금융권 해킹 자료요구와 대응 주체, 두 쟁점을 나눠 봐야 합니다

공식 통계 확인

2026년 상반기 KISA 접수 신고는 전년 동기보다 19.5% 늘었다

2026년 상반기: 1,236 KISA에 접수된 침해사고 신고 · 전년 동기 대비 19.5%

과학기술정보통신부가 발표한 2026년 상반기 국내 사이버위협 동향은 KISA에 접수된 침해사고 신고가 1,236건으로 전년 동기 대비 19.5% 늘었다고 집계합니다.

해석 한계: 이는 KISA 신고·접수 건수의 비교입니다. 신고 인식과 접수 행태의 변화도 수치에 영향을 줄 수 있으므로, 실제 전체 공격 발생량이 19.5% 늘었다거나 특정 사고의 원인이 늘었다고 해석하지 않습니다.

임시회의록·논문 확인 · 보도 수치 차이

임시회의록과 논문은 19건, 뉴시스는 17곳으로 보도했다

USENIX Security 2025 연구: 19 개 취약점

10월 6일 임시회의록에서 최형두 의원은 “카이스트 연구진이 이 프로그램 7종을 분석해 보니 심각한 취약점이 19건이 나왔습니다”라고 발언했습니다. USENIX Security 2025 논문은 KSA 2.0에서 취약점 19개를 보고했습니다. 반면 뉴시스 당일 기사는 같은 의원 발언을 “KSA 프로그램 7종”과 “취약점 17곳”으로 보도했습니다. 현재 확인되는 것은 임시회의록의 19건·7종, 논문의 KSA 2.0 19개, 뉴시스 보도의 17곳이며, 프로그램과 집계 단위가 서로 일치하는지는 별도 확인이 필요합니다.

해석 한계: 국회 임시회의록은 최종 회의록이 아닙니다. 해당 발언은 “이 프로그램”이라고 할 뿐 KSA 2.0을 특정하지 않습니다. 따라서 논문의 연구대상과 발언·보도 대상이 같은 버전·취약점 집합인지, 뉴시스의 17곳이 오기인지 단정할 수 없습니다. 논문은 발견 내용을 정부·업체에 통보했고 해당 취약점이 패치됐다고 명시하므로 과거 연구결과를 현재 미패치 상태로 표현하거나 전체 금융·공공 보안 프로그램의 현황으로 확대하지 않습니다.

발언 확인 · 전체/내역사업 원표 대조 필요

“62억원→45억원”은 전체사업과 내역사업을 섞은 비교일 수 있다

2024 예산 · 동일 세부사업

62 억원

2025 정부안 · 동일 세부사업

206.37 억원

2025 국회 확정 · 동일 세부사업 전체

106.37 억원

2025 국회 확정 · 제로트러스트 확산지원 내역(언론보도)

56.37 억원

2026 정부안 · 사업 전체(언론보도)

105.1 억원

2026 정부안 · 제로트러스트 확산지원 내역(언론보도)

45.1 억원

임시회의록은 최형두 의원이 “작년에 62억 원에서 올해 45억 원으로 27% 줄었다”고 발언한 것을 기록하며, 뉴시스도 같은 내용을 보도합니다. 국회예산정책처의 2025년도 과방위 예산안 분석에서 ‘제로트러스트 신보안체계 실증확산’ 세부사업은 2024년 예산 6,200백만원(62억원), 2025년 정부안 20,637백만원(206억 3,700만원)입니다. 2025년도 예산안 심의결과 보고서는 같은 세부사업의 국회 확정액을 10,637백만원(106억 3,700만원)으로 기록합니다. 전자신문은 과기정통부가 박충권 의원실에 제출한 2026년도 정부안을 인용해, 전체 사업 예산 105억 1,000만원 중 ‘신 망보안체계 실증확산(N²SF)’ 60억원과 ‘제로트러스트 확산지원’ 45억 1,000만원으로 나뉜다고 보도했습니다. 같은 기사에 따르면 2025년 전체 106억 3,700만원도 N²SF 50억원과 제로트러스트 확산지원 56억 3,700만원으로 구성됩니다. 따라서 전체사업 기준 비교는 2025년 확정 106억 3,700만원에서 2026년 정부안 105억 1,000만원으로 약 1.2% 감소이고, 제로트러스트 확산지원 내역 기준은 56억 3,700만원에서 45억 1,000만원으로 약 20.0% 감소입니다. 2024년 전체 세부사업 62억원과 2026년 내역사업 45억 1,000만원을 비교하면 약 27.3% 차이가 나지만, 서로 다른 예산 범위입니다. 국회예산정책처의 2026년도 심의결과 자료에서는 이 사업명의 행을 찾지 못했고, KISA의 2026년 사업실명제는 해당 명칭의 사업이 계속 추진됨을 확인해 줍니다.

