은폐-해킹 당해도 숨는 기업

1. 취재착수 ① 단독취재( ), ② 단독기획( ○ ), ③ 보도자료 심층기획( ), ④ 제보( ), ⑤ 기타( ) 2. 출품 보도물 목록(최초 보도부터 순서대로 3건까지 기재) 번호 보도일시 보도 제목 1 5월26일,오전6시 "100억 투자 날리느니 수억 원 뜯기고 말죠"…'열에 아홉'은 해커에 상납 2 5월27일,오전8시56분 5억에서3억으로 해커와 흥정…갈취액 깎는'음지의 협상가' 3 6월2일,오전6시 [단독]"중소기업,보안투자하면 세금 깎아준다"…감세카드 꺼낸 국회 3. 보도제작경위 - 내용을 구체적으로 기술해 주십시오. “지금 이 순간에도 어딘가에서 기업들이 랜섬웨어 공격을 당하고 있을 겁니다. 하지만 열에 아홉은 신고하지 않습니다. 주요 타깃은 보안이 취약한 데다, 하루라도 멈추면 막대한 손해를 입는 제조공장 같은 곳입니다.” 올해 2월, 과학기술정보통신부 고위공무원 출신의 취재원으로부터 들은 말이었습니다. 현실의 인질극에는 곧바로 경찰을 부르지만, 사이버 인질극은 오히려 그 반대였습니다. 피해 기업들은 해커에게 적게는 수천만 원, 많게는 수십억 원을 상납하고도, 회사 신뢰도 하락과 이미지 추락을 우려해 직원들의 입단속에만 급급하다는 것이었습니다. 가장 먼저 떠오른 생각은 "왜 신고하지 않을까?"였습니다. 정부에 알리면 혼자 대응할 때보다 사태를 더 수월하게 풀 수 있을 거라는 기본적인 상식 수준의 판단이었습니다. 하지만 그 취재원은 냉정한 답을 내놨습니다. "신고하는 순간 소문이 나고, 기업 신뢰도는 바닥을 칩니다. 정부는 도움이 되기는커녕 조사를 이유로 서류 작업만 시키고 해커에 돈 주지 말란 말만 반복합니다." 해킹에 당해도 철저히 숨기고, 도움 받을 곳도 마땅치 않은 현실. 이대로는 한국기업들이 '랜섬웨어 리스크'라는 무거운 추를 발목에 매단 채 위태롭게 뛸 수밖에 없다는 위기의식이 들었습니다. 해커의 공격은 점점 더 정교해지고, 협상은 은밀하게 진행되며, 신고 없이 비트코인을 상납하는 기업들은 계속해서 늘고 있었습니다. 이 악순환을 추적하고자 탐사보도팀을 꾸렸습니다. 취재는 시작부터 벽에 부딪혔습니다. 첫 과제는 '해킹 당했지만 숨은 기업'을 찾아내는 일이었습니다. 모래사장에서 바늘을 찾는 기분이었습니다. 그러던 중 지인의 제보가 들어왔습니다. 그가 다니는 에너지 운송 관련 회사가 해커의 공격을 받았다는 이야기였습니다. 곧장 확인에 나섰고, 공장 마비 정황과 내부 단속을 시도하는 증거자료를 입수했습니다. 머릿속에서만 그리던 '사례'가 눈앞에 펼쳐지자 취재팀은 본격적으로 뛰어들었습니다. 보안기업 몇 곳을 어렵게 설득해 피해 기업을 소개받을 수 있었습니다. 이후 꼬리를 물고 취재원이 연결돼 취재 범위를 확대할 수 있었습니다. 피해 기업의 심정을 이해하려 노력했고, 취재가 더해질수록 그들의 두려움이 얼마나 클지 체감하게 됐습니다. 취재 중반, SK텔레콤 유심 정보 유출 사태가 터지며 해킹에 대한 사회적인 관심이 집중됐습니다. 디올, 까르띠에 같은 명품기업들도 해킹을 당해 개인정보가 노출됐습니다. 보도 직후에는 예스24가 랜섬웨어에 당했습니다. 이처럼 고객 정보를 많이 보유한 기업들은 해킹 사실이 외부에 드러날 수밖에 없어 신고를 택합니다. 하지만 이런 경우는 소수일 뿐입니다. 대부분의 피해기업은 외부에 해킹 사실이 밝혀질 가능성이 희박하다면 모든 수단을 동원해 은폐를 택합니다. 취재팀은 넉 달간 피해 기업 10곳의 대표, 임원, 직원을 인터뷰했습니다. 기업 상당수는 처음에는 해킹 사실 자체를 부인하거나 "끔찍한 기억을 왜 다시 꺼내게 하냐"며 인터뷰를 거절했습니다. 