분류: TLP:CLEAR | 문서유형: 분석 칼럼 (Analytical Column) | 작성일: 2026-09-13 핵심 주장: 자랑은 실패의 부산물이 아니라 설계된 목적이다. 침묵이 비용인 공격과 소란이 수익인 공격은 다른 종(種)이다.
이상한 것은 해킹이 아니라 보도자료다
2026년 9월, 중국계로 추정되는 해커 한 명이 6일 동안 한국 정부기관 88곳과 기업 20여 곳을 공격했다고 주장했다. 그런데 이 사건에서 정말로 이례적인 대목은 공격 규모가 아니다. 해커가 피해 기관보다 먼저 침해 사실을 SNS에 통보했다는 것이다.
과기정통부, KISA, 금융위, 금감원, 국방부, 국정원. 그는 관계 기관 목록을 훑으며 자기가 무엇을 어떻게 털었는지 스스로 알렸다. 훔친 자가 피해자에게 도난 사실을 설명하는 구도가 되었다.
보안업계는 대체로 "과시욕"이라는 단어로 이 장면을 정리했다. 나는 그 설명이 충분하지 않다고 본다. 자랑은 실패의 부산물이 아니라 설계된 목적일 가능성이 높다. 그리고 그 목적을 읽어내는 것이, 유출 건수를 세는 것보다 우리에게 훨씬 중요하다.
그리고 이런 해킹이 발생한 이유는 그 동안 쌓아 놓은 기술 부채, 보안 부채, 바이브 코딩, 갈라파고스화된 한국 보안 시장이 만들었다.
1. 진짜 스파이는 자랑하지 않는다
국가 배후 공격 조직(APT)의 성과 지표는 단 하나, 체류 시간(dwell time) 이다. 얼마나 오래 들키지 않고 남아 있었는가? 이들에게 노출은 곧 이익을 얻는 자산의 소각이 될 수 있다. 몇 달, 몇 년에 걸쳐 확보한 접근 경로와 백도어가 한 번의 언론 보도로 전부 폐기된다.
그런 조직이라면 88곳을 6일 만에 훑고 떠들지 않는다. 한 곳을 6개월 동안 조용히 지키고 털어갈 것을 집중적으로 털어간다.
이번 해킹 행위자는 정반대의 선택을 했다. 지속 접근권을 자발적으로 포기했다. 이는 두 가지 중 하나를 뜻한다. 확보한 접근권의 장기 가치가 낮다고 판단했거나, 애초에 정보 수집이 목적이 아니었거나.
다만 여기서 "그러니 국가 배후가 아니다"로 결론짓는 것도 성급하다. 중국의 사이버 생태계는 국가–민간 보안업체–개인 범죄가 3층으로 겹쳐 있는 구조다. i-SOON 내부 자료 유출이 보여준 그림이 그렇다. 계약으로 움직이는 하청 업체가 존재하고, 그 안의 개인은 낮에는 발주받은 보안 전문가, 화이트 해커의 일을, 밤에는 자기 영업을 한다. 금감원이 "IP는 중국계로 보이지만 우회 방법이 워낙 많아 확정하기 어렵다"고 말한 것은 기술적 겸손이자 정확한 진술이다.
그러니 질문을 바꾸는 게 낫다. 배후가 누구냐가 아니라, 왜 소란이 이 행위자에게 이익이 되었는가?.
2. 자랑의 경제학 — 소란이 돈이 되는 네 가지 경로
(1) 소란은 상품 인증서다
훔친 데이터를 파는 시장의 근본 문제는 검증이다. 판매자는 샘플을 보여주고, 구매자는 그게 진짜인지 알 수 없다. 이 시장에서 신뢰는 곧 가격이다.
이때 언론 보도만큼 저렴하고 확실한 품질 보증서가 없다. "코엠페이먼츠 카드번호 수만 건"이라는 주장이 기사화되고, 금감원이 검사에 착수하고, 회사가 해명을 내놓는 순간 그 뉴스, 데이터는 제3자 기관에 의해 실재가 확인된 상품이 된다. 해커는 마케팅 비용을 한 푼도 쓰지 않고 감독기관을 광고 대행사로 고용한 셈이다.
(2) 통보는 갈취의 첫 문장이다
"먼저 알린다"는 행위는 협상 테이블을 여는 문법이다. 랜섬웨어는 파일을 암호화해 협상을 강제하지만, 데이터 갈취형 공격자는 공개 가능성 자체를 지렛대로 쓴다. 파일을 잠글 필요도 없다. 기관 목록과 샘플을 던져 놓고 반응을 본다.
실제로 보안업계는 "해커가 먼저 기관·기업에 알린 뒤 접촉하는 사례가 적지 않다"고 말한다. 통보는 선의가 아니라 가격 제시 이전 단계다.
계속 해킹을 당하는 경우 해커들이 시스템을 중장기 관리하는 구독형 착취 구조가 나올 수 있다. 라이브 벗방 TV의 경우 해커들이 지속적으로 DDoS 협박으로 매달 상납하는 경우가 있다고 한다.
