사이버 사고의 진짜 약점은 여전히 '사람'

처서가 지난 지 벌써 일주일이 지났지만, 체감으로는 여전히 한여름입니다. 여기에 비 소식까지 겹친다고 하니, 습하고 무더운 날씨가 조금 더 이어질 모양입니다. 이런 날씨에는 몸도 마음도 쉽게 지치고, 평소라면 하지 않을 실수를 하기도 쉽습니다. 건강 관리는 물론, 업무에서도 작은 방심이 큰 사고로 이어지지 않도록 한 번 더 주의를 기울이셔야 할 때입니다.

오늘은 바로 그 '작은 방심'에 관한 이야기를 나눠보려 합니다.

AI 시대에도, 사고의 시작점은 여전히 사람입니다

최근 사이버보험사 Resilience가 발표한 2026년 상반기 보고서 하나가 눈길을 끌었습니다. 핵심은 이렇습니다. 올해 상반기 발생한 사이버 손실보험금 청구 중 85% 이상이 피싱, 소셜 엔지니어링, 송금 사기 등 '사람의 실수'를 악용한 공격에서 비롯되었다는 것입니다. 이 비중은 2024년 상반기 17.7%에 불과했는데, 불과 2년 만에 85.3%까지 치솟았습니다. 다섯 개 반기 통계 중 가장 가파른 증가세라고 하니, 결코 가볍게 볼 수 없는 흐름입니다.

물론 AI가 손을 놓고 있는 것은 아닙니다. 오히려 보고서는 AI를 공격의 '파괴력을 키우는 요인'으로 지목합니다. 공격자들은 이메일 문구를 다듬고, 음성을 흉내 낸 딥페이크로 송금 승인 전화를 가로채는 등, AI를 활용해 소셜 엔지니어링을 한층 더 정교하게 다듬고 있습니다. 실제로 올해는 사람의 개입 없이 완전 자율로 작동한 랜섬웨어 공격 사례, AI가 단독으로 타사 시스템을 침해한 사례까지 처음으로 확인되었고, IBM 조사에서는 AI 기반 공격이 전년 대비 56% 증가하며 평균 유출 비용이 약 499만 달러까지 올라간 것으로 나타났습니다.

그럼에도 불구하고 여전히 대다수의 실제 손실은, 사람이 클릭 한 번을, 전화 한 통을, 이체 승인 한 번을 잘못 판단하면서 시작되고 있습니다. AI는 위협을 더 정교하게 만드는 '증폭기'일 뿐, 아직까지 결정적인 '방아쇠'는 사람이 당기고 있는 셈입니다.

손실의 구조도 함께 바뀌고 있습니다

흥미로운 대목이 하나 더 있습니다. 랜섬웨어로 인한 갈취는 전체 청구 건수의 5.8%에 불과하지만, 발생 손실액으로는 73%를 차지할 만큼 여전히 압도적입니다. 다만 그 '방식'이 달라지고 있습니다. 과거에는 시스템을 암호화한 뒤 복호화 키를 대가로 요구하는 방식이 주를 이뤘다면, 이제는 데이터를 탈취해 다크웹 유출을 빌미로 금품을 요구하는 '데이터 유출 협박형'이 대세가 되었습니다.

이 변화 덕분에 청구 건당 평균 손실액은 2025년 상반기 78만 4천 달러에서 2026년 상반기 47만 달러로 오히려 낮아졌습니다. 백업 체계가 견고해지고 에어갭이 자리를 잡으면서, 시스템이 통째로 마비되는 최악의 상황은 줄어든 것으로 풀이됩니다. 다만 개인정보나 기업 기밀이 유출될 경우의 평판 리스크와 법적 책임은 여전히 별개의 문제로 남아 있다는 점은 짚어드리고 싶습니다.

보험 프로그램, 이렇게 점검해보시길 권합니다

이번 보고서가 시사하는 바는 명확합니다. 기술적 방어선 못지않게, '사람'을 겨냥한 통제 체계와 보험 담보의 정합성을 다시 살펴볼 시점이라는 것입니다.

