생성형 인공지능(AI) 기술의 비약적인 발전은 우리 사회에 혁신적인 편의를 가져왔지만, 동시에 범죄 역량 측면에서도 이전과는 확연히 다른 수준의 비상한 위협을 잉태했다. 최근 정보통신(IT) 비전공자인 30대 남성이 생성형 AI와 개방형 AI 도구인 ‘아르텍스(ARTEX)’ 등을 활용해 대기업 계열사와 병원, 대학 등 90여 곳의 시스템에 잠입하여 820만 건 이상의 개인정보를 빼내고 3억 6,000만 원을 요구한 사건은 매우 충격적이다.

이 사건은 숙련된 해커만이 높은 보안망을 뛰어넘을 수 있었던 과거와 달리, 이제는 일반인도 AI 에이전트의 도움을 받아 대규모 해킹을 신속하게 실행할 수 있도록 진입 장벽이 낮아졌음을 여실히 보여준다. 범행 초기 웹사이트 취약점을 찾는 자동화 도구에 의존하던 개인이 AI를 본격적으로 활용하면서 불과 40일 만에 60군데를 해킹할 정도로 기민하게 움직인 점은, AI가 해킹의 속도와 범위를 무한대로 확장시키며 해킹 능력의 상향 평준화를 이끌고 있음을 증명한다.

이러한 AI발 해킹의 공포는 국가 경제의 신경망인 금융권 전체로 빠르게 번지며 치명적인 타격을 입히고 있다. 이달 초 은행과 저축은행 등 16곳에서 10만여 건의 개인정보가 유출된 지 한 달도 지나지 않아, 대신증권과 미래에셋자산운용, 그리고 가상자산거래소 빗썸 등 금융투자업계까지 연쇄적으로 사이버 공격에 유린당했다. 대신증권은 3만 8,490명의 개인 신용정보가 유출되는 심각한 피해를 입었으며, 빗썸과 미래에셋자산운용 역시 사내 업무 시스템 등이 외부 공격을 받았다. 특히 신한은행 등 제1금융권에서 시작된 연쇄 해킹이 단 한 달 만에 전 금융업권으로 확산된 양상은 기존의 방어 체계가 AI를 앞세운 새로운 공격 기법 앞에 얼마나 무기력한지를 단적으로 보여주는 사례다.

사태의 심각성은 정부와 금융 당국의 사후약방문식 대응과 형식적인 보안 점검의 치명적인 한계에서 더욱 뚜렷하게 드러난다. 신한은행 해킹 사태 직후 금융 당국의 지시로 555개 금융사가 긴급 보안점검을 실시했고, 이 중 425개 사가 자사의 보안 상태를 '적정'하다고 보고했음에도 불구하고 연달아 추가 피해가 발생했다. 대신증권의 비대면 계좌개설 연계 서버나 빗썸의 사내 모바일 그룹웨어처럼 외부와 연결된 위탁 서버 및 내부 업무용 시스템이 점검 범위에서 누락되면서 방어망의 가장 얇은 고리가 해커들의 집중적인 표적이 되고 만 것이다. 이는 과거의 서류 위주 정기 점검이나 형식적인 체크리스트 중심의 자체 점검만으로는 시스템의 취약점을 실시간으로 탐색하는 지능화된 신종 해킹을 막아내는 데 명백한 한계가 있음을 시사한다. 나아가 과거 해킹 피해를 입었던 일부 금융사들이 적절한 재발 방지 대책을 제대로 마련하지 않아 지속적으로 해커의 공격 대상이 되었던 뼈아픈 전철을 다시 밟아서는 안 될 것이다.

