먼저 90년대 말로 가볼게. 당시 우리나라는 IMF 외환위기 이후 경제 회복을 위해 총력을 기울이던 시절이었어.

당시 김대중 대통령이 소프트뱅크 손정의 회장에게 경제를 살릴 묘안을 묻자 "브로드밴드, 브로드밴드, 브로드밴드" 라는 대답을 했던 때가 바로 이 즈음이지. 손정의 회장뿐 아니라 옆에 있던 빌 게이츠도 이 대답에 동의하자 정부는 초고속 인터넷망 구축을 위해 달리기 시작해. 단순히 인터넷망 만드는 걸 넘어서 세계 최고 수준의 IT 강국이 되겠다는 목표로 열심히 달려나가던 시절이 바로 이 때야.

인터넷이 발달하기 시작하면서 인터넷으로 물건을 사고파는 전자상거래가 뿌리내리기 시작했고, 인터넷 안에서 내 신원을 확인해줄 일종의 '전자 서명'이 필요해졌어. 그래서 1999년에 <전자거래기본법>과 <전자서명법>이 제정됐지. 전자서명법에 포함된 게 바로 '공인인증서'였고.

나를 인증해주는 이 전자 서명이 웹 상에 함부로 돌아다니거나 누구나 열람할 수 있으면 안 되겠지? 게다가 당시는 컴퓨터 보안 문제로 떠들썩했던 시기라 보안에 대한 민감도가 극도로 높았던 시기이기도 해. 이를테면 새천년을 맞이해서 컴퓨터가 2000년 이후의 연도를 인식하지 못할 거라는 밀레니엄 버그 문제도 있었고. 전 세계적으로 유행한 CIH 바이러스나, 멜리사 바이러스 같은 컴퓨터 바이러스들도 난리였지.

불편함도 불편함이지만 또 하나 신경 써야 할 부분은 공인인증서를 이용하려면 마이크로소프트의 인터넷 익스플로러를 무조건적으로 써야 한다는 거였어. 왜냐하면 액티브X를 써서 보안 프로그램을 다운받아야 하니까. 하지만 이 액티브X가 악성코드가 퍼지기 쉬운 환경이기도 하고, 여러 가지 자잘한 문제를 일으키는 탓에 마이크로소프트는 액티브X를 천천히 퇴출할 계획을 갖게 되지. 그렇게 되면 드디어 액티브X 지옥으로부터 해방되는 건가 싶었지만, 안타깝게도 금융 기관이 선택한 건 액티브X 대신 아예 PC에 보안 프로그램을 강제로 깔게 하는 거였어.

공인인증서라는 배보다 보안 프로그램이라는 배꼽이 더 커지면서 불편함과 피로감이 누적되자 정부는 결국 2018년에 공인인증서에 제공했던 우월적 지위를 삭제했어. 결국 2020년에 공인인증서가 법적으로 갖던 독점적 지위는 상실됐고 이름도 공동인증서로 바뀌게 되지. 이후부터는 공동인증서만이 아니라 다양한 인증 수단을 활용해서 인터넷과 모바일 거래를 할 수 있게 됐어. 6자리 비밀번호라든지 지문, 얼굴 인증 같은 수단을 통해서 말이야.

하지만 그럼에도 불구하고 은행이나 증권사 웹사이트에서 금융 거래를 할 때는 여전히 금융 보안 프로그램을 필수적으로 깔아야 하는 상황이야.

3월 31일 기준으로 국내 은행 18곳을 대상으로 금융 보안 프로그램 설치 여부를 조사해봤어. 18곳 가운데 인터넷 뱅킹 이용 시 무설치 뱅킹이 가능한 곳은 단 6곳뿐이었어. 지방은행의 경우엔 많게는 5개의 프로그램을 여전히 필수로 설치하라고 요구하고 있어.

이미 우리가 쓰고 있는 웹 브라우저들은 자체적으로 강력한 보안 시스템을 갖추고 있어. 현재 표준은 128비트, 256비트 암호화가 기본으로 쓰일 정도로. 하지만 한국의 금융 보안 프로그램들은 잘 갖춰진 웹 서버 보안에 구멍을 뚫어 굳이 굳이 인증서에 접근하는 구조다 보니 도리어 해커의 공격 통로가 된다는 지적이 많아. 관련된 연구 논문도 이렇게 나와 있고.

카이스트를 포함한 공동 연구진이 국내 주요 금융기관과 공공기관에서 쓰는 7종의 보안 프로그램을 분석했어. 분석해보니 모두 19건의 심각한 보안 취약점을 발견했어. 가령 피해자가 해킹 사이트에 접속하면 해킹 사이트는 설치된 키보드 보안 프로그램을 통해 키보드 입력을 가로채는 식인 거지. 일반 웹 브라우저를 쓸 때는 키보드 입력값이 나갈 일이 없는데 보안 프로그램이 깔린 환경에서는 도리어 입력값을 가로챌 수 있는 거야.

참고로 작년에 해킹 전문 매체인 프랙에서 대한민국 정부가 해킹됐다는 보고서가 공개되기도 했어. 북한 혹은 중국 해커가 우리나라 행안부의 온나라 시스템 등을 해킹했다는 건데, 보고서가 공개됐을 당시엔 정부가 대응하지 않았다가 뒤늦게 지난 10월에서야 실제 해킹이 확인됐다고 발표했지.

프랙 보고서를 살펴보면 해커 파일 중에 정부의 행정전자서명 보안 프로그램이 포함돼 있었어. 물론 파일을 갖고 있었다는 것만으로 보안 프로그램이 해킹 도구로 활용됐다고 단정하긴 어렵겠지만 충분히 통로로서 고려됐다는 건 확인할 수 있는 거야.

