“공격 준비 30분이면 끝” AI로 무장한 해커, 기업 보안 허점 파고든다

본인 인증·접근통제 부실이 정보 유출 빌미
日 외식·유통부터 韓 은행까지 개인정보 유출
악성코드 제작에 AI 동원 정황 드러나 우려 증폭

일본 기업과 국내 금융권에서 대규모 개인정보 유출이 잇따르며 보안 관리에 경고등이 켜졌다. 일본에서는 외식·유통·의료 등 업종을 가리지 않고 피해가 발생했고, 국내에서도 주요 은행과 저축은행·캐피털사의 고객정보가 빠져나갔다. 여기에 인공지능(AI)을 악성 프로그램 제작과 취약점 탐색에 동원한 정황까지 드러나면서 공격의 속도와 규모를 둘러싼 우려가 커지고 있다. 일부 피해 기업에서는 본인 인증과 접근통제 등 기본적인 보안 조치마저 미흡했던 것으로 파악돼, 시스템 구축 이후의 점검과 관리 부실이 피해를 키웠다는 지적이 나온다.

日 해킹 피해 올해만 600건

12일 사이버 보안 기업 트렌드마이크로에 따르면 올해 들어 9월 말까지 일본 기업과 지방자치단체가 공표한 부정 접속 등 피해는 600건으로, 지난해 연간 593건을 이미 웃돌았다. 이달 들어서는 한 기업에서 1,000만 건 이상의 회원 정보가 빠져나간 사실까지 확인됐다. 외식업체 모노가타리코퍼레이션이 지난 5일 공개한 고깃집 체인 ‘야키니쿠킹’의 앱 해킹 피해 규모는 1,078만 건에 이른다. 전체 등록 건수 1,080만 건의 대부분으로, 유출 항목에는 이름과 이메일 주소 등이 포함됐다.

일본 종합화학 기업 아사히카세이도 자회사의 의료인 대상 정보 사이트가 사이버 공격을 받아 개인정보 유출 가능성을 조사하고 있다. 의약품 자회사 아사히카세이테라퓨틱스는 지난 6일 의료종사자에게 의약품 사용법과 의학 정보를 제공하는 사이트 ‘파마 디지털(Pharma DIGITAL)’과 연결된 회원 데이터베이스에 부정 접속이 발생했다고 밝혔다. 유출 우려 대상은 의료종사자 약 55만8,000명과 직원 700명으로, 의료종사자의 이름·소속 의료기관·진료과와 일부 이메일 주소 등이 포함된 것으로 파악됐다. 사이트 운영과 정보 관리를 맡은 외부 업체가 지난 2일 이상 징후를 보고한 뒤 회사 측은 사이트를 중단하고 침입 경로를 차단했다. 아사히카세이는 6일 발표 당시 정보 악용에 따른 피해는 확인되지 않았다고 설명하며 외부 전문기관과 함께 유출 범위와 원인을 조사 중이라고 전했다.

日 유통·금융·제조업 전방위 해킹 피해

대규모 유출도 잇따르고 있다. 차량공유 서비스 타임스카에서 개인정보가 빠져나간 계정은 약 660만 개로, 이름과 주소·생년월일·전화번호에 운전면허 정보와 신분증 이미지 등이 유출 항목에 들어 있다. 대상에는 현재 회원뿐 아니라 이미 탈퇴했거나 가입 절차를 끝내지 않은 신청자도 포함된 것으로 알려졌다. 할인점 체인 미스터맥스를 운영하는 미스터맥스홀딩스도 6일 서버가 해킹돼 공식 앱과 온라인몰 회원 등 최대 173만 명의 아이디, 이름, 이메일 주소, 전화번호가 빠져나갔을 수 있다고 발표했다.

