2026.09.23제271호

보안 예산은 늘었는데 로그인 화면은 그대로예요

패스키도 2FA도 이미 있어요. 안 켜는 이유는 전환율이에요.

비즈니스

쿠팡 이후 아홉 달, 목록은 계속 길어지고 있어요

지난 9월 3일 과학기술정보통신부 민관합동조사단이 티빙 침해사고 조사 결과를 발표했어요. 이용자 계정 약 3,954만 개와 소스코드가 포함된 기술자산 361건이 빠져나갔어요. 하루 뒤인 9월 4일에는 미용의료 플랫폼 강남언니에서 상담내역 조회 API에 비정상 접근이 들어와 22만 명의 정보가 나갔고요. 8월에는 정상어학원에서 26만 건, 성인교육 플랫폼 데이원컴퍼니에서도 유출 통지가 나갔어요.

쿠팡 유출이 알려진 게 작년 11월 말이에요. 그 뒤로 아홉 달 넘게 목록이 줄지 않고 있어요. 한국인터넷진흥원(KISA)에 접수된 올해 상반기 침해사고는 1,236건으로 작년 같은 기간보다 19.5% 늘었어요. 랜섬웨어 감염 신고는 76.8%, 분산서비스거부 공격은 56.7% 증가했고요.

그런데 이 기간에 기업들이 보안에 돈을 안 쓴 게 아니에요. KISA 정보보호 공시를 보면 쿠팡은 2025년에 정보보호로 1,349억 원을 썼어요. 전년보다 51.6% 늘린 금액이고, 국내 2위예요. 삼성전자(4,121억 원) 다음이에요. 그리고 지난 9월 11일부터는 개정 개인정보 보호법이 시행돼서, 대규모 유출을 낸 기업에 전체 매출액의 최대 10%까지 과징금을 매길 수 있게 됐어요.

돈도 늘었고 법도 세졌는데 목록은 안 줄어요. 이 글은 그 사이에 빠진 게 뭔지를 봐요. 답은 기술이 없어서가 아니에요. 계정을 지키는 수단은 이미 오래전에 나와 있고, 지금은 네이버와 카카오도 지원해요. 그걸 켜지 않기로 하는 결정이 매일 어딘가의 회의에서 내려지고 있을 뿐이에요.

티빙은 암호화키까지 같이 나갔어요

티빙 사고의 시작은 5월 30일 오후 6시 1분이에요. DB 서버 CPU 사용률이 100%까지 치솟는 이상 징후를 보고 침해를 인지했어요. 다음 날 유출을 확인하고 6월 1일에 신고했고, 이용자 공지는 6월 3일에 나갔어요.

조사 결과에서 눈여겨볼 대목은 규모가 아니라 암호화 상태예요. 비밀번호는 일방향 암호화라 복호화가 안 되는 상태였어요. 그런데 휴대전화번호와 이메일 주소는 암호화된 데이터와 그걸 푸는 암호화키가 함께 빠져나갔어요. 조사단은 이를 사실상 평문 유출과 같은 수준으로 판단했어요. 금고를 통째로 들고 가면서 열쇠도 같이 가져간 셈이에요. 유출 항목은 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI)¹를 포함해 20개 항목 70종이에요.

숫자를 읽을 때 한 가지 구분이 필요해요. 3,954만은 계정 수고, 사람 수는 아니에요. KBS 보도가 전한 유출 규모는 1,900만 명이에요. 한 사람이 여러 계정을 만들었거나 중복 집계된 경우가 걸러진 숫자로 보여요. 항목별 정확한 규모는 개인정보보호위원회가 따로 확정할 예정이에요.

티빙이 6월 10일부터 7월 2일까지 한 조치가 이 사고의 성격을 잘 보여줘요. CJ ONE 아이디로 가입한 회원의 계정을 전면 잠그고 강제 로그아웃시켰어요. 티빙에서 새어 나간 아이디와 비밀번호 조합으로 CJ의 다른 서비스에 로그인이 시도될 걸 막으려는 조치였어요. 이걸 크리덴셜 스터핑²이라고 불러요.

