2026년 8월, 국내 민간 인증기관 서버가 해킹돼 정·관계 주요 인사를 포함한 개인정보가 유출된 사실이 확인됐다. 유출 정보는 명함 수준으로 추정된다지만, 사건의 본질은 유출 규모가 아니다. 본인확인을 대행하는 신뢰 기관이 뚫렸다는 것, 그리고 경찰이 같은 시기에 국가 배후 조직의 소행으로 언론사 서버 관리업체, 제약회사, 병원 침해를 함께 수사 중이라는 것이다.
공통분모가 보이는가. 공격자는 최종 목표를 직접 치지 않았다. 목표가 믿고 맡긴 곳을 쳤다.
위탁업체는 왜 '가성비 좋은 표적'인가
- 한 곳을 뚫으면 고객 전부가 열린다. 서버 관리업체 한 곳이 뚫리면 그 업체가 관리하는 수십 개 고객사 서버에 정상 관리자 권한으로 들어갈 수 있다. MSP·RMM을 노린 공급망 공격(관련 분석)과 같은 구조다.
- 보안 수준은 고객사보다 낮은 경우가 많다. 대기업은 자체 보안팀이 있지만, 그 대기업의 홈페이지를 유지보수하는 하청 업체는 담당자 한 명이 전부인 경우가 흔하다.
- 침해가 드러나기 어렵다. 위탁업체의 접속은 원래 '정상 트래픽'이다. 훔친 권한으로 들어와도 이상 징후로 안 잡힌다.
개인정보보호법상 책임도 남의 일이 아니다. 수탁사가 사고를 내도 위탁사가 관리·감독 책임을 진다. 9월 11일 시행된 개정법의 과징금 체계(매출 10% 상한 분석)에서 이 책임은 더 무거워졌다.
우리 회사의 '신뢰 연결' 목록부터
지금 종이 한 장에 답해 보자.
- 우리 서버·홈페이지·DB에 접근 권한을 가진 외부 업체가 몇 곳인가? 유지보수, 호스팅, 마케팅 스크립트, 본인확인·결제 연동까지 포함해서. 이 목록이 즉시 안 나온다면 그게 첫 번째 발견사항이다.
- 그 업체들의 접근은 어떻게 제한돼 있는가? 전용 계정인가, 공유 계정인가. IP 제한과 2단계 인증이 있는가. 계약 종료 후 계정은 회수됐는가.
- 위탁업체가 뚫혔다는 가정의 대응 절차가 있는가? 어떤 로그로 그들의 접속을 구분할 수 있는지, 긴급 차단은 누가 몇 분 안에 할 수 있는지.
- 뒤집어서, 우리가 누군가의 위탁업체라면 — 고객사가 위 질문을 우리에게 던졌을 때 답할 수 있는가. B2B 계약에서 보안 실사는 이제 통과의례가 아니라 수주 조건이다.
신뢰는 계약서가 아니라 점검으로 관리된다
위탁 관계의 보안은 "믿을 만한 업체니까"로 관리되지 않는다. 접근 경로를 정기적으로 진단하고, 사칭·유출 징후를 상시 감시하는 체계가 필요하다. SENTRIX는 모의해킹·취약점 진단으로 외부 연결 고리의 실제 위험을 확인하고, 외부 노출·위험 관리(ASM)로 우리 회사를 사칭하는 유사 도메인과 외부에 드러난 자산을 확인한다.
우리 서비스의 외부 노출 상태부터 확인하고 싶다면, 30초 무료 스캔이 시작점이다.