[2026 보안 공시②] "유출량 보다 피해에 집중"…사고 겪은 기업 6곳, 보안투자 처방 갈렸다 작성일 07-02 41 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">인증정보 샌 곳은 전면 개편, 개인정보 샌 곳은 부분 보수</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="PjkdBNGhSw"> <figure class="figure_frm origin_fig" contents-hash="b258ca4b84ff8f4421bc24f080380d651af4a8517a82cd8c9accff87d67a21e9" dmcf-pid="QAEJbjHlCD" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/02/552796-pzfp7fF/20260702152659899dcvf.jpg" data-org-width="640" dmcf-mid="6DWrdSB3yr" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/02/552796-pzfp7fF/20260702152659899dcvf.jpg" width="658"></p> </figure> <p contents-hash="a9f34f4d27eb86300f22f33499d4b29f6408fda262b7eaa4246972c4823a6f2e" dmcf-pid="xcDiKAXSyE" dmcf-ptype="general">[디지털데일리 박재현기자] 지난해 대형 개인정보 유출 사고를 겪은 기업들의 보안투자 대응이 갈렸다. 사고 이후 조직을 새로 짜고 예산을 대폭 늘린 곳이 있는가 하면 총액은 그대로 두고 뚫린 지점만 정확히 손본 곳도 있었다. </p> <p contents-hash="e90dd3fff5ddba472836eb9bb8f8f33e72a145a709ef12045fd8afce109c6f57" dmcf-pid="yuqZmUJ6yk" dmcf-ptype="general"><strong>◆ "인증정보 샜다"…투자 총량 키운 SK텔레콤·쿠팡·롯데카드</strong></p> <p contents-hash="53dbd5e1c700ccd62f2f0f083bf89e814c50b7cab00bc8d79862845e5ac7e2d4" dmcf-pid="W7B5suiPhc" dmcf-ptype="general">2일 한국인터넷진흥원(KISA) 정보보호 공시 종합 포털에 따르면, SK텔레콤은 지난해 보안사고가 발생한 기업 중 보안투자 증가폭이 가장 컸다.</p> <p contents-hash="1bb44e9c4e540bf149c388a5e7e25481dba720b44d927ac05911f2255556518a" dmcf-pid="Yzb1O7nQCA" dmcf-ptype="general">보안투자액이 652억원에서 1111억원으로 70% 늘었다. 투자 비율은 4.2%에서 7.2%로, 전담인력은 219.2명에서 400.5명으로 두 배 가까이 뛰었다. 조직도 재편했다. 통합보안센터를 신설하고 CISO 직속으로 침투 테스트 전문가 조직인 'SKT 레드팀'을 꾸렸다. 모바일 단말 보안 솔루션 '짐페리움 포 SKT'를 고객에게 직접 제공하는 항목도 새로 담겼다.</p> <p contents-hash="75f51db730638ae6cf7a1e72f2bd5fc97fc05cee905bf67591a4151d764709a5" dmcf-pid="GPMbH6waCj" dmcf-ptype="general">유심 정보가 복제되면 곧바로 신원 도용으로 이어지는 인증 정보이기에 특정 시스템만 고쳐서 될 문제가 아니었던 셈이다.</p> <p contents-hash="f376d9730383dda9e9d22e8e18be0157210d5683d048b38defb9c42218965a20" dmcf-pid="HQRKXPrNyN" dmcf-ptype="general">쿠팡은 액수 기준으로 사고 기업 중 가장 많이 늘렸다. 쿠팡은 3,370만명 정보 유출이 알려진 뒤 보안투자액을 890억원에서 1349억원으로 51% 확대했다. IT투자 자체가 1조9171억원에서 2조5726억원으로 커지면서 절대적인 비율은 4.6%에서 5.2%로 소폭 상승한 것처럼 보였다. 전담인력은 370.1명으로 정보보안 인력 비율은 8.9%로 집계됐다.</p> <p contents-hash="3dcaa1080fcfd94658b553f0b52a9a345628f199c0950bdc9c324545ce280f38" dmcf-pid="Xxe9ZQmjSa" dmcf-ptype="general">쿠팡의 사고는 퇴사자의 회수되지 않은 접근키가 발단이었다. 유출 정보에 공동현관 비밀번호까지 섞여 있었던 게 투자 폭을 키운 배경이다. 