### 내부 과실과 랜섬웨어, 2025-2026년 개인정보 침해의 이중 위기

2025년 상반기 내부 과실이 외부 해킹을 처음 넘어서면서 개인정보보호의 패러다임이 급변하고 있다. 동시에 2026년 의료기관을 겨냥한 랜섬웨어 공격 급증으로 국가 핵심 인프라마저 위협받고 있다.

---

내부 과실, 외부 위협을 제치다

국내 IT·금융업계의 침해사고 통계는 경고음을 울리고 있다. 2025년 상반기 내부 업무 과실(46%)이 외부 해킹(45%)을 처음으로 역전하며 최대 위협 요인으로 부상했다. 과거 10년간 '외부 해킹'이 개인정보 침해의 주요 원인으로 간주되어온 것과 비교하면, 이는 근본적인 위협 환경의 변화를 의미한다.

문제의 핵심은 신기술 도입 과정의 보안 관리 공백이다.

티빙의 3,954만 건 개인정보 유출 사고는 클라우드 환경 전환 시 접근제어 설정 미흡으로 발생했으며, 캐논코리아는 신규 시스템 구축 중 암호화 미적용, 카카오와 하나은행은 마이그레이션 과정에서 임시 접근 계정이 폐기되지 않아 침해가 발생했다. 모두 '기술 변화의 속도'와 '보안 체계 정비 속도' 간의 괴리에서 비롯된 사건들이었다.

---

의료기관, 생명을 담보로 한 랜섬웨어 공격의 타겟

2026년 진입과 동시에 의료기관을 표적으로 한 랜섬웨어 공격이 기하급수적으로 증가했다. 이는 단순 정보 유출을 넘어 국민 생명과 직결된 위협이다.

EMR(전자의료기록) 시스템 마비로 응급환자 이송이 지연되고 수술이 연기되는 사태가 발생하고 있다. 랜섬웨어 공격자들은 의료기관이 ▲시스템 복구 시간에 민감하고, ▲환자 생명이 걸려있어 신속한 몸값 지불 가능성이 높으며, ▲개인정보와 의료정보의 결합으로 높은 프리미엄을 받을 수 있다는 점을 면밀히 계산하고 있다.

특히 의료기관은 상대적으로 취약한 시스템 환경을 갖고 있다. 환자 대응 최우선이라는 특성상 정기적인 보안 점검이나 시스템 업데이트가 지연되는 경향이 있기 때문이다.

---

공통 패턴: '속도의 함정'

두 사례의 공통점은 명확하다. 변화의 속도에서 보안이 뒷전으로 밀려나고 있다는 것이다.

• 내부 과실: 신기술 도입 → 보안 체크리스트 미흡 → 대규모 유출
• 랜섬웨어: 취약한 보안 환경 → 공격 진입점 용이 → 생명 위협

기업과 기관들은 혁신과 효율성에는 자본을 집중하면서, 정작 이를 지킬 보안 기본기는 간과해온 것이다.

---

기업·기관의 대응 방안

1단계: 근본적 태도 변화

- 신기술 도입 시 보안을 **후속 작업이 아닌 선행 설계**로 전환 - CEO 차원의 보안 책임성 강화 및 컴플라이언스 체계 개선

2단계: 제도적 보완

- 마이그레이션, 클라우드 전환 시 **사전 보안 감시(Pre-Assessment)** 필수화 - 임시 계정, 테스트 환경의 주기적 정리 자동화 - 의료기관의 경우 랜섬웨어 대응 매뉴얼 정기 훈련

3단계: 기술적 강화

- 다중 인증(MFA), 암호화, 접근제어 기본 정책화 - 백업 및 복구 체계 정기 점검 - 의료기관은 에어갭(Air-Gap) 시스템 도입으로 랜섬웨어 확산 차단

---

정규 시험 연계

[CPPG·ISMS-P 포인트]

>

영역: 개인정보 관리체계 구축 및 보안조치

>

ISMS-P 인증 기준의 '접근제어(AC)' 및 '암호화(CM)' 요구사항이 이번 사고들의 원인과 직결되어 있다. 신기술 도입 과정에서 사용자 접근권한의 세분화(Principle of Least Privilege)와 저장 데이터의 암호화가 미흡했다면 대부분의 침해가 초기 단계에 차단되었을 것이다. 기업은 IS인증 유지만이 아니라 인증 기준을 실제 운영에 내재화하는 실질적 보안문화 확립이 절실하다.

---

백남정 기자의 진단: 2025-2026년은 개인정보보호의 '전환점'이 되어야 한다. 기술 혁신의 속도만큼 보안도 함께 달려야 한다는 깨달음이 없다면, 더 큰 위기는 피할 수 없을 것이다.