[보안 비상] ① 금융권부터 공공기관까지 줄줄이 뚫렸다…왜 못 막나

다음 내용이 궁금하다면?

불편하시다면 뒤로 가기를 눌러주세요

개인정보 유출 신고 급증·과징금 역대 최대…보안 투자는 제자리

AI 해킹 고도화에 취약점 누적…국가 공동방어체계 구축 시급

(서울=연합뉴스) 권하영 기자 = 금융권부터 통신·유통·플랫폼 기업, 공공기관까지 해킹과 개인정보 유출 사고가 잇따르면서 국내 사이버 보안 체계의 구조적 허점이 드러나고 있다.

개인정보 유출 신고가 급증하고 기업에 부과되는 과징금도 역대 최대 규모로 불어났지만 보안 투자와 전문인력 확충은 제자리걸음을 면치 못하고 있다.

특히 기본적인 보안 관리 소홀과 협력업체의 취약점이 대규모 정보 유출로 이어지는 가운데 인공지능(AI)을 활용한 해킹까지 확산하면서 기존 방어체계로는 갈수록 고도화하는 사이버 공격에 대응하기 어렵다는 우려가 커지고 있다.

◇ 금융권 16곳서 10만건 유출…플랫폼·공공기관도 연쇄 피해

27일 보안업계에 따르면 올해 들어 통신·유통·플랫폼 등 국민 생활과 밀접한 산업은 물론 금융·공공·의료 등 민감한 개인정보를 취급하는 분야에서도 해킹과 정보 유출 사고가 끊이지 않고 있다.

대표적인 사례가 올해 9월 말부터 10월 초까지 금융권을 강타한 연쇄 해킹 사태다. 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 주요 금융기관에서 개인정보 유출 피해가 잇따랐다.

금융당국이 파악한 피해 기관은 은행과 저축은행, 상호금융, 여신전문금융업, 전자금융업, 온라인투자연계금융업, 가상자산사업자 등 금융권 전 업종에 걸쳐 16개사에 달한다. 유출된 고객 성명과 연락처, 주민등록번호, 이메일 주소 등은 약 10만건으로 집계됐다.

플랫폼 업계에서도 대규모 사고가 발생했다. 올해 5월 온라인동영상서비스(OTT) 티빙에서 약 3천954만개 계정의 개인정보가 유출됐고, 9월에는 미용의료 플랫폼 '강남언니' 이용자 약 22만명의 이름과 전화번호, 시술정보 등이 외부로 새어 나갔다.

외부 협력업체 한 곳의 보안 허점이 여러 기관의 동시 피해로 번진 사례도 있다. 9월 온라인 교육 플랫폼 업체 맑은소프트가 해킹당하면서 개인정보 관리를 위탁했던 국민권익위원회와 국방부, 기아[000270] 노조 등 20여개 기관·단체가 한꺼번에 피해를 봤다. 신고된 유출 규모만 약 237만건에 이른다.

공공기관도 안전지대는 아니었다. 한국전력[015760]은 이달 퇴직자와 협력사를 포함한 직원 3만5천여명의 이름과 소속, 전화번호 등이 외부에 노출된 사실을 확인하고 당국에 신고했다.

당장 최근 6개월간 발생한 주요 사고의 피해 규모를 단순 합산하면 최소 수천만건에 달하는 셈이다.

사고마다 침투 경로와 유출 정보는 달랐지만, 외부에 노출된 시스템의 보안 취약점과 계정·접근권한 관리 소홀, 협력업체의 부실한 보안체계 등이 공통적인 위험 요인으로 지목됐다.

◇ 개인정보 유출 신고 급증…사고 인지에 1년 넘게 걸리기도

산업 전반으로 확산하는 개인정보 유출 피해는 정부 통계에서도 확인된다.

개인정보보호위원회에 따르면 국내 개인정보 유출 신고는 2023년 318건에서 지난해 447건으로 40.6% 증가했다. 올해는 1~8월에만 579건이 접수돼 지난해 연간 신고 건수를 이미 훌쩍 넘어섰다.