개인정보보호위원회는 최근 쿠팡에 역대 최고액인 6,247억원의 과징금을 부과한 바 있다.</p> <p contents-hash="e0ab41ea076f465ed1d3074531e779f47df02181f5fb67d1c728a62449182d86" dmcf-pid="ZMd25xsASg" dmcf-ptype="general">롯데카드와 예스24는 투자 비율이 사고 기업 중 가장 큰 폭으로 뛰었다. 롯데카드는 지난해 7월 말부터 8월 사이 발생한 해킹으로 297만명의 정보가 유출된 사실이 9월 뒤늦게 드러났다. 조좌진 대표가 대국민 사과에 나섰고 유출된 정보 중 28만명분은 카드번호·비밀번호·CVC 코드까지 포함돼 재발급이 필요한 수준이었다.</p> <p contents-hash="60cd3827b2785b11ea848a8cc37d08c72f9a9073c6b528d29a5fbb81a1135825" dmcf-pid="5RJV1MOcTo" dmcf-ptype="general">공시에는 IT투자 1284억원 중 126억원(9.8%)을 보안에 썼다고 밝혔다. 롯데카드는 내부인증체계(FIDO) 강화 솔루션과 WAF·XDR·ASM·DTM 등 예방체계를 새로이 구성했고, 침해사고 대응훈련을 매월 시행한다고 명시했다.</p> <p contents-hash="82862916adf46fd86346ad9867e603fa4ee5064ee777125145366634efe8ae29" dmcf-pid="1eiftRIkTL" dmcf-ptype="general">예스24는 지난해 6월과 8월 두 차례 랜섬웨어 공격을 겪은 뒤 정보보호 투자 비율을 11.4%에서 14.3%로 높였다. 다만 전담인력은 10.1명에서 9.1명으로 줄었다. 부족한 인력은 외부로 메웠다. 외부 전문가 자문 협약을 맺고 한국침해사고대응팀협의회(CONCERT)에 가입했다고 공시했다.</p> <p contents-hash="51a58e8ac0416d7f96ede9b97dcc6778d3692919c9d648483180c78cdf5abd0b" dmcf-pid="tdn4FeCEhn" dmcf-ptype="general">◆ <strong>'뚫린 곳'에 투자 집중한 넷마블과 올리브영</strong></p> <p contents-hash="67d4dd528a5a57db201463884b461f43fa56e517197cec9885c1e362a055b6a3" dmcf-pid="FJL83dhDvi" dmcf-ptype="general">넷마블과 CJ올리브영은 전체 예산을 늘리는 대신 뚫린 구멍부터 메우는 전략을 폈다.</p> <p contents-hash="5a236f4390a9b560e242c8f99a571779f1a1c6caa2733a41d9ed03d722fc022b" dmcf-pid="3io60JlwCJ" dmcf-ptype="general">넷마블은 사고 규모에 비해 공시상 전체 투자가 오히려 줄었다. 2025년 11월 22일 PC 게임 사이트가 해킹당해 개인정보 611만명분과 휴면계정을 포함한 아이디·암호화 비밀번호 약 3100만건이 유출됐다.</p> <p contents-hash="123c06220beaf7d37a37735ffdb526109c85cd2cf371171fa50faaac5536f354" dmcf-pid="0Md25xsAWd" dmcf-ptype="general">이후 추가 조사에서 고객센터 상담 기록과 입사지원자 정보 등 8048건이 더 확인됐는데, 20년 가까이 보관 중이던 주민등록번호 1304건까지 포함돼 파장이 커졌다. 매출액 3% 상한을 적용하면 단순 계산상 과징금이 수백억원대에 이를 수 있다는 관측도 나왔다.</p> <p contents-hash="0cedbf5b3367bed35cda75f7d8d3d6eee6c0a8b78527380dbb501caa8190bb49" dmcf-pid="pRJV1MOcWe" dmcf-ptype="general">하지만 보안투자액은 56억9000만원에서 54억6000만원으로 소폭 줄었다. 비율로 치환하면 5.2%에서 4.6%로 전담인력도 37.9명에서 33.5명으로 줄었다.</p> <p contents-hash="6e21def849a472011236dbcb2f2518ea9c76e6f54d9aebe02d0bbcc650c0dffa" dmcf-pid="UeiftRIkCR" dmcf-ptype="general">대신 주요 투자 항목에 '서버 접근제어 솔루션 관련 지출'을 명시했다. 이번 사고 원인으로 지목된 퇴사자 계정 미회수 문제와 정확히 겹치는 대목이다. CJ올리브영은 투자 비율이 그대로였지만 대응 방식이 뚜렷하게 바뀌었다. 2025년 3월 크리덴셜 스터핑 공격으로 4900여 건 로그인이 뚫린 사고였다.