막는 방법은 오래전부터 있었어요

크리덴셜 스터핑은 한국에서 가장 흔한 2차 피해 경로예요. 작년 1월 GS리테일에서 9만 명의 정보가 나간 사고도 여러 경로로 모은 아이디와 비밀번호를 무작위로 대입하는 방식이었어요. 어느 한 곳에서 새어 나간 비밀번호가 다른 열 곳의 문을 여는 구조예요.

이걸 막는 수단은 오래전에 나와 있어요. 2단계 인증은 비밀번호 외에 일회용 코드나 기기 인증을 하나 더 요구해요. 비밀번호를 알아도 두 번째 관문을 못 넘으면 로그인이 안 되니까 크리덴셜 스터핑 자체가 성립하지 않아요. 더 나아간 게 패스키³예요. 비밀번호를 아예 없애고 기기에 저장된 개인키와 지문·얼굴 인식으로 로그인해요. 서버에 훔쳐갈 비밀번호가 없으니 유출돼도 쓸 수가 없어요. 구글·애플·마이크로소프트는 물론 네이버와 카카오도 이미 지원하고요.

그러니까 문제는 수단이 없다는 게 아니라, 있는 수단을 기본값으로 켜지 않는다는 거예요. 대부분의 국내 서비스에서 2단계 인증은 설정 메뉴 안쪽에 있는 선택 항목이에요. 로그인 화면의 기본값은 여전히 비밀번호 하나고요.

왜 안 켤까요. 예산 때문이 아니에요. 로그인 단계에 인증을 하나 더 넣으면 가입 전환율이 떨어지고 로그인 성공률도 떨어져요. 그 숫자가 그대로 누군가의 분기 목표예요. 그래서 현업에서는 사용자 수 감소나 이용 흐름 개선을 이유로 보안 적용이 뒤로 밀리는 일이 반복돼요. 핑계가 될 수 없는 이유인데도 실제로는 가장 자주 작동하는 이유예요.

여기서 확인해볼 게 있어요. 그 전제가 검증된 적 있느냐는 거예요. 패스키 쪽 조사는 오히려 반대를 말해요. 결제 과정이 짧아져서 장바구니 이탈이 줄고, 일회용 비밀번호 발송 비용과 비밀번호 재설정 문의 비용도 같이 준다는 주장이에요. 다만 이런 조사는 대체로 이미 도입한 기업을 대상으로 해서 실패 사례가 빠져 있어요. 켜면 매출이 는다는 결론까지 가기는 어려워요.

그래서 쓰는 사람들 이야기를 찾아봤어요. 거기서 나온 불만은 전환율 이야기가 아니었어요.

잠긴 앞문 옆에 열린 뒷문이 있어요

9월 15일 해커뉴스에 “패스키가 마음에 들지 않는다”는 글이 올라와 73개의 댓글이 달렸어요. 개발자들이 모인 곳인데도 반대 의견이 꽤 많았어요.

불만은 몇 갈래로 갈려요. 기기를 잃어버리면 계정에 못 들어간다는 게 가장 많이 나와요. 여러 기기에 같은 계정의 키를 등록하는 보편적인 방법이 없어서, 기기를 바꾸거나 운영체제를 옮기면 매번 처음부터 다시 해야 해요. 서드파티 비밀번호 관리자에 키를 넣어두면 사이트가 그걸 제대로 인식하지 못해 로그인할 때마다 새로 만들라고 조르는 경우도 있고요. 확인 버튼을 몇 번 누르다 자기도 모르게 패스키가 등록됐고, 나중에 다른 컴퓨터에서 막혔다는 이야기도 나와요. 키가 어디에 저장되는지 물으면 답이 “경우에 따라 다르다”라서, 사용자는 자기가 무엇을 잃을 수 있는지도 모르는 상태로 쓰게 돼요.

반대편 의견도 분명히 있어요. 1Password나 프로톤 같은 관리자를 쓰면 기기를 오가며 문제없이 쓴다는 반응, 애플 환경에서는 설정이랄 게 없었다는 반응도 많아요. 개념의 문제가 아니라 각 플랫폼이 구현을 잘못한 문제라는 쪽이죠.

