해킹당하고도 말하지 않는 나라…'한국은 해킹되었습니다' 세종도서 선정

아시아경제 심나영·전영주·박유진 기자 공동 집필
피해기업·협상가·화이트해커 추적…해킹 뒤에 숨은 '한국적 침묵'
심사위원 "먹고사니즘·위계문화·통계조차 없는 정부 방치 짚어"

해커가 5억원을 요구했다. 지방의 한 반도체 부품업체였다. 직원은 10명. 해커에게 뜯기는 돈은 직원 10명의 한 해 연봉과 맞먹었다. 그런데 대표는 정부에 신고하는 대신 돈을 냈다. 3년간 준비한 투자 프로젝트를 앞두고 있었다. 해킹당했다는 사실이 알려지는 게 5억원을 잃는 것보다 무서웠다. 그는 취재진에게 말했다. "돈 5억 때문에 평생 바쳐 일궈 온 회사의 운명을 걸 수는 없지 않느냐."

이상한 이야기다. 범죄가 일어났는데 피해자가 숨어야 한다. 더 이상한 이야기도 있다. 해킹당한 기업이 정부보다 먼저 찾는 사람이 있다. '협상가'다. 해커가 15비트코인을 부르면 9비트코인까지 깎는다. 깎아낸 금액의 일부를 수수료로 받는다. 납치영화의 인질 협상이 사람 대신 서버를 놓고 벌어진다. 대한민국 기업의 현실이다.

아시아경제 심나영·전영주·박유진 기자가 쓴 '한국은 해킹되었습니다'(사이드웨이)가 한국출판문화산업진흥원의 세종도서 교양 부문에 선정됐다. 지난해 12월 출간된 책이다. 제목만 보면 사이버 보안 전문서 같다. 읽고 나면 생각이 조금 달라진다. 이 책에서 가장 오래 남는 것은 해커의 기술이 아니다. 해킹당하고도 말하지 못하는 사람들이다.

세 기자는 피해 기업과 화이트해커, 보안 전문가, 해커와 몸값을 흥정하는 협상가들을 찾아다녔다. 그 과정에서 발견한 것은 역설이었다. 디지털 범죄는 무서울 만큼 첨단화했는데, 그것을 키우는 토양은 놀랄 만큼 오래된 것이었다. 사고를 알리면 책임을 져야 한다. 나쁜 소식은 위로 올라가기 어렵다. 보안은 당장 매출을 만들어내지 못한다. 문제가 생겼다면 밖에 알려 해결하기보다 안에서 조용히 덮는 편이 조직에는 편하다.

정부의 '2024 정보보호 실태조사'에서 해킹 피해 신고율은 중소기업 4.1%, 중견기업 이상 6.5%에 그쳤다. 관계 당국에 신고하지 않을 경우 과태료를 물 수 있는데도 기업들은 침묵을 택했다. 신고해서 얻을 이익보다 기업 신뢰 하락과 행정 부담 등 감당해야 할 손실이 더 크다고 판단하기 때문이다. 피해자가 범죄자보다 자신의 피해 사실을 더 두려워하는 셈이다.

그래서 이 책의 제목은 묘하다. '기업이 해킹되었습니다'도, '당신의 개인정보가 해킹되었습니다'도 아니다. '한국은 해킹되었습니다'다.

해커가 침입한 곳은 서버지만, 저자들이 끝내 들여다본 곳은 한국 사회다. 한국출판문화산업진흥원에 제출된 도서 요약에는 그 배경으로 '먹고사니즘과 편의주의, 안일한 집단주의와 위계적 조직문화'가 적시돼 있다. 여기에 피해의 실체를 파악할 통계조차 제대로 갖추지 못한 정부 시스템이 겹치면서 '보안 공백'이 커졌다는 것이 저자들의 진단이다.

'먹고사니즘'은 특히 눈에 걸리는 단어다. 해킹과 너무 어울리지 않기 때문이다. 하지만 조금 생각하면 이 책에서 해킹과 가장 가까운 말인지도 모른다. 보안 투자는 사고가 나지 않으면 성과가 보이지 않는다. 당장 먹고사는 일이 급하면 뒤로 밀린다. 문제가 터진 뒤에도 마찬가지다. 신고해서 회사의 평판과 거래 관계를 위험에 빠뜨리느니 돈을 주고 조용히 끝내는 것이 경영자의 입장에서는 합리적인 선택일 수 있다. 개개인의 합리적 선택이 모여 사회 전체에는 가장 위험한 결과를 만드는 것이다.

이 지점에서 해킹은 IT업계만의 이야기를 벗어난다. 조직 안에서 '문제가 있습니다'라고 말하는 사람이 문제를 만든 사람처럼 취급된다면, 위험은 좀처럼 위로 보고되지 않는다. 사고를 드러낸 기업이 손해를 보고 숨긴 기업이 살아남는다면 통계는 현실을 반영할 수 없다. 통계가 없으면 국가는 무엇이 얼마나 위험한지 알 수 없고, 알 수 없으니 같은 사고를 막기도 어렵다.

기록되지 않은 재난은 학습할 수 없는 재난이다. 세종도서 선정위원도 바로 이 대목을 읽었다. 최정원 심사위원은 "알려진 해킹은 전체의 일부에 불과하고 대다수 피해는 은폐되고 있었다"며 저자들이 그 배경으로 "먹고사니즘과 위계 문화, 통계조차 없는 정부의 방치"를 짚었다고 평가했다. 이어 "해킹이라는 재난을 직시하려는 독자에게 권할 만하다"고 했다.

책은 정부가 미신고 기업을 더 강하게 처벌하는 것으로 문제가 해결되지 않는다고 본다. 보안 투자를 비용이 아니라 예방 투자로 만들 수 있도록 세액공제 같은 인센티브를 주고, 사이버보험 등 사고가 발생했을 때 기업이 위험을 사회와 나눌 수 있는 장치를 마련해야 한다고 제안한다. 숨긴 사람을 벌주기 전에 왜 사람들이 숨기는지를 먼저 보자는 얘기다.

'한국은 해킹되었습니다'는 앞서 지난 1월 대한출판문화협회가 선정하는 '눈에 띄는 새 책'에도 이름을 올렸다. 선정 도서는 전국 3000여개 도서관 사서에게 추천도서로 소개된다. 이번에는 세종도서 교양 부문에 선정됐다. 두 차례의 선정은 이 책이 보안업계 사람들에게만 필요한 책으로 읽히지 않았다는 점을 보여준다. 해킹을 이야기하지만 실은 한국의 조직은 나쁜 소식을 어떻게 처리하는가, 국가는 보이지 않는 위험을 어떻게 다루는가를 묻는 책이기 때문이다.

해커는 침입한 뒤 흔적을 지운다. 그런데 한국의 어떤 해킹 사건에서는 한 번 더 흔적이 지워진다. 피해 기업이 말하지 않고, 기록되지 않고, 그래서 통계에서도 사라진다.

해킹은 한 번 일어났는데, 사건은 두 번 사라진다. 처음에는 해커에 의해, 두 번째에는 우리 스스로에 의해.

김희윤 기자 film4h@asiae.co.kr