우리 세 사람이 그토록 절박했던 이유는 단 하나였다. 이들을 만나야만 2020년대 이후 한국을 뒤흔드는 중인, 그래서 우리가 인지하고 있는 몇몇 해킹 사건들이 고작 빙산의 한 조각일 뿐이었음을 증명할 수 있었기 때문이다. 수면 아래에선 훨씬 큰 빙산의 본체가, 마치 실핏줄이 터진 것처럼 구석구석까지 금이 간 채 신음 한번 내지 못하고 방치되어 있었다. 그리고 그 거대한 빙산이 언제 깨져도 이상하지 않을 위태로운 상태라는 걸 세상에 알려야 했다. 보이지 않는 위험은 대비할 수 없고, 드러나지 않은 상처는 치유될 수 없다.

우리가 취재를 통해 목격한 대한민국은 이미 해킹이 ‘완료된’ 상태였다. 현재진행형이라기보단 과거완료형에 가깝다고 느껴졌던 그 재난의 실체는, 이미 이 사회를 조용히 집어삼킨 뒤였다. 그게 이 책의 제목을 ‘한국은 해킹되었습니다’라고 지은 이유다. 이제는 해킹을 향한 오해와 착각에서 벗어날 차례다.
--- 「프롤로그」 중에서

하지만 이렇게 해킹 사실이 외부에 노출되는 기업들은 빙산의 일각이다. 이들과 비교조차 할 수 없을 만큼 많은 기업들이 은폐를 택한다. 공장을 중심으로 하는 제조업이나 일부의 기업 고객만 상대하는 서비스업종은 마음만 먹으면 얼마든지 사건을 숨길 수 있다. 내부 입단속만 신경 쓰면 외부에서 해킹 사실을 알아채기 힘들다. 그래서 대부분의 기업은 신고는 생각하지도 않고 암암리에 해커와 대신 협상해 주는 팀을 찾는 쪽을 택한다.
--- 「1장 신고 안 하는 게 당연한 거라고?」 중에서

결국 ‘대한민국은 제조업 중심 국가다’라는 명제는 ‘해킹은 곧 대한민국의 문제다’라는 현실과 동의어가 된다. 우리가 외면했던 중소 제조기업 공장들의 허술한 보안시스템은, 알고 보면 대한민국 경제 전체의 안보를 무너뜨릴 수 있는 엉성한 최전선 방어 기지였던 셈이다. 해킹을 당한 뒤 은폐하는 대다수의 기업이 있다는 현실을 감안한다면, 해킹은 결코 더 이상 어느 영역에만 국한된 사이버범죄에 그치지 않는다. 해킹은 국가 경제의 근간을 뒤흔드는 공포이며, 제조업이라는 심장을 가진 대한민국의 운명을 결정짓는 위협이다.
--- 「2장 가장 쉬운 먹잇감」 중에서

이런 일련의 사태들을 지켜보면서 결국 대한민국의 상명하복 문화는 사이버보안에 독이 되면 독이 됐지, 득이 될 건 하나도 없겠다는 생각이 들었다. 윗사람이 직무유기식 명령을 내리면 아무것도 모르는 말단 직원도 순식간에 회사를 수렁으로 빠뜨릴 수 있다는 점에서 그러했다. 날로 진화하는 해킹의 덫에 걸릴 수 있는 건 윗사람이든 아랫사람이든 마찬가지다. 그렇기에 윗사람에게 반기를 들지 못하는 이 문화는 더욱 위험하다. ‘실수’는 직급을 가리지 않기 때문이다.
--- 「3장 신입사원은 죄가 없다」 중에서

우리가 1부의 각 장에서 짚어봤듯, 해킹은 나날이 교활한 사냥꾼이 되고 있는 해커와 그럼에도 불구하고 보안 의식은 제로인 기업, 네 탓만 하고 해결할 능력은 없는 정부가 함께 빚어낸 재앙이다. 이 세 주체가 각자의 자리에서 방치되고 얽혀들면서, 해킹은 우리 모두의 일상과 안전을 위협하고 공격하는 구조적 폭력이 되었다. 이러한 한국 사회에서 ‘완벽한 방관자’는 존재할 수 없다. 당신이 오늘 해킹당하지 않았다고 해서 피해자 명단에서 제외되는 것이 아니란 의미다. 당신 역시 이 무책임한 시스템이 떠넘긴 불안을 온몸으로 감당해야 하는, 해킹의 제일 마지막 단계에서 가장 아플 수밖에 없는 희생자이다. 해킹이라는 재난은, 그렇게 우리 모두의 곁으로 다가왔다.
--- 「4장 해킹 피해의 종착지」 중에서

