이미 다 털렸다는데… 정작 위험한 건 '그다음 메일 한 통'

올해 뉴스에서 '해킹', '개인정보 유출'이라는 말을 몇 번이나 들으셨나요? 손가락으로 세기 어렵습니다.

작년 2025년 한 해, 이름만 대면 아는 기업들이 줄줄이 뚫렸습니다. 통신사에서 유심 정보가, 대형 유통사에서 회원 정보가, 카드사와 결혼정보회사에서까지 개인정보가 쏟아져 나왔습니다. 정부가 민관합동조사단을 꾸려 조사에 나설 만큼 큰 사건이 이어졌죠.

'어차피 내 정보는 이미 다 털렸는데, 이제 와서 조심한들 무슨 소용이야.' 이런 반응이 나오는 것도 무리는 아닙니다.

바로 이 체념이 가장 위험합니다. 유출 그 자체보다, 유출된 정보를 미끼로 삼아 '그다음'에 날아오는 한 통이 진짜 피해를 만들기 때문입니다. 그리고 그 한 통이 도착하는 곳은 대부분, 우리가 매일 열어보는 메일함입니다.

---

1. 2025년, 대한민국은 '유출의 해'였다

지난해 2025년은 사이버 침해사고 신고가 역대 최다를 기록한 해입니다. 그것도 우리 일상과 가장 가까운 통신·유통·금융에서 사고가 잇따라 발생했기 때문입니다.

규모부터 남다릅니다. 한 통신사에서는 가입자 약 2,700만 명의 유심 정보가 빠져나갔고, 한 이커머스에서는 3,300만 건이 넘는 회원 정보가 유출됐습니다. 카드사와 홈쇼핑, 결혼정보회사, 구인구직 사이트까지 분야를 가리지 않았습니다.

숫자가 워낙 커서 실감이 잘 안 날 수 있는데, 우리나라 성인 대부분의 이름과 연락처, 이메일 주소가 한 번쯤은 어딘가로 새어 나갔다고 봐도 무리가 아닙니다. 실제로 사람들 사이에서는 "개인정보는 이제 공공재"라는 자조 섞인 말까지 나올 정도입니다.

문제는 이 유출된 정보가 그냥 어딘가에 잠들어 있지 않다는 데 있습니다.

---

2. 진짜 공격은 유출이 아니라 '그다음'에 온다

유출된 개인정보 자체로는 당장 통장에서 돈이 빠져나가지 않습니다. 이름과 전화번호, 이메일 주소는 그 자체로 무기가 아니라, 공격자에게는 '요리 재료'에 가깝습니다.

공격자는 이 재료들을 버무려 그럴듯한 미끼를 만듭니다.

• "이번 유출 건에 대한 피해보상을 신청하세요"
• "고객님 명의로 신규 카드가 발급되었습니다"
• "피해 사실을 조회하세요".

불안한 마음을 정확히 겨냥한 문자와 메일이 이렇게 날아듭니다. 링크를 누르는 순간 진짜와 구별되지 않는 가짜 사이트가 열리고, 금융정보를 입력하거나 악성 앱을 내려받게 됩니다.

유출 뉴스가 크게 터진 직후일수록 이런 시도가 급증합니다. 사람들이 "혹시 내 정보도?" 하며 불안해하는 바로 그 타이밍을 노리는 겁니다. 첫 번째 파도(유출)는 지나갔어도, 그 뒤를 따라오는 훨씬 큰 두 번째 파도(피싱)가 진짜 피해를 몰고 옵니다.

---

3. 왜 이번엔 속을 수밖에 없나

예전의 스팸 메일은 어딘가 어설펐습니다. 어색한 번역 투에, "귀하는 100만 번째 당첨자입니다" 같은 뻔한 낚시가 대부분이었죠. 조금만 주의 깊게 보면 "아, 이건 사기구나" 싶었습니다.

지금은 다릅니다. 여러 군데서 새어 나온 정보 조각들이 하나로 합쳐지면서, 공격자가 나에 대해 아는 게 너무 많아졌습니다.

내 실명은 물론이고 최근 주문 내역, 거래하는 카드사, 심지어 어제 시킨 택배 송장 번호까지 안다면 어떨까요. "○○님, 어제 주문하신 상품의 배송이 지연되어 안내드립니다"라는 메일이 오면, 진짜와 가짜를 구별하기가 사실상 불가능합니다.

낯선 사람이 길에서 "당첨되셨어요"라고 하면 무시하기 쉽습니다. 하지만 내 이름과 집 주소, 방금 산 물건까지 줄줄 꿰고 있는 사람이 전화를 걸어오면 이야기가 달라집니다. 유출된 조각들이 모여, 나를 정확히 아는 '맞춤형 미끼'로 되돌아옵니다.

---

4. 개인보다 회사가 더 위험합니다

여기까지는 개인 이야기 같지만, 회사 입장에서 보면 훨씬 심각합니다.