그런데 이 논쟁에서 가장 날카로운 지적은 따로 있어요. 기기를 잃었을 때 어떻게 하느냐는 질문에 대한 답이에요. “기기를 분실했어요”를 누르면 이메일이나 문자로 재설정 링크가 와요. 앞문에 최신 잠금장치를 달아도, 뒷문은 예전 그대로라는 뜻이에요. 공격자는 잠긴 문을 두드리지 않고 열린 문으로 들어가요.

한국에서는 이 지적이 더 아프게 들어와요. 국내 서비스의 계정 복구는 대체로 휴대폰 본인확인으로 수렴해요. 그리고 본인확인이 기대는 정보가 이름, 생년월일, 휴대전화번호, 그리고 연계정보예요. 티빙에서 나간 20개 항목 70종이 정확히 그 목록이에요. 휴대전화번호는 암호화키까지 함께 나갔고요.

그러니까 패스키를 켜는 일과 복구 경로를 손보는 일은 같이 가야 해요. 앞문만 바꾸면 공격 비용이 사라지는 게 아니라 뒷문으로 옮겨가요. 지난 몇 년간 한국에서 유출된 정보들은 대부분 앞문을 여는 열쇠가 아니라 뒷문을 여는 열쇠였어요.

여기서 앞 절의 이야기로 돌아와요. 현업 회의에서 나오는 반대 사유는 가입 전환율이에요. 그런데 실제로 존재하는 문제는 계정 복구와 기기 이동이에요. 둘은 다른 문제고 해결 방법도 달라요. 진짜 문제를 가짜 이유로 미루면, 그 문제를 설계할 기회 자체가 사라져요.

과징금은 아직 계산을 뒤집지 못했어요

보안을 미루는 결정이 유지되려면 미뤘을 때의 비용이 감당 가능해야 해요. 지금까지는 감당 가능했어요.

개인정보위는 지난 6월 11일 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 매겼어요. 역대 최대 규모예요. 직전 최대였던 SK텔레콤 유심 유출 건의 1,347억 9,100만 원을 크게 넘어섰고요. 유출 규모는 회원 3,322만 명과 비회원 최소 433만 명을 합쳐 3,755만 명이었어요. 개인정보위는 인증 시스템과 키 관리를 소홀히 한 점, 6개월 넘게 이상행위를 탐지하지 못한 점을 중대성 요소로 봤어요.

그런데 개인정보위가 같은 판단에서 언급한 쿠팡의 연 매출은 30조 원을 넘어요. 역대 최대라는 과징금이 매출의 2% 남짓이에요. SK텔레콤은 보상안과 대책에 1조 2,000억 원을 투입했다는 점을 들어 올해 1월 과징금 취소 소송까지 냈고요.

커뮤니티에서 한국인의 개인정보는 이미 공공재라거나 전부 리셋해야 한다는 말이 농담처럼 도는 게 이 지점이에요. 농담의 구조가 정확해요. 유출이 반복되면 이미 나간 정보에 한 건이 더해지는 한계비용이 0에 가깝다고 느끼게 돼요. 그 감각은 이용자만 갖는 게 아니에요. 사고 비용을 계산하는 쪽도 같은 감각을 공유하게 되고, 그 계산이 로그인 화면의 기본값으로 돌아와요.

9월 11일 시행된 개정법은 이 계산을 건드리려는 시도예요. 고의나 중대한 과실로 3년 안에 위반을 반복하거나 1,000만 명 이상의 대규모 피해를 낸 경우, 전체 매출액의 최대 10%까지 과징금을 매길 수 있어요. 기존 상한은 3%였어요. 반복 위반 가중 비율도 최대 80%까지 올라갔고요.

반대 방향의 장치도 같이 들어왔어요. 사고 전에 보안에 투자해둔 기업은 과징금 기준금액⁴을 최대 40% 범위에서 깎아줘요. 개인정보위는 판단 기준을 담은 「과징금 투자 감경제도 안내서」도 함께 냈어요. 평가 항목은 세 가지예요. 예산·인력·설비·장치 투자의 규모와 비율, 지속성과 증가 정도가 하나고요. 최고경영자와 개인정보보호책임자(CPO)를 포함한 보호체계 운영 수준이 둘이에요. 법상 의무를 넘어선 추가 안전조치가 셋이고요. 고의·중과실인 경우에는 감경을 안 해줘요.

