국내 사이버 침해사고 1,236건…DDoS·랜섬웨어 급증, 우리 회사는 안전할까

국내 사이버 침해사고 핵심 수치

국내 사이버 침해사고는 2026년 상반기 한국인터넷진흥원(KISA)에 1,236건이 신고·접수됐으며, 2025년 상반기 1,034건보다 19.5% 증가했습니다. 특히 DDoS는 373건으로 전년 동기보다 56.7% 늘었고, 랜섬웨어 신고는 145건으로 76.8% 증가했습니다. 단순히 공격 건수가 많아졌다는 의미를 넘어, 서비스 중단과 데이터 유출이 동시에 발생할 가능성이 커졌다는 점을 함께 봐야 합니다.

과학기술정보통신부와 KISA는 상반기 신고 통계와 국내외 보안 전문가 분석을 바탕으로 생성형 인공지능, 오픈소스 공급망, DDoS, 랜섬웨어, API·계정 탈취를 핵심 위협으로 제시했습니다. 기업 담당자뿐 아니라 쇼핑몰, 병원, 교육 서비스, 제조사, 플랫폼 운영사처럼 고객 정보와 온라인 서비스를 다루는 조직이라면 자신의 환경이 어느 공격 유형과 맞닿아 있는지 먼저 확인할 필요가 있습니다.

국내 사이버 침해사고를 볼 때 가장 중요한 질문은 “우리 회사도 공격받을 수 있는가”가 아니라 “어떤 경로가 먼저 노려질 수 있는가”입니다. 규모가 작더라도 외부 공개 서버, 원격접속 계정, 개발자 토큰, API, 협력사 계정 중 하나가 열려 있으면 공격자는 그 지점을 출발점으로 삼을 수 있습니다. 따라서 이번 수치는 보안팀만 보는 통계가 아니라 경영진, 개발팀, 인프라팀, 개인정보 담당자가 함께 우선순위를 정하는 기준으로 활용하는 편이 좋습니다.

상반기 신고 흐름

2026년 상반기 국내 사이버 침해사고 신고는 1,236건으로 전년 동기보다 늘었지만, 2025년 하반기 1,349건보다는 8.4% 줄었습니다. 반기별 숫자만 보면 증가와 감소가 섞여 있어 방향을 오해하기 쉽습니다. 중요한 점은 전체 신고 규모가 2024년 상반기 899건, 2025년 상반기 1,034건, 2026년 상반기 1,236건으로 높아졌다는 흐름입니다.

국내 사이버 침해사고의 전체 신고 건수만 확인하면 실제 위험의 이동을 놓칠 수 있습니다. 서버 해킹은 여전히 가장 큰 비중을 차지하지만 2026년 상반기에는 487건으로 전년 동기보다 8.3% 감소했습니다. 반대로 DDoS와 랜섬웨어는 큰 폭으로 늘었습니다. 즉 “서버 해킹만 막으면 된다”는 식의 단일 방어 전략보다 서비스 가용성, 계정 보호, 데이터 복구까지 동시에 준비해야 하는 구조로 바뀌고 있습니다.

공격 유형별 변화

국내 사이버 침해사고 가운데 가장 눈에 띄는 변화는 DDoS와 랜섬웨어입니다. DDoS는 2025년 상반기 238건에서 2026년 상반기 373건으로 135건 늘었고, 랜섬웨어는 82건에서 145건으로 63건 증가했습니다. 랜섬웨어 145건은 같은 기간 악성코드 감염 신고 201건의 72.1%에 해당합니다.

국내 사이버 침해사고 통계를 실무에 적용할 때는 증가율만 보고 예산을 한쪽에 몰아서는 곤란합니다. DDoS는 외부 서비스가 멈추는 문제이고, 랜섬웨어는 내부 업무 중단과 데이터 유출이 함께 일어날 수 있는 문제입니다. 서버 해킹은 감소했지만 전체 유형 중 비중이 가장 큽니다. 세 유형은 대응 장비, 담당 조직, 복구 방식이 다르므로 한 번의 보안 점검으로 모두 해결된다고 보기 어렵습니다.

