[기고]랜섬웨어 급증과 정보보호 투자

2020년 9월 독일 뒤셀도르프대학 병원 서버 30대가 랜섬웨어 공격으로 병원 정보시스템이 마비됐다. 이 때문에 긴급 수술을 받아야 할 환자가 인근 병원으로 이송되던 중 생명을 잃는 초유의 사건이 발생했다. 랜섬웨어를 막연한 사이버범죄 정도로 치부한 사람들에게 랜섬웨어가 실제로 사람의 생명까지 앗아갈 수 있는 파급력을 가졌음을 알려준 충격적인 사건이다. 국내에서도 지난해 11월 말 국내 유명 유통기업의 사내 네트워크 시스템이 랜섬웨어 조직의 공격을 받아 매장 50여곳중 23곳의 운영이 일시적으로 중단됐다.


지난해 국내외를 망라해 가장 눈에 띈 대표적 사이버 공격은 단연 랜섬웨어다. 랜섬웨어는 기업의 컴퓨터 데이터를 암호화하고 이를 풀어주는 대가로 돈을 요구하는 악성코드를 지칭한다. 글로벌 사이버보안 연구업체 사이버시큐리티벤처스에 따르면 랜섬웨어로 인한 전세계 피해규모는 2015년 3억2500만달러(약 3500억원)에서 2019년 115억달러(약 12조6000억원)로 급증했다. 이런 추세는 2021년에도 어김없이 이어질 것으로 예상되며 피해규모 증가뿐 아니라 피해범위도 전사업부문으로 확대될 것으로 예측된다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 국민·기업의 랜섬웨어 감염 예방 및 피해를 최소화하기 위해 다양한 정책지원을 하고 있다. ‘랜섬웨어 피해예방 5대 수칙’과 ‘랜섬웨어 대응·백업가이드’를 제공하며 ICT(정보통신기술) 중소기업의 보안수준을 제고하기 위해 종합컨설팅과 보안솔루션 제공하는 등 랜섬웨어 감염 피해를 최소화하려고 노력한다.

하지만 2019년도 정보보호 실태조사에 따르면 정보보호예산이 IT(정보기술) 예산의 5% 이상인 기업은 2.9%에 불과한 것으로 나타났다. 미국, 여러 선진국과 비교하면 우리 기업의 정보보호투자는 갈 길이 멀다. 또 2020년 정부로부터 보안솔루션 지원을 받은 775개 ICT 중소기업 가운데 약 42% 기업이 랜섬웨어 솔루션을 새로 도입했다는 점은 기업의 랜섬웨어에 대한 우리 기업의 투자가 크게 미흡했다는 반증이기도 하다.

필자가 만나본 대부분 기업 정보보호 담당자는 기업의 정보보호 투자가 부족한 이유로 기업의 리더들이 정보보호를 투자가 아닌 비용으로 치부하기 때문이라고 말했다. 일례로, 담당자가 예산 확보를 위해 투자 계획을 보고하면 정보보호 투자를 확대하면 앞으로 절대 정보보호 관련 사고가 발생하지 않느냐 라고 묻는데 ‘꼭 그렇다고 단정할 수는 없다’라고 대답하면 그럼 왜 거기에 돈을 써야 하냐고 반문한다는 것이다. 기업 리더의 정보보호 인식의 부족을 나타내는 단편적인 사례다.


랜섬웨어는 일부 기업, 기관, 국가의 개인 및 중요정보 유출이나 영업 중단으로 인한 경제적 손실에만 그치는 것이 아니라 수도, 가스, 전기 등 국민 생활의 필수 서비스 중단에서 국가의 중요정보 유출로 안보에까지 영향을 미치는 치명적인 위험을 초래할 수 있다. 특히 AI(인공지능) 5G(5세대 이동통신) IoT(사물인터넷) 같은 신기술 기반으로 전산업부문의 디지털 전환이 가속화하고 코로나로 인해 급속히 당겨진 비대면 온라인 사회에서는 랜섬웨어를 포함한 다양한 정보보호 이슈에 대한 관심과 위험을 최소화하기 위한 투자가 기업의 생사기로를 결정하는 중요한 요인이 될 것이다.

기업 보안전도사로 변신한 전설적 해커 케빈 미트닉은 기업이 정보를 어떻게 안전하게 보호해야 하느냐는 질문에 “기업의 정보를 안전하게 보호하려면 기업 임직원의 보안인식이 가장 중요하다”고 언급했는데 딱 우리에게 필요한 충고라고 생각한다. 기업·기관의 리더들이 정보보호에 대한 투자를 선두에서 지휘할 때 비로소 효과적인 정보보호 대책이 실현될 수 있다.

올해는 필자가 어디선가 만나게 될 기업 정보보호 담당자들이 “예산이 너무 많아서 어떻게 써야 할지 모르겠다” “대표의 관심이 너무 많아서 부담스럽다”와 같은 행복한 고민에 빠진 모습을 보는 한 해가 되길 바란다.

염흥열 순천향대 정보보호학과 교수