이뿐 아니라 GMO인터넷그룹 계열 조사업체 GMO리서치&AI에선 최대 94만여 명의 이름과 생년월일, 이메일 주소 등이 유출됐을 가능성이 있고, 287만 엔(약 2,400만원) 상당의 회원 포인트가 도용됐다. 시계 제조업체 시티즌시계에서는 고객 문의 접수를 맡긴 외부 업체의 서버가 공격받아 약 10만 명의 개인정보가 유출 위험에 노출됐다. 시티즌·부로바·프레드릭 콘스탄트 등 3개 브랜드 사이트에 접수된 이름과 주소, 전화번호, 이메일 주소 등이 대상이며, 문의 내용에 은행 계좌나 신용카드 정보를 적었다면 해당 정보도 함께 유출됐을 가능성이 있다. 다이와증권에선 정보 22만 건이 새 나갔고, 이 중 11만 건에는 이름과 이메일 주소, 계좌번호 등이 포함됐다.

표1. 일본 기업의 주요 개인정보 유출·유출 우려 사례

국내 금융사 7곳도 해킹에 뚫려

국내에서도 주요 은행과 저축은행, 캐피털사를 겨냥한 해킹이 잇따르면서 고객정보 유출 피해가 속출했다. 신한은행에서는 지난달 말 고객 약 2만5,000명의 이름과 연락처, 연소득, 대출 산출한도 등이 유출된 것으로 나타났다. 일부 고객의 주민등록번호 66건과 개인식별정보(CI) 97건도 유출 대상에 포함됐다. KB국민은행은 직원용 모바일 업무지원시스템이 공격받으면서 고객 119명의 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 노출됐다. 하나은행에서도 고객 89명의 개인정보가 유출됐으며, 이름과 주민등록번호, 주소, 이메일, 전화번호에 직장명까지 담겨 있었던 것으로 확인됐다.

지방은행과 저축은행, 캐피털사에서도 피해가 발생했다. BNK부산은행에서는 모바일 영업지원시스템에 대한 외부 침입으로 외주 개발 직원 11명의 개인정보가 유출됐다. 예가람저축은행은 지난달 30일 고객정보가 보관된 서버에 신원 미상의 해커가 접근한 정황을 포착했으며, 약 4만 명의 이름과 생년월일, 연락처 등이 유출된 것으로 추정된다. 현대캐피탈에서는 고객이 주택대출 모집인의 신원을 확인하는 조회페이지가 공격받아 모집인 146명의 개인정보 일부가 노출됐다. 유출 항목에는 이름과 휴대전화번호, 이메일, 여신금융협회 등록번호 외에 내부 모집인번호와 주민등록번호까지 포함됐다. 웰컴저축은행에서도 침해사고가 드러나면서 피해 금융사는 7곳으로 늘었다.

랜섬웨어 배포·백업 무력화에 AI 활용 정황

잇따른 해킹 공격의 배후에는 공격 대상 분석부터 악성 프로그램 제작까지 돕는 AI가 있다. 일본의 랜섬웨어 피해를 조사한 시스코 탈로스는 해커 조직 ‘킬린’이 사용한 서버에서 AI로 작성했을 가능성이 높은 파이썬 프로그램들을 발견했다. 여러 컴퓨터에 랜섬웨어를 배포하거나 지정된 시간에 데이터를 파괴하고, 복구에 필요한 백업을 무력화하도록 설계된 도구들이다. 프로그램에는 작업 순서를 설명하는 주석과 일정한 형식의 실행 기록이 붙어 있었으며, 사용 목적과 실행 조건을 상세히 정리한 설명도 포함돼 있었다. 탈로스는 이러한 코드의 특징과 서버에 남은 대규모언어모델(LLM) 관련 흔적을 근거로 AI 생성 가능성을 ‘중간에서 높은 수준’으로 평가했다.

AI가 공격 준비에 필요한 시간을 대폭 줄일 수 있다는 실험 결과도 나왔다. 트렌드마이크로는 공개된 정보만으로 공격 대상을 분석하고 피싱 사이트를 제작하는 과정을 검증했는데, AI를 결합한 도구는 이를 30분 안에 마쳤다. 연구원 2명이 약 일주일을 들였던 작업이다. 직장인 인맥 서비스 링크트인 등에 공개된 정보를 수집해 표적의 특성을 파악하고, 이를 맞춤형 공격에 활용하는 방식이 검증 대상에 포함됐다. 공격자가 피해자의 신뢰를 얻는 데 필요한 정보를 모으는 단계부터 정보를 빼낼 가짜 사이트를 만드는 단계까지 AI로 처리할 수 있다는 실험 결과다.

