 긴밀하게 협력하여 신속한 피해 복구와 확산 방지에 주력해야 함
  • 정보 보호 인프라 및 인력 투자 확대
    • 정부는 사이버 보안 예산을 증액하고 정보 보호 전문 인력 양성 및 처우 개선에 적극적으로 투자하여 전문성을 강화해야 함
  • 다층 방어 전략 구축
    • End-point 보호, 오프라인 백업, 정기적인 보안 인식 교육 등 전방위적인 보안 체계를 구축하여 AI 기반 랜섬웨어와 같은 고도화된 위협에 대비해야 함
  • 피해 정보 공유 및 분석
    • 발생한 해킹 사건에 대한 상세한 정보 공유 및 분석을 통해 유사 피해를 예방하고 전반적인 사이버 보안 역량을 강화해야 함

[예스24 해킹] 예스24 불성실 소통에 ‘공지 의무 강화’ 목소리↑

[예스24 해킹] 예스24 불성실 소통에 ‘공지 의무 강화’ 목소리↑

 

[취재수첩] 예스24 대응 허술하다고 '해킹법'까지 만들 일인가

[취재수첩] 예스24 대응 허술하다고 '해킹법'까지 만들 일인가

 

[예스24 해킹] 기업 해킹 사고에 정부 개입 의무화? “실현 가능성 글쎄...”

[예스24 해킹] 기업 해킹 사고에 정부 개입 의무화? “실현 가능성 글쎄...”

 

예스24 해킹, 혼선 끝 '부분 복구'…韓 사이버 보안 체계 도마 위 - 글로벌이코노믹

예스24 해킹, 혼선 끝 '부분 복구'…韓 사이버 보안 체계 도마 위 - 글로벌이코노믹