[데스크칼럼] 해킹과 생존편향 오류

[아이뉴스24 이정일 기자] 해킹 사고가 터질 때마다 등장하는 단골 메뉴는 ‘재발 방지 대책 마련’이다. 하지만 여기에는 결정적인 허점이 존재한다. 그 어떤 창도 막아내는 완벽한 방패는 이 세상에 없다는 사실이다. 이런 불가피성을 고려한 대법 판결도 있다. “인터넷의 특성상 모든 사이트는 해커의 불법적인 침입에 노출될 수밖에 없고, 완벽한 보안을 갖춘다는 것도 어렵다.”(2015년 옥션 해킹 사건). 아닌 게 아니라 무결점의 완벽한 방어는 어려운 게 현실이다. 관건은 얼마나 효과적으로 대응하느냐다.

해킹 사고를 ‘생존편향 오류’에 접목한 흥미로운 시각도 있다. 생존편향 오류는 컬럼비아 대학 통계학자였던 아브라함 왈드가 제시한 개념이다. 제2차 세계대전 중 미군은 전투에서 복귀한 비행기의 피탄 흔적을 분석했는데 주로 동체와 꼬리 부분에 총탄이나 폭탄 흔적이 많았다. 이를 근거로 미군은 동체와 꼬리 부위를 강화해야 한다고 판단했다.

하지만 아브라함 왈드의 생각은 달랐다. 귀환한 비행기는 치명적인 공격을 당하지 않아서 살아 돌아온 거고 엔진이나 조종석에 손상을 입은 비행기는 격추돼 데이터에 포함되지 않았다는 것이다. 따라서 엔진이나 조종석을 강화해야 한다는 결론에 이르렀다. 만약 미군이 눈에 보이는 피탄에만 집중했다면 제2차 세계대전의 역사는 달라졌을지 모른다.

포브스의 테크 칼럼리스트 알론 아르바츠는 이같은 생존편향 오류를 해킹 사고에 빗대 “보이는 사고만 분석해 숨겨진 위험을 간과하는 오류”를 지적했다. 예컨대, 공격 징후는 있지만 당장은 피해가 없는 것을 두고 ‘허위 안도감(false sense of security)’을 갖는 경우가 그렇다. 눈에 보이는 공격에만 주목하다가 더 큰 위협을 간과하는 것도 마찬가지다.

연이은 이통사 해킹 사고와 관련해 국가 안보를 경고하는 목소리가 예사롭지 않게 들린다. 이정헌 더불어민주당 의원실에 따르면, 2016년부터 2025년 8월까지 국가과학기술연구회(NST) 등 23곳을 대상으로 총 2776건의 해킹 시도가 있었다. 국익이 걸린 과학기술, 정보통신 분야 연구 기관들이 오랜 기간 해킹 공격에 노출된 것이다. 이 의원은 “SKT와 KT 사태는 빙산의 일각”이라며 “통신 인프라, 행정부, 연구기관, 민간 기업까지 총망라하는 보안 체계의 대대적 재정립이 필요하다”고 주문했다.

이런 시각에는 김승주 교수(고려대학교 정보보호대학원)도 동의한다. 그는 이통사 해킹 사고만 부각하는 언론을 ‘맹인모상(사물의 일부만 알고 전체를 모르면서 함부로 결론을 내리는 좁은 견해)’이라고 꼬집으면서 현 상황을 ‘일부 기업이 아닌 국가 위기 상황’이라고 진단했다. 이통사의 피탄만 보지 말고 더 큰 위협에 주목하라는 경고다.

해킹이 일상적으로 진행된다는 사실, 그리고 이미 드러난 공격보다 드러나지 않은 공격이 더 위험할 수 있다는 경고는 해킹 대응 체계의 근본적인 대전환을 요구한다. 배경훈 과학기술정보통신부 장관도 최근 기자 간담회에서 “건, 건으로 (해킹)사고를 대응하는 것으로 문제를 풀려고 하진 않는다”고 했는데 백번 옳은 말이다. 해킹 수법은 날로 고도화되는데 언제까지 즉흥적이고 개별적으로 대응할 것인가.

어떤 창도 막아낸다는 '이지스' 방패는 신화 속 얘기일 뿐이다. 우리에게는 현실적인 방패가 절실하다. 이를 위해서는 사고 발생부터 대응까지 일련의 절차를 국가 차원에서 정교하게 시스템화해야 한다. 이 과정에서 기업들의 적극적인 신고를 유도하기 위해 패널티보다는 인센티브를, 강제성보다는 자발성을 부여하는 방안도 필요하다.

해킹이 기술, 개인정보, 금융, 범죄 등이 얽힌 종합 영역이라는 점에서 정부 부처 간 공동 대응 체계도 한층 강화해야 한다. 그렇지 않고, 지금처럼 눈에 보이는 피탄만 주시한다면 머잖아 판도라 상자가 열릴지도 모른다.