[2026 국감] PHP 보안 구멍부터 LG유플 해킹 은폐 논란까지…사이버 보안 도마(종합)

PHP 취약점 대응부터 대통령 외부 AI 이용 논란까지…범부처 대책 마련 예고

프론티어 AI 사업 추진 배경·데이터센터 세제 혜택 질의 이어져

LG유플러스 해킹 사고 증거 보존·위약금 면제 여부 집중 추궁

쿠팡 개인정보 유출·과징금 불복 소송에도 과기정통부 협조 약속

23일 국회 과학기술정보방송통신위원회 종합감사에서 배경훈 과기정통부 장관(왼쪽)이 한준호 더불어민주당 의원의 질의에 답하고 있다.국회방송 캡처

23일 열린 국회 과학기술정보방송통신위원회 종합국정감사에서 PHP 취약점에 따른 사이버 보안 위협과 대통령의 외부 인공지능(AI) 서비스 이용 논란, 프론티어 AI 사업 추진 배경 등이 도마 위에 올랐다.

배경훈 부총리 겸 과학기술정보통신부 장관은 범부처 차원의 사이버 보안 종합대책을 마련하겠다고 밝혔으며,홍범식 LG유플러스 대표는 해킹 사고와 관련해 사법당국의 판단에 따른 책임과 이용자 보호 조치를 약속했다.

PHP 취약점 대응 도마…정부, 범부처 종합대책 예고

이날 서울 여의도 국회에서 열린 과방위 종합국정감사에서는 PHP 취약점에 따른 사이버 보안 위협이 도마 위에 올랐다.

서천호 국민의힘 의원은 “국내 웹사이트의 약 80%가 PHP(하이퍼텍스트 전처리기)를 사용하고 있다”면서 "인증 없이도 침투할 수 있는 AI가 발견됐고, 여러 국가에서 세계적인 대규모 해킹 위협으로 문제를 제기하고 있다"고 지적했다.

서 의원은 정부가 관련 취약점을 뒤늦게 인지하고 사후 조치에 그쳤다고 지적했다.

최형두 국민의힘 의원도 사이버 보안 대응의 실효성을 문제 삼았다. 최 의원은 “정부는 PHP 재단이 패치를 발표한 뒤 관련 공지를 기계적으로 전달하는 데 그쳤다"면서 "은행만의 문제가 아니다. 카드·보험·증권 등 금융권 전반으로 조사를 확대해야 한다"고 지적했다.

최우혁 과기정통부 정보보호네트워크정책실장은 PHP 관련 취약점을 "21일 밤 11시에 확인하고 11시 20분에 안내 공지를 했다"고 설명했다. 그는 "공지에는 즉시 패치를 업그레이드하고, 패치가 불가능한 경우 오프라인으로 운영하라는 내용을 담았다"고 밝혔다.

최 실장은 22일 대응 수준을 상향하고 최고정보보호책임자(CISO) 2만8000명에게 대응을 요청했으며, 주요 정보통신 기반시설 111곳에도 신속한 업그레이드를 안내했다고 말했다. 정보보호 및 개인정보보호 관리체계(ISMS) 관련 1000여개 기관에도 조치를 안내했다고 덧붙였다.

김장겸 국민의힘 의원(왼쪽)이 23일 국회 과학기술정보방송통신위원회 종합국정감사에서 배경훈 부총리 겸 과학기술정보통신부 장관에게 질의하고 있다..인터넷의사중계시스템 캡처

배경훈 부총리 겸 과기정통부 장관은 서 의원의 지적에 공감하며 “정부 차원에서도 문제의식을 심각하게 받아들이고 대응 방안을 마련하고 있다”고 밝혔다. 이어 “국가안보실의 컨트롤타워 역할을 넘어 범부처 차원의 종합대책을 마련하고, 관련 조직을 어떻게 구성할지 검토하고 있다. 조만간 발표하겠다”고 말했다.

대통령 외부 AI 이용 기록 전수조사 주장…모두의 AI 책임도 쟁점

김장겸 국민의힘 의원은 이재명 대통령의 구글 생성형 인공지능(AI) 서비스 ‘제미나이’ 활용 논란과 관련해 대통령과 참모진의 외부 AI 이용 기록을 전수조사해야 한다고 주장했다.

김 의원은 “이재명 대선 후보 당시 대선 1호 공약이 전 국민에게 무료 AI 서비스를 제공하는 ‘모두의 AI’였지 않느냐”며 “지금 대통령께서 국무회의에서 중수청장 배석 문제를 제미나이에 물어봤다고 해서 논란이 거세다”고 말했다.

배 부총리는 “이미 대통령께서 관련해서 언급을 하셨다”며 “AI를 활용해 질문하기 이전에 대통령께서 직접 국무회의 방식에 대한 의지를 밝혔다고 본다”고 답했다. 이어 “AI를 활용해 또 다른 의견이 있다는 것을, 일종의 소수 의견을 AI를 통해 전달한 것이지 이미 대통령께서는 국무회의 방식에 대한 의지를 전달하셨다고 보고 있다”고 말했다.