• 소셜 엔지니어링·송금 사기 담보 확인: 사이버배상책임보험(Cyber Liability) 약관상 피싱, 딥페이크를 이용한 송금 사기(Social Engineering Fraud, Funds Transfer Fraud)가 명시적으로 담보되는지, 별도 서브리밋이나 공제금액이 과도하게 설정되어 있지는 않은지 점검이 필요합니다.
• 데이터 유출 협박(갈취) 대응 체계: 랜섬웨어 담보 안에서도 시스템 암호화형과 데이터 유출 협박형에 대한 대응 비용(포렌식, 협상, 통지 비용 등)이 균형 있게 설계되어 있는지 확인해보시기 바랍니다.
• 임직원 대상 훈련의 실효성 재점검: 딥페이크 음성, AI가 작성한 정교한 피싱 메일이 늘어나는 만큼, 기존의 형식적인 보안 교육이 실제 방어력으로 이어지고 있는지 재검토가 필요한 시점입니다.
• 벤더 리스크 비중 변화 참고: 최근 통계상 벤더발 손실 비중은 크게 줄었지만, 이는 언제든 다시 반등할 수 있는 영역인 만큼 협력사 보안 수준에 대한 모니터링은 계속 유지하시길 권합니다.

날씨도 그렇지만, 리스크의 얼굴도 계속 바뀌어갑니다. 기술이 아무리 발전해도 결국 마지막 문을 여는 것은 사람의 판단이라는 사실은 변하지 않는 듯합니다. 다음 편지에서는 이번 통계에서 드러난 랜섬웨어 손실 구조 변화를 조금 더 깊이 들여다보고, 컴플라이언스와 내부통제 관점에서 무엇을 준비해야 할지 이야기해보겠습니다.

가장 튼튼한 자물쇠도, 옆집 문이 열려 있으면 소용없다"

며칠째 장마전선이 남쪽으로 밀려나고 나니, 이번엔 후텁지근한 열기가 그 자리를 채우고 있습니다. 창문을 열어도 바람 한 점 들어오지 않는 날들이 이어지는데요, 눈에 보이지 않지만 서서히 실내 온도를 끌어올리는 무더위처럼, 요즘 기업들을 압박하는 사이버 리스크도 딱 그런 모양새로 다가오고 있는 듯합니다. 어느 한 순간 갑자기 터지는 사고라기보다, 벤더와 협력사, 클라우드와 SaaS 시스템 곳곳에서 열기가 조금씩 쌓이다 임계점을 넘는 방식으로요.

AI가 무기가 되는 동시에 방패가 되는 시대

지난주 로이터發 Claims Journal 보도를 접하고 잠시 손을 멈췄습니다. 코카콜라 산하 유제품 기업 페어라이프(Fairlife)가 제3자 시스템 무단접근을 이유로 미국 내 생산을 일시 중단했다는 소식이었는데요, 마침 같은 주 백악관이 AI 개발기업과 핵심 인프라 운영기관 간 사이버 취약점 정보 공유 협의체 출범을 발표했다는 대목이 눈에 들어왔습니다. 공격이 AI로 고도화되는 동시에, 방어 측에서도 AI를 정책 차원의 대응 수단으로 끌어올리고 있다는 뜻이겠지요.

올 1월부터 7월까지 집계된 18건의 주요 사고를 유형별로 들여다보면 흐름이 더 뚜렷해집니다.

• 랜섬웨어·데이터 탈취형: Nike(1.4TB 유출), Crunchyroll(680만 건 이메일 유출), Wynn Resorts(비트코인 150만 달러 요구) 등 금전 갈취와 운영 중단이 결합된 전형적 패턴
• 국가배후·지정학 연계형: Stryker의 주문처리·제조·배송 시스템 마비 — 지정학적 긴장이 민간 제조업 공급망으로 곧장 전이된 사례
• 제3자·공급망 경유형: OpenAI, Rockstar Games, Instructure Canvas, Novo Nordisk 등 다수 — 전체 18건 중 6~7건으로 가장 큰 비중을 차지합니다
• 사회공학형: Blank Rome(IT부서 사칭으로 변호사 기망), Carnival(직원 계정 탈취) — 기술보다 사람이 취약점이라는 점을 다시 확인시킵니다
• 인프라 취약점 대량 악용형: Fortinet 방화벽·VPN 장비 약 7만 5천 대 동시 침해 — 단일 벤더 의존이 곧 집적리스크(Accumulation Risk)로 직결된 사례
• 제조·물류 중단형: West Pharmaceutical Services, Stryker, Hasbro, 그리고 이번 fairlife까지 — 데이터 유출을 넘어 생산라인 자체가 멈춰 서며 기업휴지(BI) 손실이 현실화되고 있습니다