주요 위협 다섯 가지

과기정통부와 KISA가 분류한 국내 사이버 침해사고 핵심 위협은 생성형 AI 악용, 오픈소스 공급망 공격, 국제 핵티비스트의 DDoS, 랜섬웨어 이중 갈취, API·계정 탈취입니다. 이 다섯 가지는 서로 독립적인 문제가 아니라 계정 탈취가 공급망 침해로 이어지고, 내부 침투가 데이터 유출과 랜섬웨어로 확장되는 식으로 연결될 수 있습니다.

생성형 AI 보안

생성형 AI는 취약점 탐지, 코드 검토, 보안 이벤트 요약처럼 방어 업무의 생산성을 높일 수 있지만 공격자에게도 정찰과 반복 실험 속도를 높이는 도구가 될 수 있습니다. 특히 AI 에이전트가 이메일, 코드 저장소, 클라우드, 협업 플랫폼과 연결되면 프롬프트 주입, 권한 오남용, 민감정보 유출, 악성 도구 호출 같은 문제가 커질 수 있습니다.

실무에서는 AI 서비스가 사용하는 API 키, 토큰, 서비스 계정을 중앙에서 관리하고 장기 자격증명 사용을 줄이는 것이 우선입니다. 민감정보가 프롬프트로 들어가지 않도록 분류·필터링·마스킹 정책을 적용하고, AI가 만든 코드나 자동 조치 명령은 담당자가 검증한 뒤 반영하도록 승인 절차를 두는 편이 안전합니다.

오픈소스 공급망 위험

개발자 계정과 토큰은 이제 단순 로그인 정보가 아니라 배포 권한과 연결된 핵심 자산입니다. 공격자가 GitHub, npm, PyPI 관련 자격증명이나 클라우드 접근 키를 탈취하면 정상 프로젝트의 유지관리 권한을 악용하거나 CI/CD 파이프라인을 통해 악성 패키지를 배포할 수 있습니다. 한 명의 개발자 피해가 여러 서버와 고객 환경으로 연쇄 확산될 수 있다는 점이 공급망 공격의 위험입니다.

국내 사이버 침해사고 예방 관점에서는 개발자와 유지관리자 계정에 MFA를 적용하고, PAT·npm·PyPI 토큰을 최소 권한과 짧은 유효기간으로 발급해야 합니다. SBOM과 SCA로 사용 중인 구성요소와 버전을 파악하고, 코드 서명·커밋 무결성 검증·보호 브랜치·이중 승인 절차를 함께 운영하면 단일 계정 탈취가 대규모 배포로 이어질 가능성을 낮출 수 있습니다.

DDoS 서비스 마비

국제 핵티비스트 그룹은 공공기관이나 민간기업을 공격 대상으로 공개 지목한 뒤 DDoS를 수행하거나 공격 성공을 주장하기도 합니다. 이 유형의 목적은 반드시 기밀정보 탈취에 있지 않습니다. 외부 서비스의 가용성을 떨어뜨리고 장애 화면을 확산시켜 조직의 대외 신뢰와 운영에 부담을 주는 것이 핵심일 수 있습니다.

따라서 웹사이트가 잠시 느려지는 정도로만 생각하면 대응이 늦을 수 있습니다. CDN, WAF, 클라우드 DDoS 방어를 연계하고, 요청 빈도 제한, 행동 기반 탐지, IP 평판, CAPTCHA, 캐시 정책을 서비스 특성에 맞게 적용해야 합니다. 평소 정상 트래픽 기준선을 정해두면 공격이 시작됐을 때 단순 사용량 증가와 이상 징후를 구분하기 쉬워집니다.

