[딜사이트 이태민 기자] 지난해 게임업계에선 넥슨 '블루아카이브' 콘텐츠전송네트워크(CDN) 해킹, 위메이드 '위믹스' 가상자산 탈취, 넷마블의 대규모 개인정보 유출 등 보안 사고가 잇따랐다. 하지만 국내 주요 게임사 대부분은 여전히 매출의 1%에도 못 미치는 수준을 정보보호에 투자하는 데 그친 것으로 나타났다. 반복되는 보안 사고에도 정보보호 투자가 실제 위협 수준에 걸맞게 이뤄지고 있는지 점검이 필요하다는 지적이 나온다.

정보보호 투자액 1위 넥슨코리아…매출 대비 비중은 컴투스 ‘톱’

20일 한국인터넷진흥원(KISA) 정보보호공시종합포털에 따르면 국내 주요 게임사 가운데 정보보호에 가장 많이 투자한 기업은 넥슨코리아로 나타났다.

넥슨코리아는 2025년 정보보호 부문에 약 265억5300만원을 투자한 것으로 집계됐다. 엔씨(146억6900만원), 크래프톤(134억3000만원)이 뒤를 이었고 컴투스(86억8900만원), 넷마블(54억6200만원), NHN(51억4700만원), 카카오게임즈(37억6900만원), 네오위즈(26억5900만원) 순이었다.

정보보호 전담인력 규모 또한 넥슨코리아가 150명으로 가장 많았다. 이어 엔씨(82명), 크래프톤(42명), 넷마블(34명), 컴투스(27명) 순으로 나타났다.

다만 절대 투자액만으로 기업의 정보보호 경쟁력을 판단하기는 어렵다. 기업 규모가 클수록 투자액도 커질 수밖에 있는 만큼 투자 비중까지 함께 살펴봐야 실제 투자 수준을 가늠할 수 있기 때문이다.

정보기술(IT) 투자 대비 정보보호 투자 비중으로 기준을 바꾸면 순위는 달라진다.

정보기술 부문 투자 대비 정보보호 부문 투자 비중이 가장 높은 기업은 컴투스로 8%를 기록했다. NHN(7.8%), 카카오게임즈(5.8%), 크래프톤(4.8%)이 뒤를 이었다. 절대 투자액 기준 1위였던 넥슨코리아는 4.6%로 중위권으로 내려왔다.

투자액 기준 2위였던 엔씨는 2.9%로 8개사 가운데 가장 낮았다. 업계에서는 엔씨 AI 등 자회사 분사와 비용 효율화 과정에서 전체 IT 투자 구조가 변화한 영향이 반영된 결과로 보고 있다.

매출 대비 투자 비중으로 환산하면 기업 간 차이는 더욱 뚜렷해진다. 매출 대비 정보보호 투자 비중이 1%를 넘어선 곳은 컴투스(1.2%)와 엔씨(1.1%) 두 곳뿐이었다. 나머지 6개사는 모두 1%를 밑돌았고, 이 가운데 절반은 0.5%에도 미치지 못했다.

넥슨코리아의 경우 매출(3조1059억원) 대비 정보보호 투자 비중은 0.9%였고, 크래프톤(3조3266억원)은 0.4% 수준에 머물렀다. 넷마블은 매출(2조8350억원) 대비 0.2%로 조사 대상 8개사 가운데 가장 낮았다.

4년간 투자 확대 흐름…AI 시대엔 “선제 투자 더 필요”

정보보호 투자는 전반적으로 증가세를 보이고 있다는 점은 긍정적이다. 다만 해킹 수법이 빠르게 고도화되는 만큼 투자 확대 속도가 위험 증가를 따라가고 있는지는 별개의 문제라는 평가가 나온다.

넥슨코리아의 매출은 2022년 2조5040억원에서 2025년 3조1059억원으로 약 24% 증가했고, 같은 기간 정보보호 투자액은 99% 늘었다. 크래프톤도 매출이 2022년 1조8540억원에서 2025년 3조3266억원으로 79.4% 증가한 가운데 정보보호 투자 규모는 약 108% 확대됐다.

같은 기간 NHN 역시 매출은 2조1149억원에서 2조5162억원으로 약 19% 증가했고 정보보호 투자액은 6.1% 늘었다. 컴투스도 매출이 6773억원에서 6964억원으로 소폭 증가했지만 정보보호 투자 규모는 359.1% 확대됐다.

게임사는 개인정보와 결제 데이터는 물론 게임 자산과 디지털 자산까지 관리하는 대표적인 플랫폼 기업이다. 서버 장애나 해킹 사고는 서비스 중단을 넘어 이용자 신뢰 하락과 기업가치 훼손으로 이어질 수 있어 보안은 더 이상 단순한 비용이 아닌 핵심 경쟁력으로 평가받고 있다.

특히 생성형 인공지능(AI) 확산으로 공격 수법이 정교해지고 소스코드와 서비스 운영 환경을 노린 공격까지 늘어나면서 정보보호를 서비스 설계 단계부터 반영하는 선제 투자 체계가 필요하다는 목소리가 커지고 있다.

보안업계 전문가는 "최근엔 계정 탈취와 개인정보 유출 방지, 부정 프로그램 차단을 통해 이용자 신뢰를 확보하고 서비스 안정성을 높이는 것이 기업가치로 직결되는 추세"라며 "게임사도 사후 대응 중심의 보안에서 벗어나 서비스 설계 단계부터 정보보호를 반영하는 선제 투자 체계를 구축해야 한다"고 말했다.