한달새 25곳서 530만건 정보유출
AI 활용에 공격 속도·효율 높여
기존 인력 중심 보안체계론 한계
"국가차원 대응 방어망 구축해야"
금융권과 항공사, 대학, 병원, 아파트 단지 등을 대상으로 한 연쇄 해킹으로 대규모 개인정보 유출이 잇따르면서 피해 규모가 갈수록 커지고 있다. AI를 활용한 공격 자동화로 해킹의 속도와 범위가 확대되자 기존 보안체계의 허점도 부각되고 있다. 앞으로 3~4개월간의 대응 준비가 대규모 피해 위험을 가르는 분수령이 될 수 있다는 경고가 나온다.
1일 관련 업계에 따르면 최근 한 달여간 금융·항공·교육·유통·주거시설 등에서 해킹 및 개인정보 유출이 무더기로 발생했다. 주요 기업·기관 25곳에서 확인된 개인정보 유출 규모는 약 530만 건을 넘어선 것으로 추정된다. 중복 정보가 포함된 점을 감안하더라도 작지 않은 규모다.
금융권에선 신한은행 고객 약 2만5000명, 예가람저축은행 약 4만 명, 대신증권 3만8490명의 정보가 무더기로 유출됐다. 빗썸에선 고객 6444명의 정보가 공격 대상에 포함됐고 844명의 신분증 사본과 계좌번호 등 민감정보가 노출됐다.
항공업계에서는 진에어 고객 1454명의 정보가 빠져나갔다. 대한항공과 아시아나항공도 외부 예약시스템을 통해 개안정보가 유출됐다. 교육 분야에선 연세대학교에서 1만여 명, 국립부경대에서 5108명, 서울사이버대에서 재학생과 졸업생 등의 개인정보가 빠져나가는 피해를 입었다. 할리스와 기프티엘도 각각 276만 건, 1만8000명 이상의 회원 정보 유출 사태가 발생했다. 아파트 커뮤니티 예약 시스템에선 GS건설 아파트 입주민의 이름과 성별, 생년월일, 휴대전화 번호, 주소, 예약 시스템 비밀번호 정보가 빠져나갔다.
이름과 연락처 같은 단순 정보를 비롯해 대출 관련 정보, 주민등록번호, 신분증 사본, 여권번호 등 민감정보가 동시다발적으로 유출되면서 보이스피싱 등 2차 범죄 위험 우려가 한층 더 커진 셈이다. 세계 최대 가상화폐 거래소 바이낸스의 8조원 규모 자산 탈취가 단 20분만에 이뤄지면서 보안 위기감은 일파만파 커지고 있다.
특히 최근 해킹은 보안 기술이 집중된 핵심 시스템을 비롯해 업무용 시스템이나 접근 권한 관리 허점 등 약한 고리를 파고들고 있다. 업계 관계자는 "해킹이 핵심 보안 시스템을 비롯해 직원들이 사용하는 내부 시스템이나 외부 업체를 지원하는 시스템에서 발생하고 있다"며 "핵심 시스템만 잘 지킨다고 해결되는 문제가 아니라는 것"이라고 지적했다. 내부망의 구형 장비도 위협 요인이다. 보안업체 지니언스는 자체 분석한 기업 내부망 PHP 구동 장비의 96%가 'PHP2Shell' 취약점에 노출됐다고 밝혔다.
문제는 AI가 공격 속도와 효율을 높이면서 피해 규모를 더 키울 것이라는 점이다. 마이크로소프트(MS)는 북한 해킹조직 8곳 가운데 3곳이 AI를 일상적인 공격 업무에 활용한다고 지적했다. 한국 이용자를 겨냥한 맞춤형 피싱 PDF 유인 문서 100개 이상을 단시간에 제작한 점도 파악했다. AI가 취약점 탐색부터 공격 코드 작성까지 도와 해킹 문턱이 낮아진 점도 위협 요인이다. 김명주 AI안전연구소장은 "과거 해커들은 비용과 위험을 따졌는데 AI 기반 자동화 도구는 대상을 가리지 않고 취약점을 탐색한다"며 "교육기관이나 종교단체처럼 상대적으로 보안이 취약한 곳도 공격 대상이 될 수 있다"고 설명했다. 기존 인력 중심의 보안체계로는 대응에 한계가 있다는 지적이다. 특히 개인정보를 대량으로 관리하는 위탁업체의 보안이 뚫리면 피해가 대규모로 확산할 것이란 우려에 힘이 실리는 것도 이 때문이다. 전문인력과 예산이 부족한 중소기업·소상공인 역시 취약 지점이다.
다만 AI를 이용한 공격에도 비용과 준비 시간이 든다. 김 소장은 "개인이나 소규모 해킹 조직도 AI를 계속 가동하려면 돈이 필요하고, 해킹을 자동화하기까진 시간도 있어야 한다"며 "아직 3~4개월 정도 대응을 준비할 여지가 있다. 이 기간 준비한 곳과 그렇지 못한 곳의 차이가 분명하게 나타날 것"이라고 내다봤다. MS 역시 북한 해킹 조직들이 AI를 활용해 기존 공격의 속도와 효율성을 높이고 있지만, 아직 완전한 자율 공격 단계에는 이르지 않았다고 평가했다.
전문가들은 새로운 취약점을 발견할 수 있는 국가 차원의 AI 보안 역량과 보안 대응력이 부족한 기업을 위한 공동 서비스 체계 필요성을 강조한다. 김 소장은 "대기업과 달리 중소기업이나 학원, 종교단체 등은 자신들이 어떤 개인정보를 보유하고 있는지조차 파악하지 못한다"며 "정부가 보안 역량이 부족한 기관에 점검 서비스를 제공해야 한다"고 말했다.
