[관점]
국내에서 임원 보안은 의전 문제로 다뤄지는 경우가 많다. 단말을 통제하자는 제안은 불편을 주는 일로 읽히고, 개인 계정을 점검하자는 말은 선을 넘는 요구로 받아들여진다. 그래서 담당이 정해지지 않은 채 남는다.
이 백서가 유용한 지점은 문제를 개인의 보안 습관이 아니라 조직의 공격면으로 놓는다는 데 있다. 임원의 공개 정보와 개인 계정이 조직 침해의 출발점이 된다면, 그것은 임원 개인의 사안이 아니라 회사의 통제 대상이다. 이 전환이 되어야 예산과 담당이 붙는다.
SOCRadar 의 백서는 임원을 겨냥한 공격이 정밀해지고 성공률이 올라가고 있다는 관찰에서 출발한다. 원문이 인용한 FBI 집계에 따르면 2025년 한 해 업무용 이메일 침해(BEC)만으로 조직들이 입은 손실은 30억 4천만 달러였고, 조사 대상 조직의 63%가 그해 최소 한 번의 BEC 공격을 겪었다고 보고하였다. FBI 에 신고된 사이버 범죄 피해 총액은 208억 달러에 이른다.
공격의 전개 유형
백서는 임원 대상 공격을 네 갈래로 구분한다.
| 유형 | 내용 |
|---|---|
| 딥페이크 영상·음성 사칭 | 임원의 얼굴과 목소리를 합성해 지시를 위조 |
| 업무용 이메일 침해와 CEO 사칭 | 결재·송금 지시를 가장한 요청 |
| 임원 신원 도용과 사칭 | 임원 명의 계정을 만들어 대외 관계를 이용 |
| 자격증명 노출과 다크웹 거래 | 임원 개인 계정의 유출 자격증명이 거래됨 |
네 유형 모두 기술 취약점을 악용하지 않는다. 공개된 정보와 신뢰 관계를 재료로 쓴다. 임원의 직위, 대외 활동, 일정, 문체, 목소리가 모두 그 재료다.
백서가 제시하는 대응 수단
백서가 제시하는 수단은 여섯 가지다. 다크웹 상시 관찰, 자격증명·침해 노출 추적, 개인정보와 금융 정보 감시, 임원 사칭 탐지, 임계값 기반 실시간 경보, 그리고 탐지 이후의 내려받기 요청과 조치 절차다.
마지막 항목이 실질을 가른다. 탐지만으로는 사칭 계정이 사라지지 않는다. 차단까지 이어지는 경로가 있어야 대응이 완결된다.
도입 시 고려사항
백서는 구현 항목을 다섯 가지로 정리한다. 노출 평가로 시작할 것, 보호 범위를 정의할 것, 기존 보안 운영과 통합할 것, 개인 공격면을 다룰 것, 그리고 임원 본인의 동의를 확보할 것이다.
마지막 항목이 앞의 넷보다 앞선다. 개인 계정과 단말을 다루는 일이므로 본인의 이해와 동의 없이는 시작되지 않는다.
국내 적용 관점
담당을 먼저 지정해야 한다. 국내 조직에서 이 영역이 비어 있는 이유는 기술이 없어서가 아니라 누가 할 일인지 정해지지 않았기 때문이다. 정보보호 조직이 임원 개인 계정을 다룰 근거가 없고, 비서실은 보안 판단을 내릴 수 없다. 두 조직이 함께 참여하는 절차를 만들고 책임 범위를 문서로 정하는 것이 첫 단계다.
기술 조치보다 설명이 앞선다. 개인 단말과 계정을 다루는 일이므로 임원 본인의 협조가 전제다. 무엇을 관찰하고 무엇은 관찰하지 않는지, 수집한 정보를 어디까지 쓰는지를 먼저 합의해야 한다. 이 합의가 없으면 도입해도 운영되지 않는다.
딥페이크 대응은 기술이 아니라 절차로 시작해야 한다. 음성이나 영상으로 전달된 지시를 검증하는 절차를 미리 정해 두는 편이 탐지 기술보다 확실하다. 금액 기준을 넘는 결재나 계좌 변경 요청은 별도 경로로 재확인한다는 규칙 하나가 상당 부분을 차단한다. 국내 기업에서 자금 관련 사고가 이 절차의 부재에서 발생한 사례가 반복되어 왔다.
개인정보 보호 요건과 함께 설계해야 한다. 임원 개인의 노출 정보를 수집·보관하는 활동이므로 국내 개인정보 보호법의 적용을 받는다. 수집 항목과 보관 기간, 처리 위탁 여부를 사전에 정리하지 않으면 나중에 절차를 다시 밟게 된다.
보호 대상 범위를 좁게 시작해야 한다. 전체 임원으로 시작하면 동의 확보와 운영 부담이 함께 커진다. 대외 노출이 크고 자금 권한이 있는 소수부터 시작해 절차를 확인한 뒤 넓히는 편이 실제로 굴러간다.
검토 회의에서 확인할 항목
질문 1 임원 개인 계정·단말 보호의 담당 조직이 지정되어 있는가?
질문 2 음성·영상 지시를 검증하는 별도 경로가 규정되어 있는가?
질문 3 계좌 변경과 고액 결재의 재확인 절차가 문서로 존재하는가?
질문 4 수집할 노출 정보의 범위와 보관 기간을 정했는가?
질문 5 1차 보호 대상을 몇 명으로 할 것인가?출처 · SOCRadar, Executive Digital Protection — Why Your C-Suite Is Your Most Exposed Asset (2026-07). 인용한 피해 규모는 원문이 인용한 FBI 집계이며 국내 수치가 아니다.