2026년 공공부문 사이버공격 15억 7천만 건 돌파, 국립현대미술관·문체부 등 연쇄 침해사고

핵심 요약

- 2026년 7월까지 공공부문 대상 사이버공격이 15억 7,000만 건 집계되며 전년 대비 급증세 - 국립현대미술관 공식 유튜브 채널 해킹, 농촌진흥청 서버 악성코드 감염 등 주요 공공기관 연쇄 침해 - 문화체육관광부 웹취약점 공격으로 이용자 879명 개인정보 유출, 공공부문 보안 취약성 심각

주요 내용

박정현 의원이 공개한 자료에 따르면 2026년 7월까지 공공부문을 대상으로 한 사이버공격 건수가 15억 7,000만 건에 달하는 것으로 나타났다. 이는 공공기관의 디지털 전환이 가속화되는 가운데 보안 대응 체계는 이를 따라가지 못하고 있음을 보여주는 지표다.

실제 침해사고 사례를 살펴보면, 문화체육관광부 산하 국립현대미술관은 공식 유튜브 채널을 해킹당하는 사고를 겪었다. 공공기관의 소셜미디어 계정 탈취는 허위 정보 유포나 피싱 공격의 경로로 악용될 수 있어 2차 피해가 우려되는 상황이다. 농촌진흥청의 경우 서버 간 악성코드 감염 사고가 발생했으며, 이는 내부 네트워크 분리 및 접근통제가 제대로 작동하지 않았음을 시사한다.

문체부는 웹취약점 공격을 통해 이용자 879명의 개인정보가 유출되는 사고를 경험했다. 웹 애플리케이션 취약점은 SQL Injection, XSS(Cross-Site Scripting) 등 OWASP Top 10에 포함된 전통적인 공격 기법이지만, 여전히 공공부문의 주요 침해 경로로 악용되고 있다. 이는 정기적인 취약점 점검과 보안 패치 관리가 부실했음을 의미한다.

공공부문의 사이버 공격 증가는 단순히 공격 시도 건수의 증가뿐 아니라, 공격 기법의 고도화와 표적화된 APT(지능형 지속 위협) 공격의 증가를 반영한다. 특히 공공기관이 보유한 국민 개인정보와 주요 정책 정보의 가치가 높아지면서, 국가 배후 해킹 조직의 표적이 되고 있는 상황이다.

전문가 시각

공공부문 사이버 침해사고의 근본 원인은 '형식적 보안 관리'에 있다. ISMS-P 인증을 취득했더라도 사후 관리가 부실하거나, 인증 범위에 포함되지 않은 시스템에 대한 보안 관리가 소홀한 경우가 많다. 국립현대미술관의 유튜브 계정 해킹 사례는 다중인증(MFA) 미적용, 계정 권한 관리 소홀 등 기본적인 접근통제 원칙이 지켜지지 않았음을 보여준다. 농진청의 서버 간 악성코드 감염은 네트워크 세그먼테이션 부재와 내부 트래픽 모니터링 미흡을 드러낸다.

실무 관점에서 공공기관은 '최소 권한 원칙'과 '다층 방어 전략'을 재점검해야 한다. 문체부의 웹취약점 공격 사례는 개발 단계에서의 시큐어 코딩 미흡, 운영 환경에서의 웹방화벽(WAF) 미탐지, 주기적인 모의해킹 미실시 등 여러 방어선이 동시에 무너졌음을 의미한다. 특히 개인정보 879건 유출은 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제39조의2(과징금 부과)에 따라 과징금 부과 대상이 될 수 있으며, 정보주체에 대한 통지 의무도 발생한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 접근권한 관리 / 2.9.3 악성코드 통제
국립현대미술관의 유튜브 계정 해킹은 2.8.2(접근권한 관리) 통제 실패 사례다. 심사 시 ① 소셜미디어를 포함한 외부 서비스 계정의 접근권한 관리 대장 존재 여부, ② 다중인증(MFA) 적용 현황, ③ 권한 있는 관리자 계정의 주기적 검토 기록을 확인해야 한다. 농진청 사례는 2.9.3(악성코드 통제) 미흡으로, 서버 간 통신에 대한 악성코드 탐지 체계, EDR(Endpoint Detection and Response) 솔루션 적용 여부, 내부 네트워크 트래픽 이상 탐지 체계를 중점 점검해야 한다.

2. 2.10.2 정보시스템 취약점 점검 및 조치 / 개인정보보호법 제29조(안전조치의무)
문체부의 웹취약점 공격은 2.10.2(정보시스템 취약점 점검 및 조치) 통제의 핵심 사례다. 심사 시 ① 연 1회 이상 모의해킹 실시 및 조치 완료 여부, ② OWASP Top 10 기반 웹 취약점 점검 수행 기록, ③ 취약점 발견 시 위험도별 조치 기한 준수 여부를 확인해야 한다. 개인정보보호법 제29조는 기술적·관리적·물리적 안전조치를 의무화하고 있으며, 개인정보의 기술적 보호법률 시행령 제30조는 웹 애플리케이션 방화벽 등 접근통제 시스템 설치를 요구한다.

3. 3.1.5 개인정보 유출사고 대응 / 개인정보보호법 제34조(유출 통지)
879명의 개인정보 유출은 개인정보보호법 제34조에 따라 정보주체 및 개인정보보호위원회에 통지해야 하는 의무가 발생한다. ISMS-P 심사 시 ① 유출사고 인지 후 24시간 이내 초동 대응 기록, ② 유출 범위 및 원인 분석 보고서, ③ 정보주체 통지 및 재발방지 대책 수립 여부를 확인한다. 또한 개인정보보호법 제39조의2에 따라 매출액의 3% 이하 과징금 부과 가능성이 있으며, 제73조(벌칙)에 따른 형사 처벌 대상이 될 수 있다.

CPPG·ISMS-P 연계 포인트

웹 취약점과 OWASP Top 10
웹 애플리케이션 취약점은 CPPG·ISMS-P 시험의 단골 출제 영역이다. SQL Injection(데이터베이스 조작), XSS(스크립트 삽입), CSRF(위조 요청), 파일 업로드 취약점 등 OWASP Top 10 항목을 숙지하고, 각 취약점에 대한 시큐어 코딩 기법(입력값 검증, 파라미터 바인딩, 출력값 인코딩 등)을 이해해야 한다. ISMS-P 2.10.2 통제와 직결되며, 개발·운영·점검 단계별 대응 방안이 시험에 자주 출제된다.

개인정보 유출 통지 의무 (72시간 룰)
GDPR의 72시간 통지 원칙이 국내 개인정보보호법에도 영향을 미치고 있다. 개인정보보호법 제34조는 유출 사실 인지 시 '지체 없이' 정보주체에게 통지하도록 규정하며, 통지 내용에는 ① 유출 항목, ② 유출 시점과 경위, ③ 피해 최소화 방법, ④ 대응 조치 및 피해 구제 방법을 포함해야 한다. ISMS-P 3.1.5 통제와 연계되며, 모의 훈련 시나리오 작성 및 신고·통지 절차가 시험 출제 포인트다.