유출된 정보에는 개인의 것만 있는 게 아닙니다. 임직원의 이름과 회사 이메일 주소, 부서와 직함이 함께 새어 나가는 경우가 많습니다. 공격자는 이걸 회사를 겨냥한 표적 공격의 설계도로 이용합니다.

아무나 노리는 대량 살포가 아니라, 특정 회사의 특정 직원을 콕 집어 파고듭니다.

수법도 지독합니다. 재무 담당 직원에게 대표를 사칭해 "급하게 이 계좌로 송금해 달라"는 메일을 보내거나, 오래 거래한 협력사를 사칭해 감쪽같은 가짜 세금계산서를 첨부해 보냅니다. 발신자 이름도, 말투도, 첨부파일 양식도 진짜와 똑같습니다.

재무 담당 직원에게,

• 기업 대표로 사칭해서 "급하게 이 계좌로 송금하세요."
• 오랜 협력사로 사칭해서 "세금계산서를 발행했으니 송금 바랍니다."

이런 공격이 회사로 들어오는 정문은 대부분 이메일입니다. 그리고 그 문을 여는 데는 직원 단 한 명이면 충분합니다. 

방화벽으로 현관을 아무리 단단히 잠가둬도, 이 정문은 매일 아침 직원들이 스스로 엽니다. 그래서 이건 전산팀 책상에서 끝나지 않고, 회사의 자금과 신뢰가 걸린 경영진의 문제로까지 번집니다.

---

5. '직원들 조심시키기'만으로는 막지 못합니다

이쯤 되면 흔히 "직원 보안 교육을 강화하자"는 대책이 나옵니다. 물론 필요합니다. 다만 교육만으로 막겠다는 건, 사람의 눈을 마지막 방어선으로 세우겠다는 뜻이기도 합니다.

하지만 이 방어선은 너무 쉽게 뚫립니다. 요즘 피싱 메일은 진짜와 구별이 거의 안 됩니다. 하루에 수십 통씩 메일을 처리하는 바쁜 직원이 그중 단 한 통에 숨은 미세한 이상 신호를 매번 알아채기란 불가능에 가깝습니다. 

백 번 잘 걸러도 단 한 번이면 사고가 나는데, 사람에게 그런 완벽을 요구할 수는 없습니다.

그래서 방어의 무게중심을 사람의 눈에서 '메일이 도착하기 전 단계'로 옮겨야 합니다. 위험한 메일이 애초에 직원의 메일함에 닿지 않도록, 앞단에서 걸러냅니다.

이메일 보안 솔루션이 그 앞단을 맡습니다. 발신자가 진짜인지 위조된 주소인지 검증해 사칭 메일을 차단하고, 첨부파일과 링크를 열어보기 전에 미리 검사하며, 사람 눈에는 안 보이는 정교한 피싱 패턴을 잡아냅니다. 직원은 이미 한 번 걸러진 메일만 받아 보고, 최종 확인만 하면 됩니다.

건물 로비에 보안 검색대를 두는 것과 같습니다. 모든 방문객의 양심에만 기대는 대신, 입구에서 위험한 물건을 먼저 걸러내면 안에서 일하는 사람들이 훨씬 안전해집니다.

 

6. 그래서 지금 당장 할 수 있는 것

개인이라면, 유출 사고 뒤에 오는 '보상·환불·조회' 안내부터 의심하십시오. 문자나 메일 속 링크를 바로 누르지 말고, 해당 기업의 공식 앱이나 정식 대표번호로 직접 확인합니다. 이 습관 하나면 대부분의 피해를 막습니다.

회사라면 오늘 보안 담당자에게 네 가지를 물어보십시오.

• 앞단 차단: 위험한 메일이 직원에게 닿기 전에 걸러내는 이메일 보안 솔루션을 갖췄는가
• 사칭 방지: 발신자 주소가 위조됐는지 검증해 대표·거래처 사칭 메일을 잡아내는 장치가 있는가
• 사전 검사: 첨부파일과 링크를 직원이 열기 전에 자동으로 검사하고 있는가
• 병행 교육: 기술적 방어와 함께, 직원들에게 최신 피싱 사례를 꾸준히 알리고 있는가

하나라도 "아니오"가 나온다면, 거기가 지금 우리 회사에서 가장 먼저 메워야 할 구멍입니다.

넷 다 "예"라는 답을 들었다면, 최근 석 달간 걸러낸 메일이 몇 통인지 이어서 물어보십시오. 숫자로 답이 돌아와야 그 방어가 실제로 돌아가고 있습니다.

이미 유출된 내 정보는 되돌릴 수 없습니다. 하지만 그 정보를 미끼로 날아오는 '그다음 한 통'은 얼마든지 막을 수 있습니다. 체념하고 손을 놓는 순간을 공격자가 가장 반깁니다. 우리 회사 메일함부터 다시 살펴보시길 바랍니다.