그러자 김 의원은 안철수 의원의 지적을 인용해 “이 대통령은 제미나이 답변만 공개했을 뿐 정작 어떤 질문을 했는지 밝히지 않았다”며 “어떤 정보를 입력하거나 자료를 첨부했는지, 해당 자료의 보안 등급은 무엇인지 전혀 확인되지 않았다”고 말했다.

이어 “과거에도 대통령으로서 취득한 비공개 국정자료나 민감한 정책정보 등을 AI에 제공한 적이 있는지 철저히 규명해야 한다”며 “제미나이의 답변만 공개한 채 법률 조항을 확인했을 뿐이라는 해명으로는 국가정보 유출에 대한 우려를 해소할 수 없다”고 주장했다.

배 부총리는 “보안상 각각의 국무위원도 AI를 활용해 여러 가지 정보를 취득할 것”이라며 “다만 제미나이나 일반적으로 사용되는 해외 AI 서비스들은 보편적인 사용을 원칙으로 하고 있고, 민감한 정보에 대한 내용을 AI가 학습하고 있는 것은 아니기 때문에 일반적인 정보를 검색하고 참고하는 용도로 활용하는 것”이라고 말했다. 이어 “관련 사항에 특별한 보안 이슈나 법적 이슈가 있다고 보기에는 어렵다”고 답했다.

(자료 : 김남국 의원실).국회방송 캡처

김 의원은 이에 대해 “그것을 어떻게 입증하느냐”며 대통령과 참모진의 외부 AI 이용 기록을 전수조사해야 한다고 주장했다. 그는 “사전 보안 검토와 이용 기록 전수조사, 입력 정보의 저장 여부, AI 학습 활용 설정까지 조사하고 밝혀야 한다”며 “지금까지 안 돼 있다면 지금이라도 시행해야 하는 것 아니냐”고 말했다.

이어 “이것은 국가기밀이 빠져나가는 문제”라며 “북한의 해킹이라든지 여러 위협 세력이 있지 않느냐”고 지적했다. 또 “국가 최고위 공직자가 국정자료를 자의적으로 민간 AI에 입력하고 직무상 비밀을 누설했다면 명백한 위법행위라는 지적에 동감한다”며 “AI 주무 부처인 배경훈 부총리가 자리를 걸고 해결해야 한다”고 촉구했다.

프론티어 AI 사업 방식·데이터센터 세제 혜택 질의

프론티어 AI 사업 추진 배경에 대한 질의도 나왔다.

배 부총리는 사업 추진 배경과 관련해 "미토스발 사태가 발생하면서 우리나라도 프론티어 AI를 확보할 수 있는지에 대한 논의와 질문이 계속 있었다"고 밝혔다.

사업 방식은 당초 기존 독파모 3차 평가에서 최종 선정된 두 기업에 프론티어 AI 모델 개발을 맡기는 방안으로 기획됐다고 밝혔다.

배 부총리는 "기존 독파모는 GPU 약 1000장을 지원하는 사업인데, 여기에 갑자기 1만장 이상의 GPU를 지원하면 특정 기업에 대한 몰아주기 논란이 생길 수 있다고 판단했다. 처음에는 출연사업으로 기획했지만, 재정 당국과 논의하는 과정에서 사업 방식이 변경됐다"고 설명했다.

배 부총리는 "기존 독파모와 프론티어 AI 사업은 모두 GPU 지원사업의 연장선에 있다"면서도 "특정 기업에 지원이 집중될 수 있다는 우려가 있어 새로운 사업을 공고하고 출자 방식으로 추진하는 것이 적절하다고 판단했다"고 말했다.

모델 규모와 관련해서는 독파모가 3000억~1조개 수준의 파라미터 규모인 반면, 프론티어 AI는 2조~10조개 수준을 목표로 한다고 설명했다.

다만 특수목적법인(SPC)을 설립할지, 다른 형태로 사업을 추진할지는 아직 확정하지 않았다고 했다. 배 부총리는 최적의 방안을 마련하겠다고 밝혔다.

(자료 : 박정하 의원실).국회방송 캡처

정부의 8.4GW 규모 인공지능(AI) 데이터센터 구축 계획과 관련해 전력·인허가 규제 완화와 세제 혜택을 조속히 확정해야 한다는 주장도 나왔다.

김남국 더불어민주당 의원은 김 의원은 "말레이시아가 파격적인 법인세 혜택으로 글로벌 빅테크 기업의 투자를 유치하고 있다"며, 국내에서도 자가 구축형뿐 아니라 코로케이션 및 인프라 제공형 AI 데이터센터에 국가전략기술 세액공제가 적용되도록 해야 한다고 강조했다.

김 의원은 "현행 세법을 단순하게 적용하면 임대형 데이터센터가 부동산 임대업으로 분류돼 세액공제를 받을 수 있는지 걱정하는 상황"이라고 지적했다.