다른 나라의 경제적·정치적인 문제는 국경 없는 인터넷을 통해 타고 들어와 한국의 재난이 된다. 이 흐름을 제대로 파악하는 것이 중요한 이유는 일련의 해킹 사태를 해커들의 ‘먹고사는 문제’로 바라봐야 하기 때문이다. 과거 국가의 후원을 받던 해커들은 특정한 전략적 목표를 위해 일사불란하게 움직였지만, 이제 시장에 풀린 ‘생계형 해커’들은 당장의 돈을 위해 물불을 가리지 않는다. 그들에게 한국의 사회기반시설은 털어선 안 될 금기가 아니었다. 단지 아직 털리지 않은 지갑이었을 뿐이다.
--- 「5장 그 놈 키보드」 중에서

랜섬웨어에 당한 기업들이 살아남는 일에 목숨을 걸어야 한다는 걸 상기한다면, 이런 시장이 생긴 배경은 갈급한 수요에 따른 공급의 자연스러운 증대처럼 가장 원초적인 경제 논리와 맞닿아 있다고 볼 수 있다. 모든 게 마비된 회사는 손해를 막기 위해 하루라도 더 빨리 대응해야 하고, 피해 사실이 외부로 새어나가지 않게 철저히 은폐해야 한다. 평소처럼 공장이 제대로 돌아가고 업무를 다시 정상화할 수 있는 가시적인 결과를 최대한 빠르게 얻어내야 한다. 얼굴도 모르는 해커와 협상에 나서서 수천만 원, 수억 원을 뜯긴다 해도 그건 기업 입장에서는 그만한 값어치가 있는 선택이다. 공권력의 부재라는 X축과 생존을 향한 절실함이라는 Y축이 만나 좌표를 찍은 회색지대가 바로 이 지점이었다.
--- 「6장 음지의 해결사」 중에서

더 씁쓸했던 것은 피해기업이 이렇게 이중으로 착취당했음에도 악어새를 처벌하고 금전적인 피해보상을 받기 위해서 소송만 제기했을 뿐, 정부에 ‘사실 내가 랜섬웨어 해킹을 당했다’는 신고를 뒤늦게나마 했다는 흔적은 어디에도 없었다는 점이다. 신고하는 순간 ‘보안에 실패한 무능한 기업’이라는 주홍 글씨가 새겨지고, 해커에게 뜯긴 몸값보다 더 혹독한 사회적·법적 책임을 져야 한다는 것을 본능적으로 알아챘기 때문일 것이다.
--- 「7장 악어와 악어새」 중에서

사이버보안은 외부의 공격으로부터 내부를 보호하는 육중한 철문이다. 하지만 완벽하게 닫혀만 있는 문은 없다. 아무리 바깥세상과 단절하려 애써도, 누군가 문을 활짝 열어버리면 그 육중함은 순식간에 무력해진다. 그리고 한국 사회에서 이 위험천만한 문의 개폐 권한은 오직 화이트해커들의 선택과 양심에 맡겨져 있었다. 아슬아슬한 경계선에 매달린 이 위태로운 균형을 무엇으로 지켜낼 수 있을까. 어떻게 하면 ‘선을 지키는 일’이 부정한 일탈보다 그들에게 더 매력적인 선택이 되도록 만들 수 있을까.
--- 「8장 아슬아슬한 경계선」 중에서

그리고 이 시스템이 퍼뜨리는 공포는 위협의 주체 혹은 범위를 가늠할 수 없는 두려움, 바우만이 말한 ‘액체 공포(Liquid Fear)’ 그 자체다. 그 공포는 종각역 앞의 어느 시민이 들려준 말처럼, “언제, 어느 경로로, 누구 손에 들어가 내게 어떤 공격으로 돌아올지 모른다”는 찜찜함과 같다. 다크웹은 우리 모두가 그 예측할 수 없는 찜찜함을 일상에서 안고 살아가도록 강제한다. 이 어둠의 시장이 영속하는 한 우리의 끈적한 불안은 결코 사라지지 않을 것이다.
--- 「9장 8일 23시간 48분 56초」 중에서