더욱 우려스러운 대목은 우리의 헐거운 사이버 보안망을 국가 배후의 전문 해킹 조직이 집요하게 노리고 있다는 사실이다. 최근 금융보안원의 탐지 결과, 지난 21일 하루에만 국내 금융사 시스템을 겨냥해 북한 인터넷주소(IP) 대역에서 440만 건이 넘는 '스캔성 접속'이 폭주한 것으로 확인됐다. 비록 제3국의 해커가 북한 IP로 우회했을 가능성도 존재하지만, 프로그래밍 언어인 'PHP'의 결함이 발견되자마자 즉각 이를 악용한 해킹 시도에 나선 북한 해킹 조직 라자루스의 기민한 행보를 고려할 때 국가 안보 차원의 철저한 대비가 절실한 상황이다. 북한은 이미 올해 상반기에만 전 세계 가상화폐 해킹 피해액의 66%에 달하는 6억 4300만 달러를 탈취하여 무기 개발의 자금줄로 삼고 있을 만큼 사이버 공간에서의 위협을 노골화하고 있다.

창이 고도화되면 방패 역시 완전히 새로운 패러다임으로 거듭나야만 생존할 수 있다. 공격자가 AI를 무기로 삼는 현 상황에서 방어체계 역시 ‘보안 자동화 AI’를 적극적으로 도입하여 상시 탐지와 자동 대응 중심으로 전환되어야 한다. 인간 보안 전문가가 찾아내기 힘든 제로데이 취약점이나 미세한 시스템 결함까지 AI가 스스로 발굴해 악용하는 시대에는, 방어 측에서도 AI를 활용해 연계 인프라와 외부 노출 자산을 끊임없이 평가하는 ‘동적 심사’ 체계를 반드시 갖춰야 한다. 아울러 만약 방어망이 일부 뚫리더라도 핵심 서비스의 기능만은 즉시 유지하고 신속하게 복구해 낼 수 있는 ‘사이버 복원력’을 기업 내부에 내재화하는 실질적인 모의해킹 훈련과 방어 기술 투자가 뒤따라야 할 것이다.

이러한 기술적 방어망 확충 이상으로 중요한 것은 보안을 대하는 경영진의 인식 대전환과 책임의 강화다. 그동안 다수의 금융사가 영업 채널 확대와 단기적 수익 창출에 치중하느라 정보보호를 단순한 매몰 비용으로 치부해 온 것이 작금의 부실한 안보 불감증을 키웠다. 이제 사이버 보안은 기업의 존폐를 가르는 생존의 문제이자 경영의 핵심 과제다. 유럽연합(EU)의 디지털운영복원력법(DORA)이나 영국의 고위관리자 책임체계(SM&CR)가 경영진에게 정보통신기술(ICT) 위험 관리의 최종 책임을 무겁게 묻는 것처럼, 우리 역시 개정된 「개인정보보호법」을 바탕으로 최고경영자(CEO)가 정보보호 인프라 투자를 직접 챙기고 취약점 보완을 책임지는 체계를 확립해야 한다.

금융 당국과 정부 또한 단순 보고 접수에 그치지 않고 범정부 차원에서 현장을 밀착 점검하여 실제 이행 여부를 강력히 감독해야 한다. 개별 금융사나 민간 기업이 체계적이고 파괴적인 국가 단위의 공세와 AI 자동화 공격을 홀로 감당하기는 불가능하므로, 부처별로 흩어진 대응 체계를 컨트롤타워 중심으로 정비하고 위협 정보 공유와 공동 대응의 속도를 높이는 국가적 사이버 전략 재구축이 시급하다. AI 기술이 불러온 전대미문의 위협 앞에서는 우리의 대응 역시 철저하고 비상한 방식으로 이루어져야만 한다. 초자율 사회로 향하는 길목에서 보안이라는 신뢰의 토대를 잃는다면, 기술의 혜택은 순식간에 국가 경제를 마비시키는 시한폭탄으로 돌변할 수 있음을 우리 사회 모두가 뼈저리게 각성해야 할 때다.

※ 외부 필자의 원고는 본지의 편집방향과 일치하지 않을 수도 있습니다.

[저작권자ⓒ 시민일보. 무단전재-재배포 금지]