여기서 짚고 갈 게 있어요. 세 항목 중 앞의 두 개는 얼마를 썼고 무엇을 갖췄는지를 봐요. 로그인 화면의 기본값이나 계정 복구 경로를 직접 세는 칸은 세 번째 하나뿐이에요. 보안 예산을 늘리면 앞의 두 칸은 채워져요. 쿠팡이 51.6%를 늘렸던 것처럼요. 그런데 크리덴셜 스터핑을 실제로 막는 결정은 세 번째 칸에 있어요. 어느 칸을 채우는 게 쉬운지는 분명해요.

나머지 변화도 정리해둘게요. 유출이 확정되지 않았더라도 가능성이 높으면 안 날로부터 72시간 안에 알려야 해요. 랜섬웨어로 데이터가 훼손된 경우도 통지 대상이에요. 연 매출 1,800억 원 이상이면서 100만 명 이상의 개인정보를 처리하는 기업은 CPO를 지정하거나 바꿀 때 이사회 의결을 거쳐 개인정보위에 신고해야 하고요. 다만 부칙에 따라 소급 적용은 안 돼서 쿠팡과 SK텔레콤 건에는 적용되지 않아요. 주요 기업의 ISMS-P 인증⁵ 의무화는 준비 기간을 거쳐 내년 7월부터예요.

공격 쪽 비용은 이미 무너졌어요

방어 기본값이 제자리인 동안 공격 쪽에서는 비용 구조가 바뀌었어요.

JP모건 북미 주식 리서치가 9월 15일 낸 보안 소프트웨어 보고서의 요지가 여기에 있어요. 보고서는 취약점이 공개된 뒤 실제 악용까지 걸리는 평균 시간을 2018년 63일, 2021년 32일, 2023년 5일로 추적해요. 그리고 2025년에는 이 값이 음수로 내려갔다고 봐요. 패치가 나오기 전에 공격이 먼저 이뤄진다는 뜻이에요. 방향은 다른 자료에서도 확인돼요. 취약점 정보 업체 VulnCheck는 2025년에 악용된 취약점의 32.1%가 공개 당일 또는 그 이전에 무기화됐다고 집계했어요.

비용은 더 직접적이에요. 보고서 기준으로 운영체제 전체의 보안 결함을 훑는 데 50달러가 채 안 들고, 컴퓨터를 완전히 장악하는 공격을 만드는 데 반나절과 1,000달러 미만이면 돼요. 예전에는 같은 수준의 공격이 암시장에서 50만~200만 달러에 거래됐어요. 500배에서 1,000배 싸진 셈이에요.

실제 사례도 있어요. 2025년 9월 중국 국가 배후로 지목된 조직이 클로드 코드를 조작해 약 30개 기관을 표적으로 삼았어요. 앤트로픽 조사에 따르면 정찰부터 취약점 발견, 자격증명 탈취, 데이터 반출까지 작전의 80~90%를 모델이 독립적으로 수행했고, 사람은 침투당 네다섯 개 지점에서만 개입했어요. 30곳 중 네 곳에서 실제 데이터 반출이 성공했고요.

공격 한 건의 원가가 이 정도로 떨어지면, 지금까지 규모가 작아서 표적이 안 됐던 서비스도 표적이 돼요. 22만 명짜리 플랫폼의 상담내역 API가 이틀 연속 다른 경로로 두드려 맞는 일이 이상하지 않은 환경이라는 뜻이에요.

오스왈드의 시선

이 목록을 보면서 계속 걸리는 건 보안의 중요성이 전파되지 않는다는 점이에요. 모르는 게 아니에요. 물어보면 다들 알아요. 그런데 도입은 안 해요. 문제의식과 실행 사이에 끊긴 자리가 있고, 그 자리는 보안 조직 안이 아니라 밖에 있어요.

보안 담당자가 2단계 인증을 켜자고 하면 반대하는 쪽은 해커가 아니에요. 가입 전환율과 활성 사용자 수를 책임지는 팀이에요. 그리고 그 팀의 지표는 이번 분기에 확인되지만, 켜지 않아서 생긴 손실은 몇 년 뒤에 다른 이름으로 나타나요. 비교 가능한 두 숫자가 아니니까 논쟁은 늘 같은 쪽으로 끝나요. 예산 회의에서 지는 게 아니라 제품 회의에서 지는 거예요.

passkey 그래서 제안은 세 가지예요. 하나는 로그인 전환율과 계정 탈취 시도 건수를 같은 화면에 놓는 거예요. 지금은 두 숫자를 다른 팀이 다른 회의에서 봐요. 둘을 나란히 놓기 전까지는 어느 쪽이 더 비싼지 아무도 계산하지 않아요.