우리는 전화, 문자, 방문 등 가능한 모든 방법을 동원해 보도 취지를 상세히 설명했고, 익명을 철저히 보장하겠다고 약속했습니다. 설득하는데 짧게는 한 달, 길게는 석 달이 걸린 곳도 있었습니다. 전국에 있는 공장과 사무실로 직접 찾아가 진심을 전했고, 꽁꽁 숨겨왔던 피해 사례를 취합할 수 있었습니다. 끝내 만날 수 없었던 기업도 세 곳 있었습니다. 안타까웠으나 그 자체로도 피해 기업들이 얼마나 숨고 싶어 하는지 알 수 있었습니다. <1부. 신고하면 더 손해> 1부에서는 왜 피해를 입고도 침묵하는지, 그 구조적 배경을 심층적으로 다뤘습니다. 첫 사례는 100억 원대 투자 유치를 눈앞에 둔 반도체 부품 제조기업이었습니다. 그는 해커에게 5억 원을 송금했지만 “지금도 후회하지 않는다.”고 말했습니다. “수년을 공들인 투자였습니다. 해킹 사실이 알려지면 모든 게 무너집니다. 누가 그런 기업에 투자하겠습니까.” 그 한마디에, 이들이 얼마나 낙인을 두려워하는지 드러났습니다. 랜섬웨어 감염 후 3개월간 공장을 폐쇄하면서도 사건을 철저히 은폐한 가전 부품 공장 사례를 시간 순으로 재구성해 피해 내용을 낱낱이 보도했습니다. 취재원 보호를 위해 신원을 밝히지 않되, 랜섬노트 등 해커의 흔적을 증거로 확보해 기사에 실었습니다. 원본은 온라인 기사에 공개하고, 한글로 번역된 내용은 지면에 실었습니다. 또한 정부의 ‘2024년 정보보호 실태조사’ 원자료를 단독 입수해, 해킹 피해를 경험한 중소기업의 95.9%, 중견·대기업의 93.5%가 ‘신고하지 않았다’는 사실을 처음으로 보도했습니다. ‘열 곳 중 아홉 곳은 침묵한다.’는 관측을 수치로 검증한 것입니다. 기업들이 신고를 꺼리는 배경 중 하나인 정부의 무능력도 지적했습니다. 보안업체로부터 실태를 취재하고, 정부의 랜섬웨어 대응 가이드라인을 항목별로 분석해 형식적 대응에 그치고 있다는 점을 확인했습니다. <2부. 음지의 협상> 2부에서는 피해 기업들이 해커와 협상을 어떻게 진행하는지를 추적했습니다. 해킹을 당한 다수 중소기업들은 직접 협상 대신, 협상팀을 고용했습니다. 업계에서 암암리에 소문난 보안 컨설턴트를 통해 '협상팀'과 계약을 맺습니다. 이 협상팀은 해커와 접촉해 몸값을 협상하고, 현금을 비트코인으로 환전해 송금하는 역할을 합니다. 협상팀은 절충 금액의 약 30%를 수수료로 챙겼습니다. 해킹 사례가 많아지면서 이들 간 사건 수임 경쟁도 치열하다는 것도 알 수 있었습니다. 우리는 피해 기업을 통해 실제 협상팀 리더를 수소문했고, 부산의 한 사무실을 찾아 그를 직접 만났습니다. 그를 통해 해커와의 실제 대화 내용, 협상 전략, 환전 방식 등을 취재해 처음으로 공개했습니다. 또한 일부 협상팀이 해커와 결탁해 피해 기업을 속이고 협상금을 부풀려 법정까지 간 사건도 확인했습니다. 해당 판결문을 확보해 최초 보도했습니다. 더불어 블랙해커 조직이 국내 실력 있는 화이트해커를 돈으로 포섭하려는 실태도 국내 언론 최초로 보도했습니다. “매달 외제차 한 대 값의 월급을 줄 테니 같이 일하자”, “특정 기업의 보안 취약점을 넘겨 달라”는 은밀한 제안이 실제로 이뤄지고 있었습니다. 보안기업에서 일하는 한 화이트해커는 이 사실을 실명으로 증언해 주었습니다. <3부. 덮치면 끝장, 알면서도 왜> 3부에서는 왜 이런 피해가 반복되는지를 집중적으로 검증했습니다. 해킹을 당하고도 아무런 조치를 하지 않아 6개월 만에 다시 공격을 받은 한 중소 제조기업의 사례는 현재 기업 보안 실태의 민낯이었습니다. 대표의 인식 부족, 열악한 자금 사정, 구하기 힘든 보안 전문 인력, 법 규제 미비 등 복합적인 요인으로 인해 많은 기업들이 해커에게 '쉬운 먹잇감'이 되고 있었습니다. 