국내 A금융사는 지난해 8월 14일 자신들을 ‘펜시베어’라 칭하는 그룹으로부터 e메일을 받았다. 자신들이 뉴질랜드증권거래소(NZX)를 디도스(DDoS·분산서비스 거부) 공격해 서버를 마비시킨 주인공이라고 소개했다. 목적은 비트코인. 공격은 e메일 발송 직후 지난 2월까지 20여 차례나 이어졌다. 비트코인을 내놓으라는 요구도 반복됐다.

25일 정희용 국민의힘 의원실에 따르면 2017년만 해도 96건에 불과했던 국내 디도스 공격 사례가 지난해 213건으로 2배 이상 늘었다. 금융보안원의 한 관계자는 “지난해 8월부터 디도스 공격이 다시 극성을 부리고 있다”며 "서버를 공격해 마비 상태로 만들 뿐 아니라 데이터를 암호화하고 탈취 사실까지 공개하는 패턴을 보인다"고 전했다. 이 관계자는 이어 “막대한 규모의 개인 정보를 쌓아두고 있는 금융사들 입장에서 개인 정보 유출은 치명상이라는 점을 노리고 있다”고 말했다.

금융보안원에 따르면 지난해 금융보안관제센터가 탐지한 금융사 대상 전자적 침해 시도는 616만 1,000건에 달한다. 전년 962만 8,000건에 비해 크게 줄어든 것처럼 보이지만 파급력은 더 커졌다. 공격 방식이 보다 정밀한 형태로 진화했을 뿐만 아니라 타깃도 돈이 될 만한 핵심 정보에 집중하는 경향이 나타나고 있기 때문이다. 실제 지난해 12월 국내 고객의 카드 정보 100만 건이 무단 공개되기도 했다. 문종현 이스트소프트(047560) 시큐리티대응센터(ESRC)장은 “특정 브라우저로만 접속이 가능한 비밀 웹사이트인 ‘다크웹’에 사이버 테러 집단이 빼돌린 고객 정보들이 손쉽게 거래되고 있다”고 전했다.

최근에는 사이버 테러가 보다 과감해지고 있다. 대기업이나 금융사뿐 아니라 정보통신기술(ICT) 기업을 타깃으로 한 해킹 시도가 늘어나고 있다. 실제 국내 대표 ICT 기업인 네이버도 최근 디도스 공격을 받아 서비스 차질을 빚었다. 네이버의 한 관계자는 “네이버 홈페이지는 365일 사이버 공격을 받고 있다고 봐도 무방하다”며 “보안 관련 인력과 투자를 늘리고 있지만 디도스 공격은 일반 개인용 컴퓨터(PC)를 감염시켜 ‘좀비 PC’로 활용하는 만큼 시도 자체를 막기는 불가능하다”고 설명했다.

신종 코로나바이러스 감염증(코로나19)으로 비대면 서비스가 확산하고 있는 환경도 사이버 테러 조직에는 기회다. 원격 근무가 보편화하면서 내부망에 침입하기가 더 쉬워진 것이다. 가장 대표적인 방식은 화상회의 때 업로드하는 이미지 파일 등에 악성 코드를 심는 방법이다. 스마트폰을 향한 공격도 잦다. 국정원 사이버안보센터는 올 3월 국내 이동통신사에 가입된 약 4만 대의 스마트폰이 해킹당했다고 밝혔다. 스마트폰으로 가짜 인터넷뱅킹 애플리케이션을 내려받도록 유도한 뒤 통화 기록과 문자메시지, 저장 문서 등을 가로챘다. 국정원은 “해킹된 스마트폰을 이용해 도청도 이뤄졌다”고 전했다.

코로나19로 각종 개인 정보가 많이 모이는 병원을 비롯해 백신·치료제 등을 개발하는 제약사에 대한 공격도 늘어나는 추세다. 지난해 6월에는 대한의학회 홈페이지 내 문서에서 악성 코드가 발견됐다. 의료 관계자들 사이에 악성 코드를 퍼뜨려 의료 기관, 제약사 등을 공격하려는 시도였다. 지난해 11월에는 셀트리온(068270)·제넥신(095700)·신풍제약(019170) 등 국내 제약사가 북한으로 추정되는 해킹 그룹에 공격당했다. 국내 대표 이공계 대학인 한국과학기술원(KAIST)도 최근 수차례 해킹 피해를 입으며 체면을 구겼다. 지난해 11월에는 전자연구노트시스템이 해킹당해 학생·교직원·연구자 3만 명 이상의 개인 정보가 유출됐고 이달 12일에는 외국 해커가 물리학과 게시판을 해킹했다.

전문가들은 다양한 정보를 빼내거나 정보기술(IT) 시스템을 마비시킨 후 이익을 노리는 사이버 범죄가 날이 갈수록 심각해지고 있지만 ICT 보안에 대한 국내 기관·기업들의 인식은 ‘처참한 수준’이라고 지적한다. 한국정보보호산업협회에 따르면 지난해 정보 보호를 위한 조직을 보유한 사업체 비율은 13.4%에 불과했다. 기본적인 정보 보호 정책을 수립한 조직도 23.6%에 불과했다. 문 센터장은 “해킹 공격을 당한 기관들에 피해 사실을 알려줘도 파장을 숨기기 급급하고 피해 규모조차 산출하지 못하는 것이 현실”이라며 “보안을 후순위에 두는 경영 문화를 혁신하고 사고가 터지기에 앞서 관련 투자를 집행해야 한다”고 강조했다.