배 부총리는 “현재 AI 데이터센터는 조세특례제한법상 국가전략기술 사업으로 지정돼 세제 혜택을 받는다”면서도 “임대형 AI 데이터센터의 경우에는 세제 혜택이 없다”고 밝혔다. 이어 “재정 당국과 빠르게 협의해 해외 자본도 잘 유치할 수 있도록 준비하고 추진하겠다”고 답했다.

정부가 추진하는 ‘모두의 AI’ 서비스에서 오류가 발생할 경우 책임 소재와 배상 방안을 명확히 해야 한다는 주장도 나왔다.

김장겸 국민의힘 의원은 “여러 업체가 컨소시엄으로 참여하고 다중 모델 구조로 돼 있어 책임 소재가 흐려질 수 있다”며 “문제가 발생하면 누가 책임지는 것이냐”고 물었다.

김 의원은 “‘모두의 AI’라고 하니 국가가 배상해 줄 것처럼 인식하고 있다”며 “그런데 국회입법조사처에 답변을 받아 보니 국가 배상은 불가능하다고 한다”고 말했다. 그러면서 “이 부분을 고려하지 않은 것 아니냐”고 지적했다.

이에 배 부총리는 “모델은 다중 모델을 사용하지만, 각 서비스에는 사업 주체들이 있다"면서도 "참여기관 간 책임 분담을 명확히 해 이용자의 입증 부담을 줄이려고 하고 있다”고 답했다.

(자료 : 최형두 의원실)국회방송 캡처

LG유플러스 해킹 은폐 의혹·증거 보존 집중 추궁

기업 관련으로는 LG유플러스의 해킹 사고 은폐 의혹이 집중 추궁 됐다.

조경태 국민의힘 의원은 "수사 결과 LG유플러스가 해킹 사실을 고의로 숨겼거나 조사 방해 사실이 확인된다면 위약금은 어떻게 면제하겠는가"라고 물었다.

홍 대표는 “수사를 받고 있는 상황이다. 따라서 사법당국의 판단이 나오고 정부의 지침이 있으면 그에 맞는 합당한 책임을 다하겠다”며 “오늘 이 자리에서 위원들 앞에 약속드린다”고 말했다.

이훈기 더불어민주당 의원도 고의적인 해킹 은폐가 확인되면 번호이동 위약금을 면제할 것인지 물었다. 홍 대표는 “이유 여하를 막론하고 여러 가지 불편을 야기한 점에 대해 대단히 송구스럽게 생각한다. 사법당국의 판단에 따라 저희가 조치할 수 있는 모든 고객 보호 및 이용자 보호 활동을 반드시 하겠다고 약속드리겠다”고 말했다.

한준호 더불어민주당 의원은 LG유플러스 해킹 사고와 관련해 서버 이중화 구조를 조사기관에 제대로 알리지 않고 감염 서버를 이미징하지 않은 채 운영체제(OS)를 재설치한 점을 지적했다.

한 의원은 홍관희 LG유플러스 정보보호최고책임자(CISO)에게 “(서버) 이중화 구조를 한국인터넷진흥원(KISA) 측에 알리지 않았고, 감염된 서버는 이미지를 뜨지도 않은 상태에서 OS를 재설치했다”고 지적했다.

한 의원은 "OS 재설치하면 왜 위험한가, 메모리 정보가 재부팅할 때 대부분 다 소실된다"고 지적했다. 홍 CISO는 "메모리 정보는 대부분 소실된다"고 인정했다.

한 의원은 OS를 재설치하면 메모리 정보가 사라지고 악성코드 파일도 삭제될 가능성이 있다며, "중앙 로그 별도 저장장치도 없고 백업도 안 해 놓고, 이미지를 대부분 확보하지 않으면 침해 원인 규명 자체에 아주 중요한 시기를 다 놓친다. 지금 한 달 이상을 끌었다"고 지적했다.

이어 “증거를 없애 피해를 확인하지 못하도록 한 것 아니냐는 문제 제기를 하고 있는 것”이라며 증거 보존 과정의 문제를 제기했다.

한 의원은 배경훈 부총리 겸 과학기술정보통신부 장관에게 “이런 식으로 증거가 인멸돼 피해를 확인하지 못하면 나중에 고스란히 국민에게 피해가 갈 수 있다”며 관련 문제를 보완할 정책적 대안을 마련하고 해당 사안을 끝까지 챙겨 달라고 요청했다. 배 부총리는 “그렇게 하겠다”고 답했다.

조경태 국민의힘 의원(왼쪽)이 23일 국회 과학기술정보방송통신위원회 종합감사에서 홍범식 LG유플러스 대표에게 질의하고 있다.인터넷의사중계시스템 캡처

쿠팡 개인정보 유출·과징금 불복 소송도 거론

이훈기 더불어민주당 의원은 쿠팡의 개인정보 유출 규모 공시와 과징금 불복 소송 문제를 제기했다. 쿠팡이 6250억원 규모의 과징금 처분에 불복해 행정소송을 제기한 점도 지적했다.

배 부총리는 과징금 처분과 관련해 “행정소송 당사자는 개인정보보호위원회에 해당하지만, 과기정통부가 적극 협조하겠다”고 답했다.