'랜섬웨어' 예스24도 ISMS-P, 실효성 의문…인증 받아도 뚫린다

예스24, 정보보호투자액 34% 늘렸지만 '랜섬웨어' 피해
개인정보 유출 피해 정황, 개인정보위 조사 착수
"사이버 보안 100% 없다"…ISMS-P 실효성 논란 계속
예매 내역 확인 불가, 티켓 수기로 발행…공연 업계 큰 피해

랜섬웨어 해킹으로 사흘째 서비스가 중단된 예스24가 정보보호 및 개인정보보호 관리체계 'ISMS-P' 인증을 받은 것으로 나타났다. SK텔레콤 해킹 사고 이후 정부가 ISMS-P 실효성 강화 방침을 밝힌 가운데, 해킹 사고가 이어지고 있는 만큼 제도 개선이 시급해 보인다.

예스24 주식회사는 9일 랜섬웨어 공격을 피해를 받아 사흘째 서버 먹통을 겪고 있다. 11일 한국인터넷진흥원(KISA)에 따르면 예스24 주식회사는 2023년 5월 ISMS-P를 취득했고, 내년 5월 만료를 앞두고 있다. ISMS·ISMS-P는 기업 및 기관의 정보보호 개인정보보호 관리 체계를 평가하는 국가 공인제도로, 그간 ISMS 인증 기업에서 침해 사고가 잇따르면서 실효성 논란이 끊이질 않았다. ISMS 인증 기업들의 침해 사고 건수는 2023년에만 101건, 2024년 96건으로, 앞서 대규모 해킹 사고를 겪은 SK텔레콤 역시 ISMS·ISMS-P를 취득한 바 있다.

예스24의 지난해 정보보호 투자액은 12억 6981만 6042원으로, 지난해 약 9억 4686만 원 대비 34.1% 증가했다. 전체 정보기술 부문 투자액의 9.2%이다. 개인정보보호위원회가 권장하는 예산 비중에 살짝 부족한 수준이다. 개인정보위는 지난달 2030년까지 기업·기관의 개인정보보호 예산 비중을 2027년까지 최소 10%, 2030년까지는 이를 15%로 확대하도록 정보보호 투자 의무화를 추진할 방침을 밝힌 바 있다. 나름대로 정보보호 투자액을 늘리고 공시 제도에도 충실했지만, 사이버 위협을 피할 수 없었다.

정보보호 업계에서는 "사이버 보안에서 100%는 없다"면서 인증 제도 강화가 필요하다고 입을 모은다. 최초 심사나 갱신심사 외 매년 실시하는 사후 심사를 서면으로 수행하는 점 역시 인증 제도의 실효성을 낮춘다는 지적이다. 중소기업의 ISMS 인증 취득 부담을 완화하기 위해 도입된 지난해 7월 간편인증제 역시 양날의 검이 되었다는 비판이다. 정보보호 업계 관계자는 "ISMS가 규제라면서 간편인증, 서면 심사로 대체하니 보안을 잘하고 있던 기업도 간편인증한다고 예산 낮추고 컨설팅을 안 받고 있다"고 말했다.

ISMS 인증 제도 운영 및 관리는 KISA가 하지만, 실제로 심사를 수행하는 기관은 △개인정보보호협회(OPA) △KAIT(한국정보통신진흥협회) △한국정보통신기술협회(TTA) △차세대정보보안인증원(NISC) 등 협회 및 민간 기업이다. KISA에 따르면 지난해 SKT를 심사했던 기관은 NISC로, 새롭게 2024년 심사 기관으로 추가됐다. 직원 7명이 재직 중인 소기업이다. 개인정보위 관계자는 "심사 기관은 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시에 따라 정해지며, 업무수행 요건·능력 심사에 관한 세부기준에 따라 마련된다"고 설명했다.

당초 예스24 측은 개인정보 유출 정황이 확인되지 않았다고 밝혔으나, 11일 개인정보보호위원회는 예스24의 비정상적인 회원정보 조회 정황을 확인했으며, 조사에 착수한다고 밝혔다. 개인정보위는 구체적인 유출 경위 및 피해규모, 안전조치 의무 준수 여부 등을 확인해 '개인정보보호법' 위반 사항이 있는 경우 관련법령에 따라 처분할 예정이다. 인천경찰청 사이버범죄수사대는 이번 예스24 해킹 사건에 대해 내사(입건 전 조사)를 시작했다.

이번 사고로 예스24를 이용하는 공연·출판 업계가 큰 피해를 겪을 전망이다. 당장 공연 현장에서는 예매 내역 확인이 불가해, 티켓을 수기로 발행하는 등 큰 혼란이 잇따르고 있다. 박보검 팬미팅 투어, 가수 비아이 등 각종 공연 예매 일정이 미뤄졌으며 아이돌 그룹 엔하이픈은 오프라인 팬사인회를 취소했다. 예스24 관계자는 "금주 안에는 (서버가) 복구되지 않을까 보고 있다"라고 말했다.