금융·공공까지 뚫렸다…AI 해킹 확산에 보안 대책 시험대

[미디어펜=박소윤 기자]인공지능(AI)을 악용한 사이버 공격이 기업과 공공기관 전반으로 번지면서 국내 보안 체계에 경고등이 켜졌다. 공격 수법은 갈수록 정교해지고 외부 협력업체를 통한 연쇄 피해까지 나타나고 있지만 정부 대응은 기업의 보안 책임과 제재 수위를 높이는 데 무게가 실려 있다. 개인정보 유출에 대한 과징금을 강화하는 것만으로는 해킹을 막기 어렵다는 지적이 나온다. 

15일 업계에 따르면 최근 금융권과 대학, 공공기관, 기업용 소프트웨어 업체 등에서 개인정보 유출 사고가 잇따르고 있다. 금융위원회 산하 금융보안원에서 금융사 직원 정보가 유출된 데 이어 한국조폐공사가 운영하는 모바일 지역사랑상품권 플랫폼 '착', 인제대, 중소기업중앙회 등에서도 정보 유출 또는 의심 정황이 확인됐다. 금융권 보안을 담당하는 전문기관마저 해킹 피해를 입으면서 특정 기업의 관리 소홀만으로 설명하기 어려운 보안 취약성이 드러나고 있다.

개별 기업의 침해사고가 거래처와 이용자에게까지 번지는 양상도 뚜렷하다. 고객 상담 업무를 위탁받은 메타엠이 해킹당하면서 가상자산 거래소 코인원 고객 정보가 유출됐고, 더존비즈온 침해사고 이후에는 해당 소프트웨어를 이용하는 기관에서도 정보 유출 가능성이 제기됐다. 기업들이 업무 효율을 위해 외부 플랫폼과 소프트웨어에 의존하는 구조에서 협력업체 한 곳의 보안 허점이 다수 기업의 위험으로 이어지는 것이다.

AI의 확산은 이 같은 위협을 더욱 키우고 있다. 생성형 AI를 이용하면 피싱 메시지를 정교하게 만들거나 악성코드 작성, 시스템 취약점 분석 등에 필요한 시간과 비용을 줄일 수 있다. 공격자의 기술적 진입장벽이 낮아지는 반면 기업이 새로운 공격 기법을 파악하고 방어 체계를 보완하는 데는 전문인력과 상당한 투자가 필요하다. 기존 보안 시스템을 유지하는 것만으로는 빠르게 바뀌는 공격 양상을 따라잡기 어려워진 셈이다.

정부는 해킹과 개인정보 유출에 대한 기업 책임을 강화하는 데 속도를 내고 있다. 개인정보보호위원회는 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출에 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 제도를 개편했다. 과학기술정보통신부도 고의 또는 중과실로 반복적인 침해사고를 일으킨 정보통신서비스 사업자에 관련 매출액의 최대 3%를 과징금으로 부과하는 제도를 도입했다. 보안 사고를 기업 경영의 중대한 책임 문제로 다루겠다는 취지다.

하지만 제재 강화가 곧바로 해킹 예방으로 이어지는 것은 아니다. 과징금은 기업이 법에서 정한 보안 의무를 위반했을 때 책임을 묻는 수단이다. 반면 AI를 활용한 공격을 사전에 탐지하고 새로운 취약점을 찾아 차단하는 일은 별도의 기술과 인력, 지속적인 투자가 필요하다. 사고가 발생한 기업에 거액의 과징금을 부과하더라도 유출된 정보가 회수되는 것은 아니며, 다른 기업을 겨냥한 공격을 막을 수도 없다. 제재 규모를 키우는 정책과 실제 현장의 방어 능력을 높이는 정책 사이에는 분명한 차이가 있다는 지적이 나오는 이유다.

기업 입장에서는 보안 투자 부담도 만만치 않다. 대기업은 별도 보안 조직과 전문인력을 두고 시스템을 운영할 여력이 있지만 중소기업은 전담 인력을 확보하는 것부터 쉽지 않다. 보안 솔루션 도입과 취약점 점검, 상시 모니터링에는 지속적인 비용이 들어간다. 특히 외부 플랫폼이나 소프트웨어를 이용하는 기업은 자체 시스템을 점검하더라도 공급업체의 보안 수준까지 직접 통제하기 어렵다. 정부가 기업에 높은 수준의 보안 책임을 요구하는 상황에서 규모가 작은 기업일수록 규제 대응과 실질적인 보안 투자 사이에서 부담이 커질 수 있다.

최근 정부 지원사업에서도 이런 문제가 드러났다. 중소벤처기업부의 '모두의 창업' 사업에서는 AI 솔루션 공급기업 아미쿠스렉스의 자체 플랫폼이 해킹 공격을 받아 개인정보 2만28건이 유출됐다. 이 가운데 사업 참가자 정보는 818건이다. 앞서 1차 사업에서도 AI 솔루션 업체가 API를 수집하는 과정에서 합격자 5000명의 비공개 정보가 노출됐다. 정부가 민간 솔루션을 사업에 활용하는 과정에서도 공급업체의 보안 수준이 사업 전체의 위험 요인이 될 수 있다는 사실이 확인된 셈이다.