둘은 인증을 전부 아니면 전무로 설계하지 않는 거예요. 모든 로그인에 2단계 인증을 요구하는 대신, 낯선 기기나 비정상적인 접속 패턴처럼 위험 신호가 잡힐 때만 추가 인증을 요구하는 단계적 인증⁶이 있어요. 이렇게 하면 이탈 논쟁의 대상이 전체 사용자에서 일부로 줄어요. 반대 논리의 크기 자체를 줄이는 방법이에요.

셋은 앞문을 바꾸는 작업과 복구 경로를 점검하는 작업을 같은 프로젝트로 묶는 거예요. 지금 복구 화면에서 요구하는 정보가 무엇인지, 그 정보가 이미 어딘가에서 유출된 목록에 들어 있는지를 먼저 확인해야 해요. 이건 예산이 아니라 반나절짜리 점검이에요.

한 가지 더 보고 있는 게 있어요. 9월 11일부터 일정 규모 이상 기업은 CPO를 바꿀 때 이사회 의결을 거쳐야 해요. 보안 인사가 이사회 안건이 된다는 건, 보안 논쟁이 처음으로 이사회 회의록에 남는다는 뜻이기도 해요. 로그인 기본값을 누가 왜 미뤘는지가 기록으로 남는 통로가 생긴 셈이에요. 이게 실제로 작동할지는 첫 번째 사례가 나와야 알 수 있어요.

마치며

구독자님, 이번 개정으로 바뀐 건 과징금 상한만이 아니에요. 보안 투자가 처음으로 금액으로 되돌아오는 항목이 됐어요. 그런데 되돌아오는 기준은 대체로 얼마를 썼느냐예요. 무엇을 켰느냐는 세 번째 칸에 겨우 들어가요.

그래서 앞으로 몇 년 동안 두 종류의 회사가 갈릴 거예요. 감경 요건을 채우는 데 맞춰 지출을 늘리는 회사와, 로그인 화면과 복구 화면을 같이 고치는 회사예요. 공시에 찍히는 숫자는 비슷해 보일 거고요. 차이는 다음 목록에 이름이 오르는지에서 나타나요.

💬 지금 쓰는 서비스 중 하나를 골라 계정 복구 화면까지 들어가 보세요. 무엇을 물어보나요? 그 정보가 최근 유출 목록에 들어 있지는 않나요?

📨 로그인 흐름을 설계하거나 가입 전환율을 책임지는 동료가 있다면, 이 글을 보내주세요. 보안 담당자보다 그쪽이 읽어야 하는 글이에요.

여러분의 생각이 다음 호를 만듭니다

이번 호에서 가장 공감했거나, 다른 경험을 한 지점은 무엇인가요?

커피 한 잔 보내기

이 관점이 좋았다면, 다음 글에 커피 한 잔

오스왈드에게 커피와 함께 짧은 쪽지를 보내주세요. 응원은 다음 취재와 집필에 보탭니다.

