[딜사이트 권재윤 기자] 예스24가 올 상반기 두 차례 랜섬웨어 공격을 받으며 순손실로 돌아섰다. 보안체계 미흡으로 해커와의 협상이 불가피했고 협상 과정에서 발생한 비용이 잡손실로 반영된 영향이라는 업계의 분석이다. 결과적으로 미흡한 보안 대비가 실적 악화와 시장 신뢰 하락으로 이어졌다는 지적이 나오고 있다. 

예스24는 올해 6월과 8월 두 차례에 걸쳐 랜섬웨어 공격을 받았다. 랜섬웨어는 '몸값(Ransom)'과 '소프트웨어(Software)'의 합성어로 기업이나 개인의 시스템을 암호화한 뒤 이를 복구해주는 대가로 금전을 요구하는 해킹 방식이다. 

랜섬웨어의 피해를 최소화하기 위해서는 오프사이트 백업체계 구축이 필수적이다. 오프사이트 백업은 중요 데이터를 서비스망과 분리된 외부 저장소에 보관하는 방식으로 업계가 권장하는 데이터 보호 수칙 '3-2-1 원칙'의 핵심 요소다. 해당 체계가 마련되어 있지 않다면 랜섬웨어 감염 시 데이터를 복구할 방법이 없어 해커의 요구를 수용하거나 영구적인 데이터 손실을 감수해야 하는 상황에 놓이게 된다.

문제는 예스24가 오프사이트 백업 체계를 갖추지 않아 결국 해커의 요구를 수용할 수 밖에 없었다는 점이다. 한국인터넷진흥원이 올해 8월 발표한 2025년 상반기 사이버 위협 동향 보고서에서도 "정부가 지속적으로 강조해온 오프사이트 백업 체계가 YES24에는 구축되어 있지 않아 결국 공격자와의 협상으로 정상화된 점에 대해 외부 보안 전문가들의 아쉬움이 컸다"고 지적했다. 

업계에서는 예스24가 시스템 복구를 위해 해커에게 수십억원의 비용을 지출했을 것으로 보고 있다. 실제로 예스24는 2분기 실적에서 이례적으로 큰 규모의 잡손실을 계상했는데 이 항목에 해커와의 협상비용이 반영된 것으로 추정하고 있다. 잡손실은 기업의 주된 영업활동과 직접 관련이 없는 일시적 비용을 반영하는 항목으로 통상 벌금·연체료·보상비용 등이 포함된다.

금융감독원 전자공시시스템에 따르면 예스24는 올해 상반기에만 48억원의 잡손실을 기록했다. 이는 지난해 같은 기간(418만원) 대비 약 1148배 급증한 수치로 최근 5년간 연간 잡손실이 최대 2억원 수준에 불과했던 점을 고려하면 이례적인 규모다.

급증한 잡손실 탓에 예스24의 상반기 실적은 급격히 악화됐다. 예스24는 지난해 외형과 수익성 모두 개선에 성공하며 실적 개선세를 이어갔다. 2023년에는 32억원의 순손실을 기록했지만 지난해 11억원의 당기순이익을 거두며 흑자 전환에도 성공했다. 올해 1분기까지만해도 61억원의 순이익을 거두며 순항 중이었다. 

하지만 2분기에 계상된 잡손실의 여파로 기타비용이 급증하면서 예스24는 순손실로 전환했다. 구체적으로 잡손실 48억원이 기타비용에 반영되며, 기타비용은 전년 동기 1억원에서 52억원으로 급등했다. 그 결과 2분기에는 67억원의 순손실을 기록했고 상반기 기준으로도 6억원의 순적자로 돌아섰다. 

업계 관계자는 "예스24 사태의 근본 배경에는 미흡했던 데이터 보안 체계가 있었던 것으로 보인다"며 "이로 인해 재무 성과가 악화되고, 기업 이미지 하락은 물론 투자자와 소비자의 신뢰도 잃게 된 것이 뼈아프다"고 지적했다. 

한편, 예스24 관계자는 해커와의 협상 여부 및 잡손실과의 연관성에 대해 "현재 조사 중인 사항으로 구체적으로 밝히기 어렵다"며 "잡손실의 이례적인 증가 이유도 업무상 대외비에 해당해 공개하기 어렵다"고 답했다.