랜섬웨어 이중 갈취

랜섬웨어는 파일을 암호화한 뒤 복구 비용만 요구하는 형태에 머물지 않습니다. 공격자가 암호화 전에 중요 데이터를 외부로 빼내고, 복호화 대가와 데이터 비공개 대가를 동시에 요구하는 이중 갈취가 문제입니다. 내부망에 오래 잠복한 뒤 자료를 수집하면 업무 중단, 개인정보 유출, 법적 대응, 평판 훼손이 한꺼번에 발생할 수 있습니다.

국내 사이버 침해사고 대응에서 랜섬웨어 복구 능력은 백업 파일 존재 여부보다 “실제로 복구 가능한가”가 더 중요합니다. 운영망과 분리된 불변 백업 또는 오프라인 백업을 두고, 정기 복구 훈련으로 실제 복구 시간과 서비스 재개 가능 여부를 확인해야 합니다. 원격접속 계정에는 MFA와 최소 권한을 적용하고 사용하지 않는 계정·포트·서비스는 제거하는 것이 좋습니다.

API 계정 탈취

개인정보 탈취는 데이터베이스 서버를 직접 공격하는 방식에서 외부 API와 사용자 계정을 악용하는 방식으로 넓어지고 있습니다. 인증 우회, 객체별 권한 검증 미흡, 과도한 데이터 반환, 예측 가능한 식별자 같은 API 설계 문제는 정상 요청과 비슷한 형태로 악용될 수 있어 기존 네트워크 보안 장비만으로 구분하기 어려울 수 있습니다.

계정정보 재사용 공격도 함께 봐야 합니다. 과거 유출된 아이디와 비밀번호를 자동화 도구로 대량 대입하면 정상 로그인과 비슷하게 보일 수 있습니다. MFA, 위험 기반 로그인, 유출 계정 점검, 자동화 로그인 방어를 적용하고, API는 인증과 인가를 구분해 사용자·객체·기능별 권한을 서버 측에서 확인해야 합니다.

업종별 영향과 판단

국내 사이버 침해사고는 업종마다 같은 방식으로 피해를 만들지 않습니다. 온라인 매출 비중이 큰 기업은 DDoS에 따른 서비스 중단이 직접적인 매출 손실로 이어질 수 있고, 제조·물류 기업은 랜섬웨어가 생산과 배송을 멈추게 할 수 있습니다. 개발 조직이 큰 회사는 오픈소스와 CI/CD 계정이, 회원 서비스가 많은 플랫폼은 API와 계정 탈취가 더 중요한 우선순위가 될 수 있습니다.

이 표를 볼 때 업종명만 맞추기보다 “우리 서비스가 멈추면 무엇이 먼저 피해를 보는가”를 기준으로 판단하는 것이 좋습니다. 고객 접속이 핵심이면 가용성, 생산 설비가 핵심이면 복구와 원격접속, 개발 파이프라인이 핵심이면 토큰과 배포 권한, 개인정보가 핵심이면 API 인가와 이상 조회를 우선 점검해야 합니다.

지금 확인할 우선순위

국내 사이버 침해사고 대응을 시작할 때 보안 솔루션을 먼저 구매하기보다 현재 자산과 계정 상태를 확인하는 편이 효율적입니다. 외부에 노출된 서버와 API가 무엇인지, 관리자·개발자·협력사 계정에 MFA가 적용됐는지, 장기 토큰이 남아 있는지, 백업을 실제로 복구해 본 적이 있는지부터 확인하면 취약한 연결고리를 빠르게 찾을 수 있습니다.

첫째 외부 노출 자산

인터넷에서 접근 가능한 웹 서버, VPN, 원격관리 포트, API, 클라우드 콘솔을 목록으로 정리해야 합니다. 담당자가 모르는 오래된 테스트 서버나 지원 종료 소프트웨어가 남아 있으면 패치 정책이 잘 갖춰진 주 시스템보다 오히려 쉬운 진입점이 될 수 있습니다. 자산 목록에는 담당자, 버전, 외부 노출 여부, 지원 종료 여부, 내부 연결 관계까지 포함하는 것이 좋습니다.