이제 우리가 상대하고 싸워야 할 대상은 더 이상 해커라는 인간이 아니다. 오직 돈과 수익률이 목적인, ‘추적 불가능한’ 비트코인과 ‘해킹 실력조차 필요 없는’ RaaS가 구축한 거대하고 자동화된 ‘해킹 범죄 공장’ 그 자체다. 이 범죄 공장의 컨베이어벨트 앞에서 왜 하필이면 우리가 당해야 하느냐는 질문은 공허하다. 자동화된 공장은 대답을 하지 않는다. 그저 가장 취약하고, 가장 돈이 되는 다음 원재료를 찾아 이윤을 남길 뿐이다. 이것이 바로 이 공장의 연료인 비트코인이 만들어낸 새로운 세상이자 우리의 일그러진 자화상이다.
--- 「10장 나를 키운 건 8할이 코인이었다」 중에서

빨리빨리 문화나 냄비 근성 같은 여타의 한국적인 특성 중에서도 유독 ‘대문 열고 살던 DNA’가 위험한 이유도 여기에 있다. 공동체 내부의 신뢰를 외부 세계에 대한 경계심 없이 디지털 공간에까지 확장해 버리는 낙관적 방심. 이것은 사이버 세계의 생존 문법 자체를 아예 모르고 있다는 치명적인 약점을 적 앞에 그대로 드러내는 것과 다름없다.
--- 「11장 대문 열고 살던 한국인 DNA」 중에서

먹고사니즘은 이런 악조건 속에서 살아남아야 했던 기업인들에게 굳은살처럼 배인 관성이었다. 하지만 평생 그들을 버티게 했던 생존 전략은 이제 아킬레스건이 됐다. 안전벨트 착용을 놓쳐버린 소방관처럼 눈앞의 생존에만 집중한 나머지 해커라는 새로운 적을 감지하지 못하게 된 것이다.
--- 「12장 먹고사니즘에 매몰된 결과」 중에서

한국처럼 편리함을 선(善)이자 미덕으로 여기는 사회에서는 보안이 마지막 순위로 밀려나기 쉽다. 보안은 본질적으로 불편함을 요구하기 때문이다. 추가 인증을 요구하고, 정기적인 비밀번호 변경과 업데이트 의무를 부여하며, 네트워크를 분리하는 수고를 감수하게 만드는 것처럼 말이다.
--- 「13장 좋은 게 좋은 것이 아니다」 중에서

하지만 이번 취재는 내게 뼈아픈 교훈을 남겼다. 때로는 가장 편리하게 차려진 밥상이, 그럴듯하게 포장돼 먹음직스러워 보이는 그 음식이 독이 될 수 있다는 것. 정부가 자신들이 유리한 판대로 짜놓은 알리바이를 무비판적으로 수용하고 대중에게 유통하는 순간, 기자들은 사실을 보도하고 진실을 전달하는 감시자가 아니라 현실을 왜곡하는 공모자가 되어버린다. 내가 본 통계의 진짜 비극은 그것이 틀렸다는 사실을 넘어, 아무도 그것이 틀렸다는 걸 몰랐던 현실 자체에 있다.
--- 「14장 국가 해킹 통계부터 잘못됐다」 중에서

일련의 해킹 사태는 우리에게 묻는다. 사이버 공간에서 국가는 어떤 역할을 해야 하는가. 기업과 국민을 보호한다는 것은 무엇을 의미하는가. 이건 KISA의 가이드라인처럼 현실적인 쟁점과 해결 방안을 전혀 반영하지 못하는 원칙만 늘어놓거나, 위약금 같은 눈앞에 놓인 떡 하나를 더 먹여주는 일이 아니다. 기업이 해킹을 당했을 때 가장 먼저 전화할 곳이 음지의 협상가가 아니라, 망설임 없이 국가가 되도록 만드는 것이다. 해킹 위협을 줄여나갈 제도와 환경을 철저하게 마련하는 것이다.
--- 「15장 정부가 예스24에 매달렸던 이유」 중에서