이런 상황이 이어지다 보니 정부 차원에서도 칼을 꺼내든 거지. 더 이상 금융 보안 프로그램 설치하는 걸 그냥 두고 볼 수 없다는 거야. 작년 10월에 발표된 범부처 정보보호 종합대책에도 올해부터는 금융 보안 소프트웨어를 단계적으로 제한할 거라고 발표하기도 했고.

보안 프로그램을 이렇게나 많이 설치하고 있지만 이상하게도 툭하면 터지는 게 개인정보 유출 사고야. 특히 지난 2025년은 유독 심했던 해였고. 4월엔 SKT 유심정보 2,696만 건이 유출됐고 9월엔 롯데카드에서 297만 명의 개인 신용정보가 유출됐지. 11월엔 쿠팡의 계정 정보 3,367만 여건이 유출됐고. 2025년 국내에 접수된 사이버 침해사고는 역대 최다를 기록했어.

2010년 침해사고로 접수된 건은 단 53건에 불과했어. 하지만 2025년엔 역대 처음으로 2,000건을 넘겨버렸지. 그중에서도 44.2%가 서버 해킹 이슈였고.

이렇게 소비자 개인정보가 탈탈 털리고 있는데도 기업들의 책임은 그리 크지 않은 듯해. 앞서 살펴봤던 금융 보안 소프트웨어 역시 제대로 된 소비자 보호 정책이 아니라는 지적이 많아. 해외에서는 보안 주체를 금융사 혹은 웹 브라우저로 두지만 우리나라는 사용자의 PC에 사용자가 직접 보안 프로그램을 설치하니까 사용자가 담당하고 있는 셈이지.

만일 금융 보안 사고가 나면 해외에선 금융사의 보안 실패로 보고 금융사가 보상하는 게 원칙이야. 하지만 우리나라는? 금융사 입장에서는 '우리는 보안 프로그램 만들어서 최선 다했다'면서 사용자가 관리를 소홀하게 한 거니까 사용자의 책임을 더 강조하고 있어. 즉, 금융 보안 프로그램이 기업의 보안 책임을 면피할 수 있는 도구로 쓰이고 있다는 거지.

이번에 정부가 금융 보안 소프트웨어를 연말까지 전환해야 한다고 말을 꺼내자 금융권은 일정이 너무 촉박하다며 볼멘소리를 하고 있어. 하지만 동시에 책임 소재에서 방어막 역할을 하던 보안 프로그램이 사라지는 것에 대한 우려로도 볼 수 있겠지.

그 사이 사이버 범죄는 점점 산업화되고 있어. 지금 우리나라에서는 공공 사이버 침해는 행안부에서, 민간 기업 문제는 과기부에서, 국가 안보 이슈는 국정원에서 관리하고 있어. 각각 특화된 영역에 맞춰서 부처별로 담당을 나눠둔 건데 보안 사고가 잦아들지 않고 있지. 민간은 민간대로 굵직한 개인정보 유출이 이어졌고, 정부기관에서조차 해킹 논란이 나왔으니까. 게다가 최근 사이버 범죄가 국가 핵심 전략 산업을 노리는 형태로 발전하면서 사이버 보안 이슈가 사이버 안보 이슈로 번지는 모습이야.

지난해 전 세계적으로 관찰된 사이버 위협 활동을 살펴보면 주 타겟은 단연 정부기관이 앞서 있어. 연방, 주, 지자체 전반에 걸쳐 총 274건의 공격이 확인됐지. 뒤이어 금융이 211건, 기술 부문이 179건이었고.

최근 이란 전쟁에서도 중동의 해커 그룹 제 1표적은 정부 기관이었어. 앞서 살펴본 데이터와 마찬가지로 2위는 금융, 3위는 통신이 차지했지. 이런 흐름이 이어지면서 우리나라도 사이버 보안 이슈의 컨트롤 타워를 국가안보실로 두고 대응하고 있어. 이번 금융 보안 소프트웨어에 칼을 빼 든 곳도 바로 이 국가안보실이라는 얘기가 들려오고 있지.

돌이켜보면 K-보안 프로그램 시작이 마냥 나쁜 건 아니었어. 미국이 암호화 기술을 쥐고 내주지 않던 때에 우리가 주체적으로 기술을 만들어냈다는 건 기술 주권 측면에서 분명히 의미 있는 일이었으니까. 하지만 글로벌 보안 기준이 발전하는 동안 우리는 우리가 만든 것에만 너무 오래 갇혀 있었어. 마치 갈라파고스 제도처럼 말이야. 그 사이 보안을 위해 만든 보안 프로그램이 도리어 보안의 구멍이 돼버렸지.

과연 올해는 정말 보안 프로그램 설치의 늪에서 벗어날 수 있을까? 구독자는 어떻게 생각해? 오늘 준비한 오그랲은 여기까지야. 긴 글 끝까지 읽어줘서 진심으로 고마워!

실시간 사이버 공격 지도

벌써 2026년 4월이야. 짧다면 짧은 이 시간 동안 일론 머스크의 입에서는 꽤나 굵직한 소식들이 쏟아져 나왔어. xAI와 스페이스X 합병 소식도 있었고, 화성을 부르짖던 그가 달에 기지를 짓겠다고 선언하기도 했지.

그중에서도 최근 사람들의 이목을 집중시킨 건 반도체를 직접 만들겠다는 '테라팹' 프로젝트였어. 이번주 오그랲에서는 일론 머스크의 테라팹 이야기를 준비해 봤어. 이 프로젝트가 등장한 배경은 무엇인지, 또 현실성은 있는 것인지 5가지 그래프를 통해 살펴봤는데, 궁금하다면 위의 썸네일을 클릭해 봐!