둘째 계정과 권한

관리자 계정과 개발자 계정은 단순 비밀번호 변경만으로 충분하지 않을 수 있습니다. MFA를 적용하고 사용하지 않는 계정을 삭제하며, 서비스 계정과 토큰은 필요한 범위만 허용해야 합니다. 특히 협력사 계정이 퇴사·계약 종료 뒤에도 남아 있지 않은지, CI/CD 토큰이 과도한 저장소 권한을 갖고 있지 않은지 확인해야 합니다.

셋째 백업과 복구

백업 성공 알림이 매일 도착한다고 해서 복구가 보장되는 것은 아닙니다. 실제로 별도 환경에서 복원해 보고 어느 시점의 데이터까지 살릴 수 있는지, 핵심 서비스가 몇 시간 안에 재개될 수 있는지 확인해야 합니다. 랜섬웨어가 백업 시스템까지 삭제하거나 변조할 수 있으므로 운영망과 논리적·물리적으로 분리된 백업을 준비하는 것이 중요합니다.

넷째 탐지와 기록

공격을 완전히 막는 것만큼 빠르게 알아차리는 능력이 중요합니다. 로그인 실패 급증, 비정상 지역 접근, 대량 파일 조회, 압축 파일 생성, 외부 대용량 전송, 백업 삭제, API 순차 조회 같은 행위를 감시해야 합니다. 사고가 발생했을 때 원인을 추적할 수 있도록 인증 로그, API 호출 기록, 관리자 변경 기록, AI 도구 호출 이력도 일정 기간 보존하는 편이 좋습니다.

DDoS 대응 실전 기준

국내 사이버 침해사고 중 DDoS는 2026년 상반기 373건으로 전체 신고의 30.2%를 차지했습니다. 서비스가 외부 고객에게 항상 열려 있어야 하는 조직이라면 “공격을 받으면 방어 서비스를 신청한다”보다 “공격 전에 전환 기준을 정한다”가 더 중요합니다. 평상시 ISP, 클라우드 사업자, 보안업체와 비상 연락망을 정리하고, 트래픽 우회·긴급 차단·고객 공지·로그 보존의 담당자를 미리 정해 두는 것이 좋습니다.

중소기업은 KISA가 제공하는 DDoS 사이버대피소를 무료로 이용할 수 있다고 안내돼 있습니다. 사전입주는 보호나라를 통해 신청할 수 있으며, 실제 공격으로 서비스가 마비되는 긴급 상황에서는 국번 없이 118, 사이버대피소 담당자 02-405-4769, help@ddos.or.kr로 지원 또는 상담을 요청할 수 있습니다. 실제 대응 시에는 회사 내부 담당자도 같은 연락처와 전환 절차를 알고 있어야 시간을 줄일 수 있습니다.

국내 사이버 침해사고 대응 결론

이번 통계에서 읽어야 할 핵심은 한 가지 공격만 크게 늘었다는 사실이 아닙니다. 서비스 가용성을 노리는 DDoS, 데이터와 업무를 동시에 압박하는 랜섬웨어, 개발 생태계를 노리는 공급망 공격, 개인정보를 노리는 API·계정 탈취, AI 연결 환경의 새로운 공격 표면이 함께 커지고 있다는 점입니다.

국내 사이버 침해사고에 대비해 지금 해야 할 일은 거창한 계획보다 우선순위를 정하는 것입니다. 외부 노출 자산을 목록화하고, 관리자·개발자·협력사 계정에 MFA를 적용하며, 장기 토큰을 줄이고, 백업을 실제로 복구해 보고, DDoS 전환 연락망과 사고 대응 권한을 문서화해 두십시오. 이 다섯 가지를 확인하면 통계를 읽는 데서 끝나지 않고 실제 피해를 줄이는 준비로 연결할 수 있습니다.