2025년은 '해킹의 1년'… 우리 회사는 얼마나 안전한가?
페이지 정보
본문
"정보보호컨설팅 · 모의해킹 · 보안취약점진단" 전문기업 『라스컴 시큐리티』 www.lassecu.com T:1522-3863 secu@lascom.co.kr
안녕하세요 라스컴 시큐리티입니다.
2025년은 국내 기업에게 "해킹의 해"로 기억될 가능성이 큽니다.
4월에는 국내 주요 이동통신사가 약 2,300만~2,700만 명의 고객 정보를 유출하는 대규모 사고를 겪었고, 이 여파로 특정 분기 영업이익이 90% 가까이 감소했다는 발표까지 이어졌습니다.
같은 해 상반기 기준으로 집계된 국내 사이버 침해사고는 1,034건, 전년 동기 대비 약 15% 증가했습니다.
유형별로는 서버 해킹이 51.4%, DDoS 공격 23.0%, 악성코드 감염 11.1%(이 중 랜섬웨어 7.9%)로, 여전히 "취약한 서버와 노출된 시스템"이 가장 큰 표적이 되고 있습니다.
언론과 정부 보고서를 종합해 보면, 2025년 주요 이슈는 다음과 같았습니다.
- 통신사·금융사 등 대형 개인정보 유출,
- 랜섬웨어와 금전 요구형 악성코드,
- 가상자산 거래소 침해
- 이미 유출된 계정 정보를 재활용하는 크리덴셜 스터핑(credential stuffing) 공격
문제는 이런 사고가 특정 대기업만의 일이 아니라는 점입니다.
공개된 통계와 사례를 보면, 침해사고 피해 기업의 상당수는 중소·중견 기업이며, 보안 담당자 1~2명이 인프라와 보안을 동시에 맡고 있는 환경이 대부분입니다.
1. 사고를 키운 것은 '신기술 부족'이 아니라 '기본 미준수'
2025년에 공개된 여러 사고를 들여다보면, 원인은 거창한 제로데이나 국가 차원의 공격이 아니라 다음과 같은 "기본 미준수"에서 출발하는 경우가 많습니다.
1) 패치되지 않은 서버·미들웨어
- 수년 전부터 알려진 취약점(CVE)이 여전히 방치
- 인터넷에 그대로 노출된 관리 콘솔·대시보드
2) 형식적인 계정·권한 관리
- 퇴사자 계정 미삭제, 공용 관리자 계정 공유
- MFA(다단계 인증) 미적용, 동일 ID·패스워드 재사용
3)로그·모니터링 부재
- 침해 흔적이 남아 있어도 찾지 못하거나, 찾아도 해석·대응 주체 부재
- 이상 징후를 조기에 감지할 수 있는 체계(규칙·알림)가 없음
4) 백업·복구 체계 미흡
- 백업은 있으나 실제 복구 테스트 경험이 없음
- 동일 네트워크에 연결된 백업 서버가 함께 랜섬웨어에 감염되는 구조
4) 사고 대응 시나리오 부재
- 사고 발생 시 어떤 시스템을 먼저 내릴지, 어떤 순서로 복구할지,
누구에게 보고하고 외부와는 어떻게 커뮤니케이션 할지 정리가 안 되어 있음
즉, 많은 사고는 "최신 솔루션이 없어서"가 아니라 "가지고 있는 자산과 프로세스를 제대로 관리하지 못해서" 발생했습니다.
2. 우리 회사가 당장 점검해야 할 5가지 질문
지금 시점에서, 복잡한 프레임워크를 모두 적용하기 어려운 조직이라도 최소한 아래 5가지 질문에는 답을 해볼 필요가 있습니다.
1) 우리는 '인터넷에 노출된 시스템 목록'을 갖고 있는가?
- 우리 회사 서버·웹서비스·관리 콘솔 중, 인터넷에서 바로 접속 가능한 시스템 목록이 최신 상태로 정리돼 있습니까?
- 이 목록에 대해 "운영체제·웹서버·DB·미들웨어 버전", "대표 취약점(CVE) 존재 여부", 외부에서 점검한 결과(취약점 진단/모의해킹 보고서 등)가 연결되어 있습니까?
* 권고: 최소 연 1회 이상, 외부 전문기관을 통한 취약점 진단 또는 모의해킹을 수행하고, 결과를 이 자산 목록과 연계해 관리하는 것이 좋습니다.
2) 관리자·중요 계정은 어떻게 관리하고 있는가?
- AD, DB, 클라우드 콘솔, 주요 업무시스템의 "관리자 계정 수", "사용 현황", "권한 변경 기록"을 주기적으로 리뷰하고 있습니까?
- 중요 시스템에 대해서는 "MFA 적용", "공유 계정 제거 또는 접근 이력 남기기", "퇴사자 계정 즉시 비활성화" 프로세스가 실제로 작동하고 있습니까?
* 권고: 월 1회 이상 관리자·특권 계정 목록을 점검하고, 인사정보(입·퇴사, 조직 변경)와 연동되어 자동으로 반영되는지 확인해야 합니다.
3) 이상 징후를 감지할 ‘눈과 귀’가 있는가?
아래 사항을 확인해 보셨습니까?
- 서버·보안장비·클라우드 로그가 한 곳(SIEM, 로그서버 등)에 모이고 있는지
- 특정 이벤트(반복 로그인 실패, 해외 IP 접속, 관리자 권한 변경 등)에 대해 알림이 발생하도록 설정되어 있는지
24시간 관제가 어렵다면, 아래 사항을 점검해야 합니다.