대통령실이나 부처에서 아무리 AI 시대에 적합한 사이버보안 전략을 내놓는다고 해도, 국회가 이를 뒷받침할 법안과 예산을 마련해 주지 않으면 모든 전략은 ‘그림의 떡’에 불과하다. 시대에 맞게 국회도 변해야 한다. 기술과 보안에 경험이 있는 의원들이 국회에 존재한다면, 이들이 건설적인 비판까지 멈추지 않는다면, 사이버보안 정책은 정쟁에 휘둘리지 않은 채 한 발짝을 내딛더라도 늦지 않은 시기에, 비로소 올바른 방향을 향해 나아갈 수 있다.
--- 「16장 ‘내가 해봐서 아는데’의 힘」 중에서

그의 대답을 듣고 효과적인 정책은 인간의 본성을 바꾸려 하지 않는다는 깨달음이 선명해졌다. 좋은 정책은 오히려 본성을 정확하게 이해하고, 그 물길을 사회에 유익한 방향으로 돌리는 데 초점을 맞춘다. 그게 영리한 정책 설계의 핵심이다. 지금까지 기업 보안에 관한 정부의 접근은 ‘알아서 투자하라’는 식이었다. 비용을 따지는 기업인들의 본능을 ‘계몽’하려 했다. 하지만 바람이 아닌 햇살에 코트를 벗은 나그네의 이야기처럼, 훈계나 처벌보다 세금 감면이라는 경제적 유인이야말로 우리 사회의 바탕을 이루는 풍토를 변화시키는 데 훨씬 더 강력한 효과를 낼 수 있다. 국가가 해커의 목덜미를 직접 휘어잡을 수 없다면 기업들이 스스로 방패를 들도록 ‘게임의 룰’이라도 바꿔주는 게 마땅한 일 아닌가.
--- 「17장 호환, 마마보다 무서운 세금 활용법」 중에서

그럼에도 우리나라 정부 기관들이 이권 다툼에서 벗어나지 않고 따로따로 흩어져 해킹 대응을 제대로 하지 못한다면? 랜섬웨어로 기업들을 괴롭힌 진짜 범인을 잡겠다는 의지와 노력을 보여주지 않는다면? 앞으로 어떤 결과를 맞이할지는 불 보듯 뻔한 일이다. 국제 해킹 조직 사이에서 ‘한국은 별 5점짜리 가성비 맛집’이라는 인식이 통용되고, 해커들은 한국에 오고 또 올 것이다. 그러니 일단은 단 한 건이라도 좋으니 FBI처럼 우리나라도 해커에게 결정적인 타격을 주는 성공 경험을 만들어내야 한다. 여기서 말하는 성공의 경험이란 KT 사건처럼 국내의 행동책 정도를 검거하는 수준의 성과가 아니다. 그것은 국경 너머에 있는 적을 찾아내 무력화시키고, 그들이 착취한 비트코인을 추적해 빼앗아 오는 전쟁 수준의 승리여야 한다.
--- 「18장 기는 KISA, 뛰는 해커, 나는 FBI」 중에서

다행히 우리의 절박한 두드림은 곳곳에서 의미 있는 반향을 일으켰다. 요지부동이던 정부와 국회가 무너진 외양간을 고칠 정책들을 하나둘씩 내놓기 시작했다. 정부는 중소기업의 보안 대책을 강화할 방안을 구체화했고, 연내 국가 사이버안보 전략을 발표할 계획이다. 국회에서는 세금 혜택을 포함해 우리나라 기업들이 자발적으로 보안시스템에 투자할 수 있도록 하는 법안도 발의됐다. 무엇보다 한국기자협회까지 우리 기사가 한국 사회에 던진 묵직한 파급력을 인정해 ‘이달의 기자상’으로 우리의 손을 들어주었다.

2025년이 저물어가는 이 순간까지도 해킹 소식은 끊이지 않고 들려온다. 우리는 이 책을 통해 정부의 무능과 안일함을 날 서게 고발했다. 하지만 이는 비판을 위한 비판이 아니다. 그것은 정부가 뒷짐 진 ‘심판자’의 안락한 의자에서 내려와야 한다는 주문이다. 대신 해킹당한 기업을 양지로 이끌어내는 ‘조력자’가 되어 함께 뛰어달라는 요구다. 결국 그 보이지 않는 위협으로부터 우리의 삶을 지켜내는 힘은, 우리 사회 전체가 공유하는 진실과 연대에서 나온다는 믿음이다.