보험 프로그램에서 짚어볼 지점

1. 벤더 실사가 언더라이팅의 중심으로: 제3자·공급망 경유형 사고가 절반에 가까운 비중을 차지하는 만큼, Cyber 및 Tech E&O 심사에서 벤더 실사(Vendor Due Diligence)와 제3자 접근권한 관리 수준을 별도 평가 항목으로 반영해야 할 시점입니다. Fortinet 사례처럼 단일 벤더 제품의 광범위한 사용은 포트폴리오 차원의 집적리스크 관리 모델을 다시 들여다보게 합니다.

2. 국내 기업 익스포저 점검: 미국 소재 자회사, SaaS 벤더, 클라우드 인프라를 통해 국내 제조·헬스케어·게임·소비재 기업들도 동일한 유형의 노출에 놓여 있습니다. 특히 West Pharmaceutical Services·Stryker형 제조라인 마비 사고는 국내 제약·의료기기·완성차 협력업체의 Non-Damage BI 및 기업휴지 담보 설계 시 참고할 만한 사례입니다.

3. D&O 언더라이팅과 이사회 책임: 사회공학형 사고 비중이 높다는 점은, 개인정보보호법상 과징금·집단소송 리스크가 국내에서도 유사한 패턴으로 재현될 수 있음을 시사합니다. 이사회의 사이버 거버넌스 감독 책임 여부가 D&O 심사 항목에서 더 무거워질 가능성을 염두에 두시면 좋겠습니다.

결국 올해 상반기 사이버 사고 동향이 말해주는 것은, 방어선이 더 이상 자사 방화벽 안쪽에 머물러서는 안 된다는 점입니다. 벤더 생태계 전체의 보안 성숙도까지 시야를 넓혀야 할 때입니다.

데이터가 많아질수록 책임도 커집니다

6,247억 원의 과징금, 개인정보 유출은 왜 경영 리스크가 되었나

기업이 보유한 데이터는 자산입니다. 그러나 지키지 못한 데이터는 어느 순간 거대한 부채가 됩니다. 최근 쿠팡에 부과된 역대 최대 규모의 개인정보 관련 과징금은 사이버 사고가 어떻게 규제·재무·법률·평판 리스크로 확산되는지를 보여주는 사례입니다.

3,400만 계정에서 시작된 대규모 리스크

Claims Journal이 Bloomberg 보도를 통해 전한 내용에 따르면, 개인정보보호위원회는 쿠팡 한국 법인에 총 6,247억 원(약 4억900만 달러)의 과징금을 부과했습니다. 개인정보 유출과 관련해 국내에서 부과된 역대 최대 규모입니다.

사건의 핵심은 전직 직원이 약 3,400만 개 계정의 개인정보에 부적절하게 접근했다는 점입니다. 한국 인구의 약 3분의 2에 해당하는 방대한 규모이며, 이러한 접근이 수개월 동안 탐지되지 않았다는 점은 더욱 심각합니다.

개인정보보호위원회는 이번 사고가 고도의 해킹 기법보다는 회사의 기본적인 안전관리 체계와 관리·감독의 미흡에서 비롯됐다고 지적했습니다.

기술의 문제가 아니라 사람과 권한, 그리고 내부통제의 문제였던 것입니다.

6,247억 원은 어떻게 구성됐나

전체 과징금 가운데 4,236억 원은 개인정보 유출, 2,011억 원은 동의 없는 개인정보 수집과 관련해 부과됐습니다.