사고 원인으로는 외부 해킹이 압도적인 비중을 차지했다. 지난해 신고된 유출 사고 중 해킹은 276건으로 전체의 61.7%에 달했고, 업무 과실(110건·24.6%)과 시스템 오류(24건·5.4%)가 뒤를 이었다.

특히 민간기업의 해킹에 따른 개인정보 유출 신고는 2022년 47건에서 지난해 232건으로 약 5배 급증했다. 올해 상반기에만 199건이 신고돼 벌써 지난해 연간 건수의 85.8%에 이르렀다.

사이버 공격 자체도 증가세다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 집계한 올해 상반기 사이버 침해사고 신고는 1천236건으로 지난해 같은 기간보다 19.5%, 2024년 상반기(899건)와 비교하면 37.5% 늘었다.

사고 발생 자체도 문제지만, 침해 사실을 장기간 알아차리지 못하는 기업과 기관이 적지 않다는 점도 보안 관리의 허점을 드러낸다.

금융감독원에 따르면 2022년부터 올해 8월까지 발생한 전자금융 사고와 침해사고는 총 2천189건으로, 이 중 91건은 사고 발생 후 인지까지 한 달 이상 걸렸다. 무려 1년이 넘어서야 피해 사실을 파악한 사례도 17건에 달했다.

정부의 행정 제재도 갈수록 강화되고 있다.

개인정보위는 지난해 개인정보 보호법 위반 사건 227건을 조사·처분해 40건에 과징금 1천677억원, 125건에 과태료 5억8천720만원을 부과했다.

전체 제재액은 전년보다 172% 증가했으며, 이 가운데 해킹 관련 제재액이 약 1천440억원으로 전체의 91%를 차지했다.

실제 SK텔레콤[017670]은 지난해 개인정보 보호조치 의무 위반 등으로 1천347억9천100만원의 과징금을 부과받았고, 올해 6월에는 쿠팡이 개인정보 유출 사고와 회원 활동 기록 무단 수집과 관련해 역대 최대 규모인 6천246억원의 과징금을 부과받기도 했다.

◇ AI가 해킹 속도·범위 확대…공격 진입장벽도 낮춰

이처럼 개인정보 유출 사고가 끊이지 않는 가운데 사이버 공격 수법은 AI 기술과 결합하며 더욱 빠르고 광범위하게 진화하고 있다.

최근 금융권 연쇄 해킹 사태는 이 같은 AI 기반 공격이 실제 피해로 이어질 수 있음을 보여준 사례로 꼽힌다.

보안업계에 따르면 이번 금융권 공격자는 중국에서 개발된 AI 기반 침투테스트 도구 '아르텍스'(ARTEX)에 딥시크 등 복수의 대규모언어모델(LLM)을 결합해 금융기관을 공격한 것으로 분석됐다.

이달 22일에는 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 'PHP'에서 서버를 장악할 수 있는 치명적인 보안 취약점까지 발견된 가운데, 북한 배후 해킹조직 라자루스와 연계된 것으로 의심되는 세력이 AI를 활용해 해당 취약점을 악용한 대규모 공격을 준비하는 정황도 포착됐다.

AI 기반 공격의 가장 큰 위험은 취약점 탐색과 공격 코드 작성, 침투 시도 등을 전부 자동화해 공격 속도와 범위를 확대하고 해킹의 진입장벽을 낮출 수 있다는 점이다.

이는 대기업뿐 아니라 보안 역량이 취약한 중소기업과 공공기관, 외부 협력업체까지 모든 조직이 공격 대상이 될 수 있음을 시사한다.

◇ 해킹 기술은 진화하는데…보안 투자·인력 비중 제자리

문제는 이처럼 공격 기술이 빠르게 고도화하는 반면 이를 방어해야 할 기업들의 보안 관리 수준은 기본적인 안전조치조차 충분히 갖추지 못한 경우가 많다는 점이다.

실제 보안 전문가들은 잇따른 대형 정보 유출 사고의 원인을 AI 해킹 기술의 발전만으로 돌리기 어렵다고 지적한다. 보안 업데이트와 접근권한 통제, 시스템 점검 등 기본적인 관리가 제대로 이뤄지지 않아 피해가 확대되는 사례도 많다는 것이다.