참고자료 & 더 읽기

핵심 출처

과학기술정보통신부·한국인터넷진흥원, “티빙 침해사고 민관합동조사단 조사 결과”, 2026년 9월 3일. ··· 계정 3,954만 개와 기술자산 361건, 그리고 암호화키가 함께 유출됐다는 판단이 여기서 나왔어요. 유출 항목 20개 70종의 목록을 직접 보시길 권해요.
개인정보보호위원회, “쿠팡 개인정보 유출·침해 사건 제재 의결”, 2026년 6월 11일. ··· 과징금 산정에서 무엇을 중대성 요소로 봤는지가 정리돼 있어요. 6개월 이상 미탐지가 핵심이에요.
개인정보보호위원회, “개정 개인정보 보호법·시행령 시행 브리핑”, 2026년 9월 10일. ··· 매출 10% 특례의 적용 요건과 투자감경 세 항목을 확인할 수 있어요. 함께 나온 「과징금 투자 감경제도 안내서」를 같이 보시길 권해요.
Ethan Hawksley, “I don’t like passkeys” 및 해커뉴스 토론, 2026년 9월 15일. ··· 오늘 글에서 인용한 건 원글이 아니라 73개의 댓글 쪽이에요. 찬반이 갈리는 지점을 보면 도입 논쟁에서 무엇을 먼저 풀어야 하는지가 보여요.
한국인터넷진흥원, 「2026년 상반기 국내 사이버위협 동향」, 2026년 7월 30일. ··· 침해사고 1,236건의 유형별 분해가 있어요. 랜섬웨어와 분산서비스거부 공격이 늘어난 대목이 특히 유용해요.
한국인터넷진흥원 정보보호 공시 종합 포털 (https://isds.kisa.or.kr) ··· 기업별 정보보호 투자액과 인력을 직접 조회할 수 있어요. 본문의 쿠팡 1,349억 원, 삼성전자 4,121억 원이 여기서 나왔어요.
Anthropic, “Disrupting the first reported AI-orchestrated cyber espionage campaign”, 2025년 11월. ··· 작전의 80~90%가 모델 단독으로 수행됐다는 근거예요. 사람이 개입한 지점이 몇 개였는지까지 나와요.

배경 지식

VulnCheck, “2025 Known Exploited Vulnerabilities Report” ··· 악용까지 걸리는 시간이 음수로 내려갔다는 주장의 독립 근거예요. 집계 방법이 JP모건 보고서와 달라 숫자도 조금 달라요.
SK쉴더스, “비밀번호 없이 로그인? 패스키 보안성과 기업 도입 시 주의사항”, 2026년 3월. ··· 패스키를 켜자는 결론만 있는 글이 아니라, 레거시 환경에서 생기는 실제 도입 장벽이 정리돼 있어요.

필자 안광섭 (오스왈드)은 세종대학교 겸임교수, INLEVEL9 전략 컨설턴트입니다. 경력, 연구, 저서와 최신 활동은 저자 소개에서 계속 갱신합니다. 최근 소식 · 2026년 8월: 2026 세종도서 교양부문 우수도서 선정.

📝 용어 설명

각주

연계정보(CI): 주민등록번호를 대신해 여러 서비스에서 같은 사람을 식별하려고 만든 88자리 값이에요. 서비스가 달라도 같은 사람이면 같은 값이 나와요. 본인확인 절차의 기준점으로 쓰여서, 이 값이 이름·생년월일·휴대전화번호와 함께 나가면 본인 행세를 할 재료가 갖춰져요. ↩
크리덴셜 스터핑: 한 서비스에서 유출된 아이디와 비밀번호 조합을 다른 서비스에 자동으로 대입해보는 공격이에요. 같은 비밀번호를 여러 곳에 쓰는 습관을 노려요. 해킹 기술이 필요 없고 목록과 자동화 도구만 있으면 돼서 유출 직후 가장 먼저 들어오는 공격이에요. ↩
패스키: 비밀번호 대신 기기에 저장된 개인키와 지문·얼굴 인식으로 로그인하는 방식이에요. 서버에는 비밀번호가 아니라 검증용 공개키만 저장돼서, 서버가 털려도 로그인에 쓸 수 있는 정보가 나오지 않아요. ↩
과징금 기준금액: 최종 과징금이 아니라 계산의 출발점이에요. 위반 내용과 피해 규모를 따져 기준금액을 정한 뒤, 투자 감경과 1·2차 조정을 거쳐 최종 금액이 나와요. 감경 40%는 이 기준금액에 적용돼요. ↩
ISMS-P 인증: 정보보호와 개인정보보호 관리체계를 함께 심사하는 국내 인증이에요. 문서와 절차가 갖춰졌는지를 보는 제도라, 인증이 있다고 실제 공격을 막았다는 뜻은 아니에요. ↩
단계적 인증: 모든 로그인에 추가 인증을 요구하는 대신, 낯선 기기나 평소와 다른 접속 위치처럼 위험 신호가 잡힐 때만 한 단계를 더 요구하는 방식이에요. 대다수 이용자는 기존과 같은 경험을 유지해요. ↩