또한 쿠팡의 물류 자회사인 쿠팡풀필먼트서비스에도 개인정보를 불법적으로 수집하고 이를 취업 제한 명단 작성 등에 사용한 것과 관련해 별도로 2억4,800만 원의 과징금이 부과됐습니다.

기업이 주목해야 할 것은 사고비용이 과징금에서 끝나지 않는다는 사실입니다.

개인정보 사고가 발생하면 고객 보상, 포렌식과 시스템 복구, 법률 대응, 민사소송, 보안체계 개선, 영업 손실과 평판 훼손 등이 연쇄적으로 발생할 수 있습니다. 상장기업이라면 투자자의 신뢰와 기업가치에도 영향을 미칩니다.

실제로 기사에 따르면 쿠팡은 사고 이후 고객에게 보상성 쿠폰을 지급했고, 회사는 올해 매출 성장세가 둔화될 것이라고 전망했습니다. 당시 주가도 연초 이후 약 35% 하락한 상태였습니다.

사이버 사고의 진짜 비용은 사고가 발생한 순간보다 그 이후에 더 커질 수 있습니다.

외부 해커보다 가까운 곳에 있는 위험

이번 사건에서 기업들이 특히 주목해야 할 부분은 내부자 리스크(Insider Risk)입니다.

기업의 사이버보안 투자는 흔히 방화벽, 랜섬웨어, 외부 침입 차단 등에 집중됩니다. 그러나 실제 업무환경에서는 임직원·협력업체·퇴직자에게 부여된 접근권한 역시 중요한 위험요인입니다.

퇴직자의 계정과 권한은 즉시 회수되고 있는지, 한 사람이 업무상 필요한 범위를 넘어 개인정보에 접근할 수 있는지, 비정상적인 대량 조회와 다운로드는 자동으로 탐지되는지 점검해야 합니다.

결국 필요한 것은 “누가 들어오는가”를 막는 보안뿐 아니라 “들어온 사람이 무엇을 하는가”를 통제하는 보안입니다.

개인정보 사고는 IT부서만의 문제가 아닙니다

대규모 개인정보 사고는 이미 정보보안 부서를 넘어 전사적 경영 리스크(Enterprise Risk)가 되었습니다.

기업은 접근권한에 최소권한 원칙을 적용하고 인사이동이나 퇴직 시 즉시 권한을 회수해야 합니다. 대량 조회·다운로드와 비정상적인 접속을 탐지하는 모니터링 체계도 필요합니다.

개인정보 자체를 필요 이상으로 보유하지 않는 Data Minimization 역시 중요합니다. 보유하지 않는 개인정보는 유출될 수도 없기 때문입니다.

사고 발생 이후에는 IT·법무·준법·홍보·경영진이 따로 움직이는 것이 아니라 하나의 Incident Response 체계 아래 대응해야 합니다.

보험 프로그램도 함께 살펴봐야 합니다. Cyber Insurance를 통해 개인정보 침해 대응비용, 포렌식 비용, 법률비용, 고객 통지비용, 제3자 배상책임 등의 보장 여부를 점검할 필요가 있습니다. 다만 과징금과 벌금의 보험 보장 가능 여부는 관련 법률과 보험약관, 관할에 따라 달라질 수 있으므로 별도의 검토가 필요합니다.

데이터가 많아질수록 책임도 커집니다

디지털 기업의 경쟁력은 데이터를 얼마나 많이 확보했느냐에 달려 있었습니다. 이제는 그 데이터를 얼마나 안전하게 통제할 수 있느냐도 기업 경쟁력을 결정합니다.

3,400만 개의 계정과 6,247억 원의 과징금.

두 숫자가 던지는 메시지는 분명합니다.

기업이 성장하면 데이터가 늘어나고, 데이터가 늘어나면 리스크 역시 커집니다. 성장 속도를 내부통제와 보안 거버넌스가 따라가지 못한다면 오늘의 데이터 자산은 내일의 거대한 손실이 될 수 있습니다.

사이버 리스크 관리의 출발점은 더 높은 방화벽만이 아닙니다.

“우리 회사의 데이터에 누가, 왜, 어디까지 접근할 수 있는가.”

경영진이 이 질문에 명확하게 답할 수 있는 것, 그것이 개인정보 리스크관리의 출발점입니다.

