조국혁신당 이해민 의원이 최근 팸토셀 및 무선 기지국이 ISMS-P 인증 범위에서 제외되어 해킹 사고 원인이 되었다고 지적했다. 한국인터넷진흥원(KISA) 자료에 따르면 ISMS-P 인증이 코어망 중심으로만 진행되어 실제 보안 사각지대로 남아있는 것이다.

롯데카드가 ISMS-P 인증을 받은 지 약 2주 만에 297만 명 규모의 정보 유출 사고를 당하면서 인증 제도의 실효성 문제가 제기됐다. 해킹은 오라클 WAS 서버의 8년 묵은 취약점 미패치가 핵심 원인으로, 인증이 형식적이고 체계적 업데이트 점검에 실패한 것이 사고를 불렀다는 비판이 많다.

2025년 9월 24일 국회 과방위 청문회에서 KT, 롯데카드, 과기정통부 관계자가 6시간 동안 질책을 받았으나 구체적 사고 경위 및 대응책에 대한 실효 있는 논의가 부족했다.

경찰 수사 결과, 해킹에 사용된 불법 통신장비는 KT 공식 장비가 아니며 중국산 불법 펨토셀 부품을 포함한 27개 부품 세트였다. KT 내부망 접속을 위한 인증서가 탈취돼 장비가 망에 침투할 수 있었고, 이에 대한 관리가 허술했던 점이 드러났다.

무단 소액결제 사태는 9월 5일 무렵 종료됐는데, KT 차단 조치와 범행 주범의 중단 명령이 복합적으로 작용한 것으로 보이며, 불법 장비 일부가 신속히 중국으로 반출된 점도 수사 중이다.

한국 정보보안 산업은 소규모 기업 중심으로, 평균 연봉도 IT 대기업과 비교해 크게 낮아 인력 유출이 심각하다. 2024년 실태조사에 따르면 자본금 10억원 미만이 71%, 20인 미만 기업이 42%에 달한다.

미국과 이스라엘에서는 AI 기술을 활용한 보안 스타트업이 유니콘으로 성장하며 글로벌 시장 진출에 성공하고 있지만, 국내에선 제도와 지원체계 미비로 경쟁력이 약하다.

최근 해킹 공격은 AI를 활용해 하루 만에 취약점을 탐지하고 몇 개월간 잠복하며 내부망 권한을 장악한다. 보안 업데이트를 미루고 보안 문화가 취약한 한국 기업들은 이를 예방하기 어려운 현실이다.

더불어민주당과 정부가 보이스피싱 피해에 대해 금융사가 고객 과실과 관계없이 배상 책임을 지는 ‘무과실 배상책임제’ 도입을 추진 중이다. 올해 7월까지 보이스피싱 피해액은 7, 766억원에 달하며 피해 규모가 매년 급증하고 있어 대책 마련에 나선 것이다.

금융사들은 이미 모니터링 시스템을 강화하고 있으나 법적 책임 전가에 대해 비용 부담, 허위 신고 및 도덕적 해이 우려를 제기하며 반발하고 있다.

전문가 의견도 배상책임 강화 필요성에는 공감하면서도 법률 개정 시 금융사의 책임 범위, 피해자 주의 의무, 단계별 배상 한도 등 균형 있는 대책 마련이 중요하다고 지적한다.