국방전자조달 사이버공격 64건, 입찰 보안 체크리스트

국방전자조달 시스템이 지난해 기준 64차례나 해킹 시도를 당했던 사실이 2026년 국정감사에서 밝혀졌어요. 방위사업청 메인 홈페이지가 380건, 전자조달 홈페이지가 64건으로 집계됐는데 전체 사이버공격 시도는 3만 건을 훌쩍 넘겼죠. 공격자들은 아이피 주소를 조작하고 해외 서버를 경유해 추적을 피하는 수법을 썼다고 해요. 2021년부터 2024년 9월까지 방산 자료 유출이 63건 발생했는데 대부분 핵심 국방과학기술이었죠. 이번 글에서는 조달 시스템이 왜 표적이 됐는지, 입찰 기업이 당장 확인해야 할 보안 수칙은 무엇인지 짚어볼게요. 담당 실무자라면 오늘 내용 꼭 끝까지 읽어보시길 권해요.

국방전자조달 사이버공격 64건, 입찰 보안 체크리스트

국정감사 숫자가 말하는 위협의 무게

이번 국감에서 공개된 숫자는 단순한 통계가 아니에요. 방사청 전체 시스템을 겨냥한 3만 건 넘는 공격 시도 중 전자조달 홈페이지가 64건으로 특화돼 노려졌다는 점이 중요하죠. 메인 홈페이지 380건에 비하면 적어 보이지만 입찰 정보와 기업 인증서가 오가는 창구라는 점에서 파괴력은 훨씬 커요. 공격 성공 시 입찰 담합 단서나 기술 제안서 같은 기밀이 한꺼번에 샐 수 있거든요. 유용원 의원실 발표에 따르면 공격 주체 추적이 거의 불가능에 가깝다고 하니 방어만으로는 부족하죠. 숫자 이면에 숨은 의도를 읽지 못하면 다음 표적은 우리 회사일 수 있어요.

왜 하필 전자조달 시스템이 표적이 됐나

입찰 참여 기업 입장에서 전자조달은 돈을 벌어다 주는 생명선이죠. 그런데 해커에게는 방산 업체 리스트, 투찰 가격, 기술 사양서가 한데 모인 보물창고로 보여요. 특히 중소 협력업체는 보안 인력이 부족해 공격자에게 훨씬 매력적인 진입로가 돼요. 한 번 뚫리면 원청 업체 망까지 타고 들어가는 공급망 공격으로 번질 위험도 크죠. 실제 유출된 63건 자료 상당수가 조달 과정에서 오간 기술 문서였다는 분석도 나와요. 시스템 편의성만 믿고 보안을 소홀히 했다간 회사 존립이 흔들릴 수 있어요.

공격 수법과 추적 불가능한 이유

공격자들은 아이피 스푸핑과 해외 프록시 서버를 조합해 발자국을 지워요. 한국 서버에서 접속한 것처럼 위장하거나 제3국을 여러 번 경유해 출처를 흐리죠. 방사청 설명에 따르면 진원지 판별과 제3국 경유 확인에 한계가 명확하다고 인정했어요. 이는 사후 추적보다는 사전 차단과 피해 최소화에 집중해야 함을 뜻해요. 우리 회사 방화벽 로그에 찍힌 낯선 해외 아이피가 사실은 공격자의 중간 거점일 수 있거든요. 로그 분석만으로는 진짜 얼굴을 보기 어렵다는 사실을 인지해야 해요.

기술 유출 63건과 조달 시스템의 연결고리

2021년부터 2024년 9월까지 확인된 방산 자료 유출 63건 중 대다수가 국방과학기술 관련이에요. 이 중 상당수가 조달 입찰 단계에서 제출한 제안서나 시험 평가 자료로 추정돼요. 전자조달 시스템에 업로드된 파일이 해킹됐거나, 입찰 담당자 PC가 악성코드에 감염돼 자료가 빠져나갔을 가능성도 배제 못 하죠. 유출 경로가 조달 시스템 자체인지 협력사 단말인지는 아직 정확히 가려지지 않았어요. 다만 조달 프로세스 전체가 공격 표면이 되고 있음은 분명해 보여요. 우리 회사에서 제출한 기술 자료가 어디까지 노출됐는지 점검해볼 시점이에요.

입찰 기업이 지금 바로 확인할 보안 사항

가장 먼저 공인인증서와 전자서명 인증서 관리 실태를 들여다보세요. 인증서 파일를 공용 폴더에 두거나 패스워드를 메모장에 적어두는 관행부터 끊어야 해요. 입찰 담당 PC는 망분리 환경에서만 조달 시스템에 접속하게 하고 USB 사용을 차단해야죠. 이중 인증(2FA) 적용 여부도 필수 확인 사항이에요. 보안 솔루션 최신 패치 적용과 백신 실시간 감시 활성화는 기본 중 기본이죠. 직원 대상 피싱 메일 모의 훈련도 분기 1회 이상 정례화하길 권해요. 작은 습관 하나가 회사 기술 자산을 지키는 방패가 돼요.

달라질 조달 보안 환경과 우리가 해야 할 일

방사청은 제로트러스트 아키텍처 도입과 공급망 보안 인증제 확대를 준비 중이라고 해요. 앞으로는 입찰 참여 자격 요건에 보안 등급 심사가 포함될 가능성도 커요. 미리 대비하지 않으면 입찰 자격 자체를 잃을 수도 있다는 뜻이죠. 우리 회사 보안 수준을 객관적으로 진단받고 인증 획득을 서두르는 게 현명해요. 협력사 간 보안 요구 사항을 계약서에 명시하고 정기 점검하는 체계를 갖춰야 해요. 지금 움직이는 기업만 다가올 변화에 흔들리지 않고 입찰 경쟁력을 지킬 수 있어요.

자주 묻는 질문