기업들이 서비스 개발과 사업 확장에 투자를 집중하는 사이 정보보호 예산과 인력 확보는 상대적으로 뒷전으로 밀렸고, 제때 해소하지 못한 보안 취약점이 이른바 '보안 부채'로 누적돼 왔다는 분석이다.

실제 국내 기업들의 정보보호 투자액과 인력은 절대 규모로는 늘었지만, 전체 정보기술(IT) 부문에서 차지하는 비중은 수년째 제자리걸음이다.

KISA 정보보호 공시 종합포털에 따르면 공시기업의 전체 IT 투자 대비 정보보호 투자 비중은 2022년 6.01%에서 지난해 6.28%로 0.27%포인트 높아지는 데 그쳤다. 같은 기간 IT 인력 가운데 정보보호 인력이 차지하는 비중은 오히려 6.82%에서 6.67%로 0.15%포인트 낮아졌다.

기업의 정보보호 투자와 전문인력 확충이 충분히 뒷받침되지 않으면 보안 관리의 사각지대가 커질 수밖에 없고, 특히 상시적인 취약점 점검과 권한 통제가 미흡하면 공격을 사전에 차단하기 어려울 뿐 아니라 침해사고가 발생한 뒤에도 유출 경로와 피해 규모를 신속히 파악하기 어렵다.

개인정보 처리 업무를 외부에 맡기면서 수탁업체의 보안 수준을 제대로 확인하거나 관리하지 않는 관행 역시 구조적인 취약점으로 꼽힌다. 협력업체의 보안 허점이 다수 기관의 동시 피해로 확산할 수 있는 만큼 개별 기업의 내부 시스템만 보호하는 방식으로는 부족하다는 지적이다.

김진수 한국정보보호산업협회장은 "방화벽과 암호화, 다중 인증, 취약점 탐지·대응 체계 등 기본적인 방어 체계부터 제대로 확립해 기초 체력을 기르는 것이 우선 과제"라며 "이를 위해서는 기업과 정부 모두 정보보호 투자를 현행보다 대폭 확대해야만 한다"고 강조했다.

◇ 과징금만으로는 한계…피해구제·공동방어체계도 미흡

반복되는 해킹과 개인정보 유출 사고의 배경에는 기업의 소극적인 보안 투자뿐 아니라 사후 제재에 치우친 대응체계와 예방·조기 탐지 역량의 부족 등 구조적인 문제가 복합적으로 자리 잡고 있다는 지적도 무시할 수 없다.

특히 기업의 개인정보 보호 의무 위반에 거액의 과징금이 부과되더라도 정작 정보가 유출된 피해자에 대한 실질적인 배상으로 이어지기는 쉽지 않다는 점에서 피해구제의 실효성도 문제로 꼽힌다.

정부 차원에서 침해사고를 사전에 차단하거나 조기에 발견할 수 있도록 지원하는 체계에도 공백이 있다는 지적이다.

자체 보안 인력과 예산이 부족한 중소기업과 공공기관은 상시적인 취약점 점검과 보안관제에 한계가 있는 것이 현실이지만, 내년도 과학기술정보통신부 예산 기준 1만여 중소기업에 AI 보안 솔루션 구독을 지원하는 사업비는 500억원에 그친다.

기업과 기관별로 위협 탐지와 정보 공유, 긴급 대응 기능이 분산돼 있다는 점도 문제다. AI를 활용한 공격이 단시간에 여러 기관으로 확산할 수 있는 상황에서 이들 기능을 유기적으로 연결하는 이른바 '사이버돔' 수준의 국가 공동방어체계가 필요하다는 지적이 제기되는 이유다.

최경진 한국정보법학회장(가천대 법학과 교수)은 "공공 분야에서는 국가 차원에서 AI 사이버쉴드돔과 같은 방어 체계를 구축하는 한편 민간 영역에서는 취약점 발굴에 대한 인센티브 제공과 신속한 취약점 공유·대응 체계를 제도화시키는 것이 가장 시급하다"고 제언했다.

kwonhy@yna.co.kr

청주 가경동 일대 890여가구 정전…3분 만에 복구 [보안 비상] ② AI가 해킹 속도 높였다…한국의 방패

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.