(3) "나는 통보했다"는 법적 서사다
관할권이 미치지 않는 곳에 앉아 있는 행위자에게, 법적 방어는 실무가 아니라 서사의 문제다. 그리고 서사에서 가장 강력한 한 문장이 "나는 취약점을 발견해 해당 기관에 알렸다"이다.
이 문장은 침입과 제보 사이의 경계를 의도적으로 흐린다. 데이터를 통째로 빼내 판매를 타진하면서도 "책임 있는 공개(responsible disclosure)"의 어휘를 빌려 쓰는 것이다. 실제로 잡히지 않을 사람에게도 이 코스프레는 유용하다. 여론이 갈리면 수사 우선순위가 내려간다.
(4) 이력서다
다크웹, 지하 해킹 커뮤니티에서 평판은 자본이다. 한 국가의 정부기관 88곳을 6일에 훑었다는 실적은, 다음 일감을 받을 때 쓰이는 포트폴리오가 된다. 이것이 국가 배후 조직의 자산 관리 논리와 정반대로 움직이는 이유다. 조직은 침묵으로 자산을 지키고, 개인은 소란으로 자산을 만든다.
3. 한국이 선택된 이유 — 난이도가 아니라 가성비
이제 더 아픈 질문. 왜 하필 한국이었나?
88곳을 6일에? 침투가 아니라 수확이다
88개 기관을 각각 뚫었다면 6일은 불가능하다. 가능한 시나리오는 하나뿐이다. 같은 취약점, 실수를 88번 발견한 것.
해커가 지목한 취약점 목록을 다시 보자. 암호화되지 않은 평문 DB 접속 정보. 인증 절차 없는 API. 재사용된 비밀번호. 이것들은 정교한 익스플로잇이 아니다. 검색 조건이다. 한 번 패턴을 찾으면 나머지는 스크립트가 한다.
이 구조가 한국에서 유독 잘 작동하는 이유는 공공 SI 시장의 생김새 때문이다. 최저가 낙찰, 다단계 하청, 유지보수 예산의 부재, 그리고 준공 검사 항목에 사실상 빠져 있는 보안. 결과적으로 수십 개 기관이 같은 하청 계보의 코드를 돌린다. 취약점 하나의 재사용률이 기형적으로 높은 시장이 만들어진다. 공격자 입장에서 이것은 가성비가 아니라 거의 특혜다.
체크리스트는 통과했는데 자격증명은 관리되지 않았다
한국 보안의 오랜 병증은 투자 부족보다 규제 준수형 보안이다. 망분리 했는가, 인증 받았는가, 점검 보고서 제출했는가. 항목은 채워지지만 소스코드에는 비밀번호가 평문으로 남아 있다. 최근 통신사 침해 사고에서 "소스코드에 비밀번호가 암호화되지 않고 그대로 노출돼 있었다"는 지적이 국회에서 나온 것도 같은 계열의 이야기다. 금고 문은 규격대로 달았는데 비밀번호를 문 옆에 붙여 놓은 것이다.
언어 장벽을 보안으로 착각한 30년
한국어라는 해자(垓子)는 오랫동안 무의식적 보안 자산이었다. 내부 문서, 변수명, 주석, 업무 용어가 전부 한국어라는 사실이 외부인의 탐색 비용을 높여줬다.
그 해자는 LLM과 함께 증발했다. 이제 한국어 소스코드와 내부 문서를 읽고 구조를 파악하는 데 드는 비용은 사실상 0이다. 우리는 보안 투자를 하지 않은 대가를 30년간 유예받았을 뿐이고, 청구서가 지금 도착했다.
그리고 잡히지 않는다
범죄인 인도도, 국제 공조의 실효성도 기대하기 어렵다. 한국은 자랑해도 잡히지 않는 사냥터다. 자랑의 비용이 0에 수렴하면, 앞서 말한 네 가지 수익 경로는 전부 순이익이 된다. 경제학적으로 이 행위자는 대단히 합리적이었다.
4. 가장 과소평가된 대목 — AI 대화 1만 건
이번 사건에서 카드번호보다 무겁게 봐야 할 주장이 하나 있다. ChatGPT Pro, Gemini, Claude Max, DeepSeek 계정에 접근해 AI 대화 약 1만 건을 추출했다는 대목이다.
기존의 유출은 결과물이 나가는 일이었다. 문서, DB, 고객 명단. 결과물은 편집을 거친 것이다. 결재를 받았고, 대외 공개 여부가 검토됐고, 민감한 표현은 다듬어졌다.
AI 대화 로그는 다르다. 여기 남는 것은 과정이다. 무엇을 모르는지, 무엇을 고민 중인지, 폐기된 초안, 미공개 전략, 내부 용어, 붙여넣은 소스코드 조각, 계약서 원문, 실명이 박힌 고객 데이터. 사람은 문서를 쓸 때는 검열하지만 프롬프트를 쓸 때는 검열하지 않는다. AI 대화 로그는 조직의 무의식이다.
