문체부 공공기관 해킹 시도 하루 740만건…웹취약점·디도스로 개인정보 유출 속출

핵심 요약

- 문체부 소관 공공기관에 하루 평균 740만건의 해킹 시도가 탐지되고 있음 - 2024년 국립중앙도서관 디도스 공격, 2025년 영화진흥위원회 회원정보 357건 유출 등 실제 침해사고 발생 - 웹취약점 공격으로 879명의 개인정보가 유출되는 등 공공부문 보안 취약성 노출

주요 내용

문화체육관광부 소관 공공기관들이 대규모 사이버 공격에 지속적으로 노출되고 있는 것으로 나타났다. 2026년 현재까지 집계된 자료에 따르면 문체부 산하 기관들에 대한 해킹 시도가 하루 평균 740만건에 달하며, 이 중 상당수가 실제 침해사고로 이어지고 있다.

구체적인 사고 사례를 살펴보면, 2024년 국립중앙도서관이 대규모 디도스(DDoS) 공격을 받아 서버가 마비되는 사태가 발생했다. 이듬해인 2025년에는 웹취약점을 노린 공격으로 이용자 879명의 개인정보가 유출되었으며, 같은 해 영화진흥위원회에서도 회원정보 357건이 외부로 유출되는 사고가 발생했다.

이러한 연쇄적인 보안사고는 공공기관의 정보보호 체계가 여전히 취약하다는 것을 보여준다. 특히 웹취약점 공격의 경우 SQL 인젝션, 크로스사이트 스크립팅(XSS) 등 이미 널리 알려진 공격 기법에도 불구하고 적절한 대응이 이루어지지 않고 있는 것으로 분석된다. 디도스 공격 역시 공공서비스의 가용성을 직접적으로 위협하는 만큼, 예방적 보안 투자와 실시간 모니터링 체계 구축이 시급한 상황이다.

공공기관은 민간 기업과 달리 국민 개인정보를 대량으로 보유하고 있어 침해사고 발생 시 파급효과가 크다는 점에서 더욱 주의가 요구된다. 하루 740만건이라는 수치는 단순 시도 건수이지만, 이 중 극히 일부만 성공해도 수백에서 수천 명의 개인정보가 유출될 수 있다는 점을 명심해야 한다.

전문가 시각

ISMS-P 심사 현장에서 공공기관의 가장 큰 문제점은 '형식적 대응'이다. 보안 정책과 절차는 문서상으로 완비되어 있으나, 실제 웹애플리케이션 보안 점검이나 취약점 진단이 형식적으로 이루어지는 경우가 많다. 특히 웹취약점 공격으로 879명의 정보가 유출된 사례는 OWASP Top 10과 같은 기본적인 보안 취약점조차 제대로 점검·조치되지 않았음을 의미한다. 공공기관은 연 1회 이상의 취약점 진단을 넘어, 개발 단계부터 보안을 내재화하는 시큐어 코딩과 DevSecOps 체계를 구축해야 한다.

디도스 공격으로 인한 서비스 중단 사고는 가용성 측면의 심각한 결함을 드러낸다. 국립중앙도서관과 같은 핵심 공공서비스는 국민의 알 권리와 직결되는 만큼, 단순히 정보 유출 방지뿐 아니라 서비스 연속성 계획(BCP)과 재해복구(DR) 체계가 실효성 있게 운영되어야 한다. 특히 공공기관은 예산 제약을 이유로 보안 투자를 미루는 경향이 있는데, 사고 발생 후의 사회적 비용과 신뢰 손실을 고려하면 사전 예방적 투자가 훨씬 경제적이다. 보안 담당자의 전문성 강화와 함께 최고정보보호책임자(CISO)의 실질적 권한 보장이 필요한 시점이다.

ISMS-P 심사원 체크포인트

1. 정보보호 관리체계 2.8.2 (보호대책 요구사항 정의 및 검토)
- 웹애플리케이션 개발 시 시큐어 코딩 기준 적용 여부 확인
- OWASP Top 10 등 주요 웹 취약점에 대한 보호대책 수립·이행 점검
- 개인정보보호법 제29조(안전조치의무)에 따른 기술적·관리적 보호조치의 적정성 심사
- 실제 소스코드 검증 도구 활용 여부 및 취약점 조치 이력 확인 필요

2. 정보보호 관리체계 2.9.1 (취약점 점검 및 조치)
- 연 1회 이상 모의해킹 및 취약점 진단 실시 여부 점검
- 발견된 취약점에 대한 조치 완료율 및 평균 조치 기간 확인
- 특히 고위험·중위험 취약점의 미조치 사유 검토 필수
- 개인정보보호법 시행령 제30조에 따른 접근통제, 암호화 등 안전성 확보조치 이행 여부

3. 개인정보 관리체계 3.6.3 (침해사고 예방 및 대응)
- 침입차단·탐지시스템 운영 현황 및 실시간 모니터링 체계 점검
- 디도스 공격 대응을 위한 ISP 협력체계 및 트래픽 우회 방안 확인
- 개인정보보호법 제34조(개인정보 유출 통지 등) 준수를 위한 유출 시나리오별 대응절차 수립 여부
- 하루 740만건의 공격 시도에 대한 로그 분석 및 이상징후 탐지 역량 평가

CPPG·ISMS-P 연계 포인트

웹 애플리케이션 보안 취약점 유형
SQL 인젝션, XSS, CSRF 등 OWASP Top 10에 포함된 주요 웹 취약점은 CPPG 시험의 기술적 보호조치 영역에서 반복 출제되는 핵심 개념이다. 각 취약점의 발생 원리, 공격 시나리오, 방어 기법(입력값 검증, 파라미터 바인딩, 출력값 인코딩 등)을 정확히 이해해야 하며, 특히 개인정보처리시스템에 대한 안전조치 의무와 연계하여 학습해야 한다.

침해사고 대응 및 신고 의무
개인정보보호법 제34조에 따른 유출 통지 의무(발견 즉시 정보주체 통지, 5일 이내 개인정보보호위원회 신고)는 CPPG·ISMS-P 모두에서 중요하게 다뤄진다. 특히 유출 규모 산정 방법, 통지 대상 판단 기준, 과징금·과태료 부과 기준(최대 매출액 3% 또는 5억원 이하) 등 실무적 세부사항을 숙지해야 하며, 사고 발생 시 초기 대응 골든타임 확보를 위한 사전 준비사항을 이해하는 것이 핵심이다.