- 업무시간 중이라도 담당자에게 메일·메신저 알림이 가는지
- 심각도 높은 이벤트에 대해서는 외부 관제센터와 연계되어 있는지
* 권고: "모든 로그를 다 본다"는 발상은 현실적이지 않습니다. 핵심 이벤트 몇 가지부터 정해, 그 부분만이라도 알림과 대응 절차를 만드는 것이 출발점입니다.
4) 랜섬웨어·대규모 장애 발생 시 ‘복구 시나리오’가 있는가?
- 중요한 시스템에 대해 RTO(복구 소요시간), RPO(허용 가능한 데이터 손실 범위)를 정의해 둔 적이 있습니까?
- 백업은 논리적으로 혹은 물리적으로 분리된 위치에 보관되고, 최소 연 1회 이상 실제 복구 테스트를 수행하고 있습니까?
* 권고: "백업이 있습니다"라는 말만으로는 부족합니다. "언제까지 어느 시점으로 복구할 수 있는지"가 정해져야 의미 있는 대비가 됩니다.
5) 해킹 의심 상황 발생 시 ‘누가 무엇을 어떻게’ 할지가 정해져 있는가?
- 의심 트래픽·계정 탈취·랜섬 노트 발견 등 이상 징후가 발생했을 때, 간단한 연락망과 보고 체계가 문서화되어 있습니까?
- 보고 체계: 누구에게, 어떤 채널(전화·메신저·메일)로, 어느 수준까지 공유해야 하는지
- 외부 기관(관제센터, 보안 컨설팅사, 보험사 등)과의 연락 창구와 역할도 미리 정리되어 있습니까?
* 권고: 복잡한 Incident Response Plan이 아니어도 좋습니다.
A4 1~2장 분량으로, "1시간 이내 / 24시간 이내 해야 할 일"만 정리해도 실제 사고 대응 품질은 크게 달라집니다.
3. 규모가 작은 회사일수록 더 위험하다
공개된 통계와 보고서를 보면, 침해사고 피해 기업 중 상당수는 보안 전담 인력이 없는 중소·중견 기업입니다.
- IT 인력이 인프라·헬프데스크·보안을 모두 겸직하는 경우가 많고
- 예산 제약으로 인해 "취약점 진단·모의해킹", "보안관제", "정기적인 교육·훈련"이 뒷순위로 밀리기 쉽습니다.
그러나 실제 공격자는 “보안조직이 탄탄한 대기업”보다 미흡한 방어체계를 가진 중소·중견 기업을
더 손쉽고 안정적인 먹잇감으로 보기도 합니다.
특히, 협력사·하청업체·제3업체를 노려 공급망 공격의 첫 단추로 활용하는 경우도 늘고 있습니다.
4. 2025년, 우리 회사가 취할 수 있는 현실적인 다음 단계
모든 조직이 한꺼번에 완벽한 보안체계를 갖추기는 어렵습니다.
다만, 2025년을 계기로 아래와 같은 현실적인 단계적 접근을 권장드립니다.
1) 외부 노출 자산과 주요 시스템의 취약점 상태 점검
- 인터넷에 노출된 시스템을 중심으로 취약점 진단 또는 모의해킹 수행
- 결과를 토대로 "지금 당장 막아야 할 리스크"부터 조치
2) 관리자·중요 계정에 대한 최소 권한·MFA 적용
- 1차로 관리자·DB·클라우드 콘솔 계정부터 정리
- 가능하다면 SSO·MFA 도입을 통해 계정 보안 강화
3) 핵심 이벤트 중심의 로그 수집·모니터링 체계 구축
모든 로그가 아니라, "조사해야 할 이벤트"에 집중
- 관리자 로그인
- 권한 변경
- 외부·해외 IP 접속
- 대량 데이터 다운로드 등
4) 백업·복구 테스트 및 단순 Incident Response 문서화
- 연 1회 이상 복구 테스트를 통해 실제 복구 가능 여부 확인
- 사고 발생 시 1시간/24시간 내 해야 할 일을 A4 1~2장으로 정리
5) 정기적인 보안 교육 및 모의훈련
- 피싱메일 모의훈련, 랜섬웨어·침해사고 대응훈련 등을 통해 조직 전체의 보안 감수성을 일정 수준 이상으로 유지
2025년의 연이은 보안 사고는, 한국 기업의 IT 중요도가 높아진 만큼
보안 수준도 한 단계 끌어올려야 할 시점에 도달했다는 경고에 가깝습니다.
모든 체계를 한 번에 바꾸기는 어렵습니다.
그러나 자산 파악 → 취약점·계정·로그·백업·대응 시나리오라는 기본 축만 정비해도
침해사고 발생 가능성과 피해 규모는 눈에 띄게 줄어듭니다.
취약점 진단·모의해킹, ISMS-P/ISO27001 등 관리체계 컨설팅, 침해사고 대응 체계 수립·훈련이 필요하신 경우
라스컴 시큐리티로 문의 주시면 귀사의 현재 수준과 예산에 맞는 현실적인 대안을 함께 고민하겠습니다.
감사합니다.
정보보호컨설팅 · 모의해킹 · 취약점진단
보안컨설팅 전문기업 - 라스컴 시큐리티
070-4910-9043 secu@lascom.co.kr
- 다음글추석 연휴 전후, 보안 체크리스트와 사고 대응 매뉴얼 25.09.24