해석 한계: 2026년 105억 1,000만원·45억 1,000만원 및 2025년 내역사업 분할은 전자신문이 의원실을 통해 확인한 과기정통부 제출자료의 보도 내용이며, 정부 원 제출표를 직접 확인하지 못했습니다. 따라서 2026년 금액·분할은 보도상 잠정 확인으로 표시하고, 정부안과 국회 확정액도 구분합니다. 2026년도 국회예산정책처 심의결과 자료에서 동일 사업명의 행을 찾지 못했다는 사실만으로 예산이 0원이라고 단정하지 않으며, 별도 정보보호 사업 예산을 대신 근거로 쓰지 않습니다.

발언·각 문서의 수치 확인 · 집계 기준은 다름

“3,000건 vs 3,367만 건”은 같은 기준의 유출 규모 비교가 아니다

쿠팡 2025년 12월 25일 게시문 · 접근 계정

33000000 계정

쿠팡 2025년 12월 25일 게시문 · 저장 데이터

3000 계정

과기정통부 2026-02-10 · 내정보 수정 페이지 노출

33673817 건

개인정보위 2026-06-11 · 유출 인원

3755 만 명

임시회의록에서 이훈기 의원은 쿠팡의 SEC 제출자료에 나온 3,000건과 과기정통부의 3,367만여 건을 나란히 놓고 약 1만 1,000배 차이라고 주장했습니다. SEC 접수정보상 쿠팡은 2025년 12월 29일 사이버보안 사고를 다룬 8-K/A를 제출했지만, 첨부 Exhibit 99.1에는 날짜가 다른 회사 발표들이 함께 재수록되어 있습니다. 12월 29일 게시문은 3,370만 고객 계정에 대한 보상계획을 발표하고, 3,000건은 그 exhibit 안의 12월 25일 게시문이 “3,300만 계정에 접근했지만 약 3,000 계정의 데이터만 보관됐다”고 밝힌 수치입니다. 따라서 2025년 12월 29일 SEC 8-K/A의 제출일과 12월 25일 게시문을 구분해야 하며, 3,000건은 SEC가 독립적으로 확인한 수치가 아닙니다. 쿠팡의 2025년 10-K도 회사 설명으로 3,300만 계정 접근과 약 3,000 계정 데이터 보관을 구분해 적었습니다. 과기정통부의 2026년 2월 10일 민관합동조사 결과는 ‘내정보 수정’ 페이지의 성명·이메일 정보 노출 33,673,817건을 제시했고, 개인정보위는 6월 11일 의결에서 약 3,755만 명의 개인정보 유출을 확인했습니다. 따라서 3,000은 회사가 주장한 보관 데이터 계정 수, 3,367만여 건은 정부 조사에서 확인한 특정 페이지 노출 기록으로 서로 다른 지표이며, 이를 동일 분모의 공시·정부 수치 불일치로 단정할 수 없습니다.

해석 한계: 12월 29일 SEC 8-K/A와 2025년 10-K의 관련 설명은 쿠팡이 제출·재수록한 회사 발표이지 SEC의 독립 조사결과나 확정 사실판단이 아닙니다. Exhibit 99.1은 서로 다른 날짜의 회사 게시문을 함께 싣고 있으므로 제출일과 게시일을 혼동하지 않습니다. 과기정통부의 33,673,817건은 특정 페이지에서 확인한 노출 기록이고 개인정보위의 약 3,755만 명은 후속 의결의 인원 단위이므로, 산정범위·중복제거 기준을 확인하지 않고 서로 차감하거나 비율로 비교하지 않습니다. 허위 공시 여부를 판단하려면 공시의 정확한 문언·정의와 감독기관 또는 법원의 판단을 별도로 확인해야 합니다.