한국인터넷진흥원(KISA)은 중소기업에 무료 또는 저비용 보안 솔루션을 제공하고 있었지만, 그 존재조차 모르는 기업이 대부분이었습니다. 실제 활용률은 전체 중소기업의 0.004%에 불과했습니다. 정부가 이 서비스를 적극 알리기보다, '이용률이 낮다'는 이유로 관련 예산을 반의 반 토막으로 줄였다는 점도 들춰냈습니다. KISA의 예산 보고서를 단독 입수해, 서비스 존재를 몰라 이용하지 못하고, 그로 인해 이용률이 낮아져 예산까지 줄어드는 악순환을 지적한 것입니다. 취재팀은 보안기업 두 곳에 요청한 끝에 다크웹에 직접 접속해, 해킹으로 탈취된 기업 정보가 암암리에 거래되는 실태도 확인했습니다. 최근에 해커 조직들은 현행 법률까지 분석해, 개인정보가 유출 시 매겨지는 과징금보다 낮은 협상금을 제시했습니다. 이를 통해 기업이 몸값을 상납하도록 유인하는 정황도 포착했습니다. <4부. 해커는 불멸, 그래서 대책을> 마지막 회에서는 실질적인 해법을 제시하는 데 초점을 맞췄습니다. “우리 같은 피해자가 다시는 나오지 않게 해 달라”는 것은 인터뷰에 응한 10개 피해기업 대표 및 직원들이 하나 같이 취재팀에게 당부했던 말입니다. 이를 가슴에 새기고, 국회를 찾아갔습니다. 취재팀은 이해민 조국혁신당 의원과 협력해, 기업이 보안설비투자와 관련 인력 채용, 사이버 보험 가입을 하는 경우 세액공제를 부여하는 법안을 발의하는 성과를 이끌어냈습니다. 또한 KISA 전 원장의 증언을 통해 “현재 정부는 해킹을 신고 받아도 실질적인 도움을 줄 능력이 없다”는 현실을 확인했습니다. 미국 FBI가 해커 조직을 역으로 해킹해 암호를 풀 키를 확보하고, 피해자금을 환수한 사례를 보도하면서, 한국도 해킹대응 전문인력을 키워야 한다는 점을 강하게 환기시켰습니다. 사실상 국정원이 주도하는 사이버 대응 체계를 벗어나, 독립된 ‘사이버보안청’과 같은 컨트롤타워를 세워야 실효성 있는 대책이 나올 수 있다고 제언했습니다. 정부의 해킹 피해 신고율 통계가 부풀려졌다는 점도 밝혀 기자수첩에 담았습니다. 과학기술정보통신부는 피해기업 중 19.6%가 신고했다고 발표했지만, 실제로는 단 두 개 기업의 응답으로 인한 착시 현상이었습니다. 취재팀은 이 수치를 재검증하고, 정책 수립의 전제부터 허술하다는 점을 고발했습니다. 4. 취재 및 보도과정의 특이사항 여부 해킹 피해를 입고도 숨어 있는 기업의 경우, 취재원과 약속한 대로 회사명을 밝히지 않기로 했습니다. 회사 이미지와 재산상 피해를 고려한 결정이었습니다. 보안 컨설턴트와 협상팀 역시 신변이 노출되면 활동이 어려워진다는 이유로 익명 요청을 해 와 반영했습니다. 대신 신뢰성을 높이기 위해 취재원들로부터 해커가 남긴 랜섬노트, 협상 대화 기록 등 구체적 증거를 확보해 기사에 실었습니다. 모두 영어로 작성된 자료였기 때문에 지면에는 번역본을 중심으로 실었고, 온라인에는 원본 사진을 함께 공개했습니다. 아래 링크는 원본 사진이 첨부된 온라인 기사들입니다. https://www.asiae.co.kr/article/project/2025051310585544211 https://www.asiae.co.kr/article/project/2025051415305177012 https://www.asiae.co.kr/article/project/2025051415333007570 https://www.asiae.co.kr/article/project/2025052114291175699 제보자와 특별한 이해관계는 없으며, 모든 내용을 기자들이 직접 취재했습니다. 5. 