중소기업이 해킹당하는 진짜 이유 — 대응 계획 없는 기업 79%의 현실

해커가 대기업 대신 중소기업을 노리는 이유

대기업은 보안팀이 있고, SOC가 있고, 수억 원짜리 솔루션이 돌아갑니다. 해커 입장에서는 같은 노력으로 뚫기 훨씬 쉬운 중소기업을 택하는 것이 합리적입니다.

2025년 과기정통부가 중소기업 2,242개사를 점검한 결과, 9만여 건의 취약점이 발견됐습니다. 한 기업당 평균 40건입니다. 그리고 이 취약점의 대부분은 기본적인 보안 조치로 막을 수 있는 것들이었습니다.

중소기업 보안의 불편한 수치

79%가 대응 계획이 없다는 건, 해킹당했을 때 누가 무엇을 할지 정해져 있지 않다는 뜻입니다. 침해 사실을 인지하는 데 평균 197일, 대응 완료까지 69일이 걸리는 이유가 여기에 있습니다.

"보안 인력도 없고 예산도 없는데 어쩌라고?"

이해합니다. 하지만 비용 0원, 전문 인력 없이도 지금 당장 할 수 있는 것들이 있습니다. 그리고 이것만 해도 공격의 80% 이상을 차단합니다.

1단계: MFA 전면 적용 (0원, 30분)

모든 업무 계정에 다중 인증(MFA)을 켭니다. Google Workspace, Microsoft 365, AWS, GitHub, 은행 — 로그인이 되는 모든 곳에.

비밀번호는 이미 유출됐다고 가정하세요. 한국인터넷진흥원(KISA)에 따르면 국내 유출 계정 정보가 다크웹에서 수천만 건 거래되고 있습니다. MFA가 없으면 유출된 비밀번호 하나로 모든 시스템에 접근할 수 있습니다.

방법:
- Google: 관리 콘솔 → 보안 → 2단계 인증 → 조직 전체 강제
- Microsoft 365: Azure AD → 보안 기본값 사용
- 기타 서비스: 설정에서 "2단계 인증" 검색 → 활성화

2단계: 관리자 계정 분리 (0원, 1시간)

대표자 계정이 관리자 권한을 갖고 있으면서 동시에 일상 업무에 사용되고 있지 않은가요? 관리자 계정과 업무 계정을 분리합니다.

• 관리자 계정: 시스템 설정 변경 시에만 사용
• 업무 계정: 평상시 업무(메일, 문서, 메신저)
• 이유: 피싱 메일을 열었을 때 관리자 권한까지 탈취되는 것을 방지

3단계: 자동 백업 설정 (0원~월 수만 원)

랜섬웨어에 걸렸을 때, 백업이 있으면 복구합니다. 없으면 폐업합니다. 그 차이입니다.

• 3-2-1 규칙: 3개의 복사본, 2가지 매체, 1개는 오프라인/클라우드
• 클라우드 백업: Google Drive, AWS S3 (버전 관리 켜기)
• 핵심: 백업은 복구 테스트까지 해야 의미가 있습니다. 분기에 1번, 실제로 복구해 보세요.

4단계: 소프트웨어 업데이트 자동화 (0원)

취약점의 대부분은 이미 패치가 나온 것입니다. 업데이트를 미루는 것 자체가 취약점입니다.

• Windows Update: 자동 업데이트 ON
• 웹 애플리케이션: 프레임워크, 라이브러리 정기 업데이트
• 워드프레스 사용 기업: 플러그인 업데이트 특히 중요 (공격 벡터 1위)

5단계: 사고 대응 계획 1장 (0원, 2시간)

복잡한 문서가 아닙니다. A4 1장에 아래 내용만 적어두세요:

[ 보안 사고 시 행동 지침 ]

1. 누가 판단하나? → 대표/IT담당자 연락처
2. 뚫린 거 같으면? → 해당 시스템 네트워크 격리 (랜선 뽑기/WiFi 끊기)
3. 어디에 신고하나? → KISA 118, 경찰청 사이버수사대
4. 고객 데이터 유출? → 24시간 내 개인정보보호위원회 신고 의무
5. 백업은 어디? → [백업 위치], [복구 담당자]
6. 외부 전문가? → [보안 업체 연락처]

이 1장이 없으면, 사고 시 패닉 → 늑장 대응 → 피해 확대 → 신고 지연 → 과태료로 이어집니다.

정부 무료 지원, 쓸 수 있는 것

몰라서 못 쓰는 제도가 있습니다:

특히 KISA 중소기업 보안 점검은 전문가가 직접 방문해서 취약점을 찾아주고 조치 방법까지 알려줍니다. 무료입니다.

지금 안 하면, 나중에 10배 비싸다

보안 사고 평균 피해액은 중소기업 기준 약 4,000만 원 (KISA, 2025). 여기에 고객 이탈, 신뢰 하락, 법적 대응 비용은 포함되지 않은 수치입니다.

반면 위에서 제안한 5단계는 대부분 0원이고, 1~2일이면 끝납니다.

전문가 도움이 필요할 때

기본 조치는 직접 하되, 아래 상황에서는 전문가가 필요합니다:
- 웹 서비스/앱을 직접 운영하고 있다 → 취약점 진단 필요
- 고객 개인정보를 다루고 있다 → 개인정보 영향평가 필요
- 이미 침해 의심 징후가 있다 → 긴급 대응 필요

SENTRIX는 해킹대회 수상, 보안 실무 10년 경력의 전문가가 중소기업 환경에 맞는 보안 진단을 제공합니다. 대기업 솔루션을 강매하지 않습니다. 상황에 맞는 최소 비용 최대 효과 방안을 제시합니다.

무료 보안 상담 신청하기 →