나는 오래 전부터 "LLM은 엑셀이지 오라클이 아니다"라고 말해 왔다. 이 사건은 그 비유의 어두운 절반을 드러낸다. 엑셀이기 때문에 위험하다. 사람들이 엑셀 파일에 회사의 모든 것을 넣듯, 프롬프트 창에도 모든 것을 넣는다. 차이는 그 엑셀이 회사 밖 서버에 있고, 계정 하나에 MFA가 걸려 있지 않으면 전부가 열린다는 것이다.
동시에 공격자 쪽에서도 같은 도구가 작동한다. 6일에 88곳이라는 속도는 자동화와 LLM 보조 없이는 설명하기 어렵다. 방어자에게는 생산성 도구인 것이 공격자에게는 진입장벽 철거다. 그리고 진입장벽이 낮아질 때 가장 먼저 무너지는 곳은 언제나 보안 투자 여력이 없는 중소 PG사와 협력업체다. 이번에도 정확히 그랬다.
5. 그래서 이것은 결국 심리전이다
자랑의 마지막 효과는 가장 값싸고 가장 광범위하다.
진위 불명 자체가 무기다. 88곳 중 실제로 뚫린 곳이 몇 곳인지 아무도 모른다. 그래서 108개 기관이 전부 전수조사를 해야 한다. 공격 비용 1에 방어 비용 수천배. 이것이 비대칭의 정의다. 국정감사를 코앞에 둔 타이밍까지 고려하면, 지목된 기관들은 앞으로 몇 주간 방어가 아니라 해명에 자원을 쓰게 된다.
그리고 더 뼈아픈 장면이 있다. 부인의 함정이다.
토스페이먼츠는 "우리 시스템 해킹이 아니라 가맹점이 연동한 외부 결제 플랫폼의 연동키가 노출된 것"이라고 설명했다. SSG닷컴은 "프론트 API 비정상 접근은 있었으나 내부 결제 시스템 침입은 확인되지 않았다"고 했다. 한화는 "내부 점검 결과 특별한 이상 없음"이라고 했다.
개별 진술은 각각 사실일 수 있다. 문제는 이것들을 전부 합쳐도 아무도 책임지지 않는 유출이 남는다는 것이다. 연동키는 노출됐고, 결제 4,131건과 정보주체 2,671명의 내역은 실제로 조회됐다. 아무의 시스템도 뚫리지 않았는데 데이터는 나갔다. 공급망 보안이라는 말이 추상적으로 들린다면, 이 문장이 그 실체다.
6. 우리가 물어야 할 질문
"해커 주장이 진짜인가"는 틀린 질문이다. 그의 주장이 전부 허풍이어도, 그가 지적한 취약점이 우리에게 있는지는 오늘 당장 확인할 수 있다. 평문으로 저장된 DB 접속 정보가 있는가. 인증 없이 호출되는 API가 있는가. 진위 판정은 KISA의 일이고, 자기 점검은 각 기관의 일이다. 이 둘은 순차가 아니라 병렬이다.
이 사건의 최대 지표는 유출량이 아니라 통보 순서다. 침해 사실을 외부인이 먼저 알려줬다는 것은, 내부에 탐지 능력이 없었다는 뜻이다. 88곳 중 스스로 이상을 감지한 곳이 몇 곳인가. 이 숫자가 카드번호 유출 건수보다 훨씬 정직하게 우리 수준을 말해준다.
규제는 규모가 아니라 데이터를 기준으로 걸려야 한다. 카드번호를 취급하면 회사 크기와 무관하게 같은 기준을 적용받아야 한다. 지금 구조는 '작아서 규제가 약한 곳'과 '중요한 데이터를 만지는 곳'이 정확히 겹친다. 공격자는 그 교집합만 본다.
그리고 취약점 제보 채널의 부재가 갈취 시장을 키운다. 선의로 제보한 사람이 감사 인사 대신 법적 위협을 받는 관행이 남아 있는 한, 발견자에게 가장 합리적인 선택은 제보자가 아니라 협박자가 되는 것이다. 국내에 제대로 작동하는 신고·포상 체계가 있었다면, 이번 해커가 해외 언론이 아니라 정식 창구를 택했을 것이라는 말은 아니다. 다만 그 선택지가 아예 없다는 사실이 지금의 시장 구조를 만들었다는 것은 분명하다.
마치며
왜 자랑했는가? 답은 허무할 만큼 단순하다.
자랑해도 되니까. 자랑이 돈이 되고, 자랑해도 잡히지 않고, 자랑할 만큼 쉬웠으니까.
이 세 조건을 만든 것은 해커가 아니다. 30년 동안 보안을 비용 항목으로 분류해 온 발주 구조, 체크리스트를 통과하면 안전하다고 믿은 관행, 그리고 한국어가 우리를 지켜줄 거라는 오래된 착각이 만들었다.
부끄러움은 뚫린 쪽의 몫이다. 하지만 고칠 수 있는 것도 뚫린 쪽뿐이다.
본 칼럼은 2026년 9월 10~13일 공개된 언론 보도를 토대로 작성했다. 해커의 주장 중 상당수는 공식 확인되지 않았으며, 실제 피해 규모는 관계 기관의 조사 결과에 따라 달라질 수 있다.