[2026 국감] 배경훈 “PHP 취약점 대응 범부처 종합대책 마련…조직 구성 검토”

최우혁 “취약점 확인 20분 만에 공지”…CISO 2만8000명·기반시설 111곳 대응 요청

(자료 : 최형두 의원실)국회방송 캡처

배경훈 부총리 겸 과학기술정보통신부 장관이 PHP 취약점에 따른 사이버 보안 위협에 대응하기 위해 범부처 차원의 종합대책을 마련하고 관련 조직 구성도 검토하겠다고 밝혔다.

서천호 국민의힘 의원은 23일 국회 과학기술정보방송통신위원회의 과학기술정보통신부 등 종합감사에서 “국내 웹사이트의 약 80%가 PHP(하이퍼텍스트 전처리기)를 사용하고 있다”면서 "인증 없이도 침투할 수 있는 AI가 발견됐고, 여러 국가에서 세계적인 대규모 해킹 위협으로 문제를 제기하고 있다"고 지적했다.

서 의원은 정부가 관련 취약점을 뒤늦게 인지하고 사후 조치에 그쳤다고 지적했다.

이어 그는 선진국들은 이미 통합 대응 체계를 갖추고 있다고 설명했다. 서 의원은 "미국에서는 문제가 해결될 때까지 오프라인으로 전환하라고 경고했고, 일본에서는 정부와 주요 기업의 외부 공격 접속을 차단하라고 했다"고 말했다.

이어 “사이버테러 대응에서는 속도와 예방이 중요하다”며 "총리실이든 과기정통부 부총리 소속이든 범정부 차원의 통합 대응체계를 갖춰야 한다"고 강조했다.

최형두 국민의힘 의원도 사이버 보안 대응의 실효성을 문제 삼았다. 최 의원은 “정부는 PHP 재단이 패치를 발표한 뒤 관련 공지를 기계적으로 전달하는 데 그쳤다"면서 "은행만의 문제가 아니다. 카드·보험·증권 등 금융권 전반으로 조사를 확대해야 한다"고 지적했다.

이어 "종합적으로 파악해 과학기술정보통신부가 사이버 안전의 최고 사령탑이라는 점을 보여줘야 한다"고 촉구했다.

특히 롯데카드가 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받았음에도 개인정보 유출 사고가 발생한 점을 언급하며, 인증 받은 지 2주 만에 297만명의 개인정보가 유출됐다고 지적했다. 그는 “보안은 비용이 아니라 투자라는 인식을 갖도록 정부가 규제 환경을 만들어야 하는 데 그렇지 못하고 있다”고 꼬집었다.

최 의원은 클라우드를 사용하는 기업 134곳이 서버나 데이터 등 핵심 시스템을 심사 대상에서 제외하고 있다는 자료도 거론하며, 클라우드 시대인데도 보안 관리체계가 제대로 잡혀 있지 않다고 지적했다.

이에 최우혁 과기정통부 정보보호네트워크정책실장은 PHP 관련 취약점을 "21일 밤 11시에 확인하고 11시 20분에 안내 공지를 했다"고 설명했다. 그는 "공지에는 즉시 패치를 업그레이드하고, 패치가 불가능한 경우 오프라인으로 운영하라는 내용을 담았다"고 밝혔다.

최 실장은 22일 대응 수준을 상향해 최고정보보호책임자(CISO) 2만8000명에게 대응을 요청하고, 주요 정보통신 기반시설 111곳에도 신속한 업그레이드를 안내했다고 말했다. ISMS 관련 1000여개 기관에도 조치했다고 덧붙였다.

배경훈 부총리 겸 과기정통부 장관은 서 의원의 지적에 공감하며 “정부 차원에서도 문제의식을 심각하게 받아들이고 대응 방안을 마련하고 있다”고 밝혔다. 이어 “국가안보실의 컨트롤타워 역할을 넘어 범부처 차원의 종합대책을 마련하고, 관련 조직을 어떻게 구성할지 검토하고 있다. 조만간 발표하겠다”고 말했다.