</p> <p contents-hash="51a8ee4c79847ba8be406c5f0b62a6b6bc86607bff105a57452953b244188b4b" dmcf-pid="udn4FeCEyM" dmcf-ptype="general">정보보호 공시에 따르면, 투자 비율은 4.3%로 전년과 같았지만, 보안투자액 자체는 48억9000만원에서 54억2000만원으로 늘었다. 총 임직원 수가 빨리 늘면서 인력 비율은 2.6%에서 2.2%로 낮아졌다.</p> <p contents-hash="c9cda1b97a8698374d1c4a95331dbaabb7f81593dd81d0e7ff08c0f1b609b204" dmcf-pid="7JL83dhDTx" dmcf-ptype="general">대신 CISO가 겸직에서 임원으로 격상됐고, 클라우드 네이티브 보안 플랫폼(CNAPP)과 소스코드 취약점 탐지 체계를 새로 도입했다고 밝혔다. 로그인 단계 취약점을 겨냥한 투자다.</p> <p contents-hash="08a296db53e374fae901acb2a4f970d4424d0410aa6ddad6f9c001cf92af8a22" dmcf-pid="zio60JlwCQ" dmcf-ptype="general">◆ <strong>투자 폭을 가른 건 유출 건수가 아니라 정보의 성격</strong></p> <p contents-hash="8e6f3c3c0109259736eb49a4b39e63d8ee1a99cb16f9efee3daf2e6f0476b558" dmcf-pid="qngPpiSrTP" dmcf-ptype="general">SK텔레콤과 롯데카드는 재발급이 안 되거나 곧바로 금전 피해로 이어지는 정보를 잃었다. 유심 인증키가 복제되면 통신 서비스 자체를 못 믿게 되고 카드 정보가 새면 그 자리에서 부정결제가 가능하다. 특정 취약점 하나 막는 걸로는 끝나지 않는 이유다. 인증 체계 전체를 다시 짜야 하니 투자 규모도 커진다.</p> <p contents-hash="f83901ff1babe4ed48ce1531819d8294db793c78181a80ddff878f16f7060f0a" dmcf-pid="BLaQUnvml6" dmcf-ptype="general">넷마블과 CJ올리브영에서 새어나간 정보는 결제나 인증에 직접 쓰이지 않는 개인정보였다. 이름·생년월일·계정 정보가 심각한 문제이긴 하지만, 유출 경로가 퇴사자 계정이나 로그인 페이지처럼 특정 지점으로 좁혀졌다.</p> <p contents-hash="957c690d9ab62d0fd7fe2c052603d84ed701af1e0184d238e6f43211877b762d" dmcf-pid="boNxuLTsl8" dmcf-ptype="general">두 회사 모두 해당 지점을 정확히 짚어 손질했다. 예산을 전체적으로 늘리지 않았다고 대응을 안 한 건 아니다.</p> <p contents-hash="d135acaf5c4675991194faa039b686dc1625d82cbfb5bc252638297c604c7150" dmcf-pid="K8QqY4Eol4" dmcf-ptype="general">쿠팡과 예스24는 그 중간에 걸쳐 있다. 쿠팡은 공동현관 비밀번호처럼 물리적 안전과 직결되는 정보까지 새 나가 투자를 크게 늘렸다. 예스24는 유출이 반복되면서 서비스 신뢰도 자체가 흔들려 투자 비율을 끌어올렸다.</p> <p contents-hash="c8b7aaa35e1cada0125355100528aa0e92e1a4ce9977c8b30069e30fee153853" dmcf-pid="96xBG8DgWf" dmcf-ptype="general">기업들의 선택은 '얼마나 유출됐나'가 아니라 '그 정보로 어떤 피해가 발생했는가'에 따라 갈렸다. 인증정보나 결제정보처럼 즉시 금전 피해로 연결되는 경우엔 시스템 전체를 재설계하는 쪽을 택했고, 그렇지 않은 경우엔 문제가 된 지점만 고치고 넘어갔다.</p> <p contents-hash="9175fab18ffe6d64f2a7fc7613a9e2e13b94a2a942af76bbe86ce9fb7f914f60" dmcf-pid="2PMbH6walV" dmcf-ptype="general">공시상 투자 총액만 놓고 기업의 보안성 확보에 대한 의지를 가늠하기 어려운 이유이기도 하다. 같은 예산으로도 어디를 고쳤는지에 따라 결과는 다르게 나타날 수 있기 때문이다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 공동대표 첫 시험대 오른 카카오게임즈…하반기 신작 3종 출격 07-02 다음 [자막뉴스] 선 넘은 응원가의 대가..."배재고 6개월 출전정지" 07-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