타 매체 선행보도 여부 및 타 매체의 반향 해킹을 당하고도 신고하지 않는 기업들의 실태를 집중적으로 파헤친 탐사보도는 국내 언론에서 전례가 없었습니다. 그동안의 해킹 관련 보도는 당한 사실이 외부로 드러난 일부 사례에 한정돼 있었습니다. 정부에 신고한 기업을 중심으로만 보도가 이뤄졌습니다. 이처럼 철저히 은폐된 세계를 추적해낸 탐사 기획보도였기에, 타 매체가 쉽게 따라오기 어려웠습니다. 그러나 SK텔레콤과 예스24 해킹 사태가 잇따라 터지며 사회적 관심이 급격히 높아지자, 다른 언론들도 본지 보도에 등장했던 보안 전문가들을 찾아가 인터뷰하며 후속 보도를 내기 시작했습니다. ‘눈에 보이는 해킹은 빙산의 일각일 뿐이다’, ‘해킹 피해를 숨기는 악순환을 끊어야 한다’는 경고가 주요 메시지로 반복되었고, 이는 저희 보도의 연장선상에 있는 담론이었습니다. *“해킹은 당했지만 신고는 안 한다”는 나라(IT조선·5월 28일) *“후폭풍 두려워” 해킹 피해기업 '쉬쉬'…‘사이버안보 컨트롤타워’ 새정부 과제로 (JTBC·6월 2일) *해킹 쉬쉬하는 악순환 고리 끊고 국가 사이버 안보 갖춰야 (주간동아·6월 5일) *기업 해킹 피해 ‘쉬쉬’…“새 정부 사이버 안보 컨트롤타워 필요” (세계일보·6월 6일) *해킹 피해 90%가 침묵, 새 정부의 시험대 된 ‘국가 사이버 안보’ (파이낸셜뉴스·6월 9일) *해킹사고 숨기는 기업들, 여론 뭇매 무서워 ‘쉬쉬’ (아주경제·6월 10일) 6. 사회에 끼친 영향 보도 직후부터 기업들과 일반 시민들의 반응이 쏟아졌습니다. “견적 의뢰 메일을 열었다가 랜섬웨어에 감염돼 수억 원을 날렸다. 이런 기사가 진작 나왔더라면 더 조심했을 것 같다”, “정부가 실질적인 대응 능력을 갖춰야 기업들도 신고할 수 있다는 점에 전적으로 공감한다”, “해킹 전문인력 양성에 정부가 적극 나서야 한다”는 의견이 댓글과 메일로 이어졌습니다. 해외에서도 관심을 보였습니다. 대만의 유력 보안업체가 취재팀에 직접 연락해와, 북한과 중국 해커 관련 사안을 제보하겠다며 후속 보도를 요청했습니다. 현재 이에 대한 취재를 준비 중입니다. 새 정부의 정책제안 플랫폼 ‘모두의 광장’에는 자신을 중소기업 대표라고 밝힌 이가 ‘해킹당한 것도 힘든데, 신고하면 우리가 죽습니다.’라는 제목의 호소문을 올렸습니다. 이번 보도로 촉발된 이 글은 정부에 실효성 있는 대응책 마련을 요청하는 계기가 됐습니다. 입법 성과로도 이어졌습니다. 이해민 조국혁신당 의원은 보안설비 투자·사이버 보험 가입·보안인력 채용을 하는 기업에 세제혜택을 주는 내용의 법안(조세특례제한법 개정안)을 6월 30일 발의했습니다. 이 법안은 취재팀과 긴밀히 소통하며 준비되었고, 현재 국회 심의가 진행 중입니다. 정책도 변화하기 시작했습니다. 본지가 5월 29일자 기사에서 ‘중소기업 정보보호 예산이 축소되고 있다’는 사실을 지적하자, 과기정통부는 새 정부 국정기획위원회에 ‘내년도 지역 중소기업 정보보호 지원 예산 233억 원 증액’ 계획을 보고했습니다. 또한 6월 2일자 보도에서 정부의 해킹 대응 역량이 사실상 ‘무력(無力)’에 가깝다고 지적한 것을 반영해 사이버 공격 원인을 분석하는 '포렌식센터'를 내년에 구축하겠다며 150억원 예산 요청안을 마련, 함께 보고했습니다. KISA는 본지 보도 이후 나온 이런 종합 대책을 7월 중 공식 발표 할 예정이라고 밝혔습니다. 7. 자체평가 및 소속사확인여부 언론윤리강령 기준 및 아시아경제 기자윤리위원회의 기자윤리 강령을 준수했습니다. 8. 기타 고려사항 외부 지원여부, 보도당사자의 반론신청, 언론중재위원회에의 피신청사항 등 사안에 해당되지 않습니다.