"이상 없다더니 무신사·위버스 털렸다"…정부, 민간 기업 '셀프 점검' 뭇매

지난해 ISMS 인증기업 949곳 긴급 점검 '셀프 조사' 그쳐

과기정통부, 기업 발견 취약점 세부 내역 제출 받지 않아

"취약점 정보, 민감정보라 기업 자체 관리…확인 어려워"

"기업 자율에 맡겨 직무유기…사후 관리·감독 대폭 강화"

[서울=뉴시스] 기사의 이해를 돕기 위한 해커 이미지. (사진=유토이미지) 2026.01.01. [email protected] *재판매 및 DB 금지 *재판매 및 DB 금지

[서울=뉴시스]박은비 기자 = 정부가 지난해 정보기술(IT) 시스템 보안 취약점을 긴급 점검하겠다고 했지만 민간기업은 제대로 검증하지 않은 것으로 나타났다.

30일 국회 과학기술정보방송통신위원회 소속 이정헌 더불어민주당 의원이 과학기술정보통신부와 한국인터넷진흥원(KISA)에 받은 자료에 따르면, 과기정통부는 지난해 민간기업의 취약점 점검 여부를 확인했지만 기업이 발견한 취약점 세부 내용은 제출받지 않았다.

앞서 정부는 지난해 10월 범부처 정보보호 종합대책을 발표하면서 국민 대다수가 이용하는 1650개 IT 시스템 보안 취약점을 점검하겠다고 약속한 바 있다. 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼사 등 정보보호 관리체계(ISMS) 인증기업 949개 등이 대상이다.

정부는 기업의 취약점 내역을 받지 않은 것에 대해 정보의 민감성을 이유로 들었다. 취약점 정보가 민감정보이기 때문에 별도 제출받지 않고 기업이 자체적으로 관리하게 했다는 설명이다.

"지난해 취약점 점검했지만"…SSG닷컴 등 8곳 올해 유출 사고 겪어

문제는 긴급 점검을 마쳤다고 회신한 곳 중 올해 개인정보 유출 사고를 겪은 기업들이 포함됐다는 점이다. 무신사와 위버스컴퍼니(하이브 자회사), 에쓰오일토탈에너지스윤활유(에쓰오일 자회사), SSG닷컴 등 8개 기업은 지난해 정부 보안 취약점 점검 대상이었다.

이 중에서 무신사가 운영하는 온라인 패션 플랫폼 29CM에서는 고객 개인정보 16만여건이 유출됐다. 하이브 자회사 위버스컴퍼니가 운영하는 팬 플랫폼 위버스에서도 개인정보 40만건 이상이 빠져나갔다. 에쓰오일토탈에너지스윤활유와 SSG닷컴의 개인정보 유출 여부는 확인되지 않았지만 이상 징후를 탐지한 뒤 이달 KISA에 침해사고를 신고, 현재 사고 원인을 분석 중이다.

중국인으로 추정되는 해커들은 이달 초 이들 8개 기업을 비롯해 국내 기업 수십곳을 해킹했다고 주장했다.

"이상 없다더니 1년 안 돼 해킹 공격 표적…정부 차원 검증 체계 갖춰야"

이 의원은 "해킹을 예방하겠다고 기업들을 점검했다고 하더니 정부의 보안 점검이 결국 기업의 유명무실한 '셀프 점검'으로 끝났다"며 "과기정통부가 민감정보라는 핑계로 취약점 파악조차 하지 않은 채 기업 자율에만 맡겨둔 건 명백한 탁상행정이자 직무유기"라고 지적했다.

그러면서 "자체 점검에서 '이상 없다'고 회신한 기업들이 채 1년도 안 돼 연이어 해킹 공격 표적이 된 건 현행 대책의 실효성이 완전히 바닥났음을 보여주는 방증"이라며 "형식적인 자율 점검에 기댈 게 아니라 정부 차원의 객관적인 사전 검증 체계를 마련하고 사후 관리·감독을 대폭 강화해야 한다"고 말했다.


◎공감언론 뉴시스 [email protected]