보안 점검용 AI가 금융사 침입 도구로

국내 금융권을 겨냥한 공격에서는 AI 도구의 설정 파일과 대화 기록까지 확보됐다. 미국 보안업체 크라우드스트라이크가 지난달 말부터 이달 초까지의 공격에 연결된 서버를 분석한 결과, 중국에서 개발된 AI 기반 침투시험 도구 ‘아텍스(ARTEX)’와 클로드 코드의 사용 흔적이 발견됐다. 보안 취약점을 점검하는 도구를 실제 침입에 악용한 정황이다. 공격자는 홍콩 소재 서버와 아텍스 실행 서버를 나눠 운영했으며, 아텍스에는 딥시크 모델을 연결한 것으로 파악됐다. 별도의 클로드 코드 작업에는 GLM과 그록 등 다른 AI 모델도 동원한 흔적이 남아 있었다.

AI와 나눈 대화에서는 공격자의 신원을 추적할 단서도 나왔다. 공격자는 클로드 코드에 보안 연구자 이력서를 만들어 달라고 요청하면서 아텍스를 활용한 활동 성과와 함께 나이 26세, 거주지 중국 광둥성 마오밍, 학력 화남이공대 등의 정보를 입력했다. 크라우드스트라이크는 이 정보가 공격자 본인의 것일 가능성이 있다고 평가했다. 해당 공격자가 사용한 텔레그램 계정은 디지털 자산 거래 서비스의 취약점을 살피거나 중국 결제 플랫폼으로 추정되는 곳을 공격하는 과정에서도 등장했으며, 금전적 목적을 뒷받침하는 대화도 발견됐다. 공격자는 클로드에 한국에서 유출된 정보가 주로 어디에서 거래되는지 묻고, 한국 데이터 판매용 텔레그램 대화방을 찾아 달라고 요청한 것으로 알려졌다.

AI 공격 이전에 무너진 기본 접근통제

이 같은 공격이 실제 정보 유출로 이어진 데에는 기업의 허술한 보안 관리도 한몫했다. 국내 금융권 침해사고에서는 대출모집인용 조회 서비스와 직원용 모바일 업무지원시스템의 인증·접근통제에 허점이 드러났다. 본인 확인 없이 대출 신청 내역을 조회하거나 직원용 서비스에 외부인이 접근할 수 있는 경로가 남아 있었던 것이다. 고객정보를 취급하는 부가 업무시스템이 보안 점검의 사각지대에 놓여 있었다는 지적이다. 이억원 금융위원장도 지난 8일 국회 정무위원회 국정감사에서 금융사들의 대응에 대해 기본적인 부분부터 미흡했다고 질타했다. AI 활용 정황과 별개로, 누가 어떤 정보에 접근할 수 있는지 확인하는 기초적인 통제부터 제대로 작동하지 않았다는 설명이다.

전문가들은 보안 점검을 마친 뒤에도 시스템 변경에 맞춰 취약점을 계속 확인해야 한다고 지적한다. 서비스가 추가되고 프로그램이 업데이트되거나 협력업체의 접속 권한이 바뀌면, 기존 점검에서 드러나지 않았던 허점이 생길 수 있다는 것이다. 특히 AI가 취약점 탐색에 활용되는 환경에서는 점검 대상에서 빠진 업무용 사이트와 외부 연결망도 공격에 노출될 수 있다는 우려가 나온다. 정기 점검 사이에 새로 개설된 서버와 계정까지 관리 목록에 반영하고, 발견된 취약점의 보완 여부를 추적해야 한다는 주문이다. 미국 국립표준기술연구소(NIST) 역시 보안 업데이트 관리에 적용 대상 파악과 우선순위 설정, 설치 이후 검증을 포함하고 있다. 업데이트를 즉시 적용하기 어려운 시스템에는 격리 등 임시 보호조치를 병행해 보완 전까지의 노출을 줄이도록 권고했다.