---

출처

Media: Claims Journal

Original Reporting: Bloomberg

Authors: Jaehyun Eom · Shinhye Kang

Article: Korea Fines Coupang Record $409 Million for Data Breach

Date: June 11, 2026

대규모 사이버공격 사건들 돌아보기

한 해의 결실을 돌이켜보고 다가올 미래를 구상하는 12월이 찾아왔습니다. 매서운 겨울바람과 함께 찾아오는 연말은 조직의 인프라를 점검하고 보안 전략을 고도화하기에 가장 적절한 시기입니다. 2025년 한 해 동안 발생한 대규모 사이버공격 사건들은 기술적 고도화와 공급망의 취약점을 결합한 위협이 얼마나 파괴적일 수 있는지를 여실히 증명하였습니다. 올 한 해의 주요 보안 사고 사례를 체계적으로 복기하고, 이를 통해 확보해야 할 전략적 인사이트를 공유하고자 합니다.

올해 발생한 가장 파괴적인 사고 중 하나는 영국의 자동차 제조사 재규어랜드로버가 겪은 가동 중단 사태였습니다. 공격자들은 기업용 소프트웨어의 취약점을 악용하여 제조 네트워크 깊숙이 침투하였으며, 이로 인해 공장 생산 라인이 수 주간 전면 중단되는 초유의 피해가 발생하였습니다. 이는 단순한 데이터 유출을 넘어 공급망 마비와 천문학적인 경제적 손실로 이어진 대표적인 사례로, 산업 제어 시스템과 정보기술 환경의 통합이 가져온 위험성을 극명하게 보여주었습니다.

국내 유통 분야에서도 전례 없는 규모의 보안 사고가 기록되었습니다. 한국 최대의 이커머스 플랫폼인 쿠팡에서 내부 인증 시스템의 관리 미흡을 틈타 3,370만 명에 달하는 고객 데이터가 장기간 탈취되는 사건이 발생하였습니다. 전직 직원의 접근 권한 관리 실패와 유출 인지 지연이 겹치면서 피해 규모가 걷잡을 수 없이 커졌으며, 경영진 사임과 막대한 기업 가치 하락으로 이어졌습니다. 또한 유통 플랫폼인 GS리테일의 GS25와 GS샵에서도 다른 곳에서 유출된 계정 정보를 무작위로 대입하는 크리센셜 스터핑 공격이 연쇄적으로 발생하여 총 160만 건 이상의 회원 정보가 노출되었습니다.

이러한 일련의 사건들이 제시하는 보안 인사이트는 매우 명확합니다.

첫째, 공급망과 내부 인력에 대한 강력한 내부 통제 및 제로 트러스트 아키텍처의 확립입니다. 퇴사자나 파트너사의 접근 권한을 지속적으로 검증하지 않는다면 외부의 강력한 방화벽은 무용지물이 됩니다. 내부망에 진입한 그 어떤 주체도 신뢰하지 않고 끊임없이 인증하는 체계로의 전환이 시급합니다.

둘째, 사용자 계정 중심의 능동적인 방어 체계 구축입니다. 다중 인증 도입은 물론이고, 봇을 통한 자동화된 대량 로그인 시도를 실시간으로 탐지하고 차단하는 이상 징후 분석 시스템이 비즈니스 운영 보안의 핵심으로 자리 잡아야 합니다.

셋째, 신속한 탐지와 투명한 거버넌스의 확립입니다. 공격을 완벽히 막을 수 없다면 유출 발생 시 이를 실시간에 가깝게 인지할 수 있는 가시성을 확보해야 하며, 사고 발생 후 적시 대응과 투명한 공개를 통해 이해관계자의 신뢰 붕괴를 최소화해야 합니다.

지나온 보안 사고의 기록은 단순한 실패의 흔적이 아니라 더 견고한 내일을 구축하기 위한 가장 확실한 이정표입니다. 올 한 해의 위기를 교훈 삼아 다가오는 새해에는 한층 복원력 높은 보안 태세를 확립하시기를 바라며, 안전하고 평온한 연말을 보내시기 바랍니다.