해킹 은폐하면 이득?…"증거인멸 구조 바꿔야"

[아이뉴스24 서효빈 기자] 대규모 해킹 사고 발생 시 기업의 증거인멸과 축소·은폐를 막기 위한 제도 개선이 시급하다는 지적이 나왔다. 현행 제도에서는 사고를 숨길수록 책임을 피하기 쉬운 구조가 형성돼 있어 법적 책임과 증거 보존 의무를 강화해야 한다는 주장이다.

"사고 축소·증거 삭제 반복"…기업 은폐 행태 도마

이해민 조국혁신당 의원은 19일 국회의원회관에서 '해킹 은폐 제로: 고의적 해킹 은폐 구조 개선 토론회'를 열고 "보안 실패를 인정하고 피해 복구에 나서야 할 기업들이 사고를 축소하고 노골적으로 증거를 지우는데 몰두하고 있다"고 지적했다.

토론회에서는 최근 통신·플랫폼 기업에서 반복되는 사고 은폐 문제가 집중적으로 제기됐다. 박신조 독일 보안기업 GSMK 박사는 "LG유플러스 사례처럼 침해 원인이나 규모 파악조차 어려운 증거 파괴가 일어나는 일이 가장 큰 문제"라고 지적했다.

최현우 성신여대 융합보안공학과 교수는 "최근 국내 대규모 침해사고의 공통된 특징은 침해 사실을 부인하거나 상황을 축소하려는 경향이 반복된다는 점"이라며 "현재 구조에서는 기업이 투명성을 선택하기 어렵다"고 말했다.

실제 국내에서는 증거 미보존 사례가 이어지고 있다. KT는 감염 서버를 임의 폐기한 의혹으로 조사를 받고 있고 LG유플러스는 서버 폐기와 운영체제 재설치 등으로 수사를 받고 있다.

"SKT는 괜히 신고했다고 생각할 것"…은폐가 더 이득인 구조

이에 제도적 한계가 문제로 지목됐다. 현행 정보통신망법은 침해사고 미신고 시 3000만원 이하 과태료에 그친다. 반면 사고를 공개할 경우 수천억원대 손해배상과 과징금 부담이 발생할 수 있어 기업 입장에서는 은폐가 더 합리적인 선택이 된다는 분석이다.

최현우 성신여대 융합보안공학과 교수는 "(사이버 침해 사고 발생 당시) SK텔레콤은 괜히 신고했다고 생각할 것이다. 3000만원만 내면 막을 것을 괜히 신고해 과징금을 엄청나게 맞을 이유가 없지 않나"라고 지적했다.

해외와의 규제 격차도 강조됐다. 최현우 교수는 "유럽연합은 NIS2 지침을 통해 침해사고 발생 시 24시간 내 초기 통보, 72시간 내 상세 보고를 의무화하고 위반 시 최대 2% 또는 1000만 유로 수준의 과징금을 부과할 수 있도록 한다"고 설명했다.

최경진 가천대 법학과 교수(인공지능·빅데이터 정책연구센터장)는 "증거인멸을 적극적으로 할수록 침해사고 관련 책임을 피하게 되는 역설적인 결과가 발생하고 있다"고 강조했다.

김광연 한국인터넷진흥원 디지털위협대응본부 위협분석단장은 "피해 시스템의 로그가 소실될 경우 분석 대상이 없어지고 공격 경로를 추적하기 어려워진다"며 "대응 골든타임을 놓칠 수 있다"고 말했다.

"증거 보존 의무·형사처벌 필요"…제도 개선 요구 확산

이에 전문가들은 △침해사고 신고 의무 제재 강화 △서버 로그 등 디지털 증거 보존 의무 명확화 △고의적 증거 삭제 행위에 대한 형사 책임 부과 △경영진 책임 강화 등을 핵심 과제로 제시했다.

한석현 서울 YMCA 실장은 "선제적 조치를 이끌어내기 위해서는 강력한 규제가 필요하고 반대로 보상 체계도 필요하다"며 "경영진이 책임을 지고 형사처벌까지 이뤄져야 한다"고 강조했다.

최현우 교수도 "침해사고 신고 의무의 실효성을 높이기 위해 제재를 강화해야 한다"며 "고의적인 증거 삭제 행위에 대해서는 강력한 법적 책임을 부과해야 한다"고 말했다.

임정규 과학기술정보통신부 정보보호네트워크정책실 국장은 "문제 제기에 공감한다"며 "자료보전 의무와 제재를 강화하는 방향으로 제도를 보완해 나가겠다"고 밝혔다.