[지디넷코리아]
은행 등 금융권 7개사를 대상으로 일어난 해킹으로 전자, 항공, 건설 분야도 내부 점검에 들어가는 등 오픈소스 AI에이전트 ‘아르텍스(ARTEX)’ 파장이 이어지고 있다.
금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 사의 침해 사고에서 동일한 공격자의 IP가 여러 곳에서 발견됐고, 공격자는 AI 도구를 활용해 다수 금융사를 대상으로 대량으로 자동화된 공격을 시행했다.
이에, 금감원은 전 금융권 약 500개 사에 공격 IP와 보안 유의 사항을 전파했고, 은행과 카드사는 오는 6일까지, 증권·보험·저축은행·전자금융업자 등은 오는 8일까지 긴급 점검을 마쳐야 한다.
이들은 ▲공격IP 차단 및 피해조사 여부 ▲ 외부노출 정보기술(IT) 자산·서비스 식별 및 보안 강화 여부 등 12개 항목이 포함된 체크리스트에 따라 점검해야 하며, 미흡 사항이 발견되면 즉시 보완해야 한다.
이번 금융권 해킹에 대해 보안전문가들은 페이스북에 의견을 내며 대응 방안을 제시했다. 특히 김승주 고려대 교수(정보보호대학원)는 “AI가 쏟아내는 취약점은 위험관리프레임워크(RMF: Risk Management FRAMEwork)를 통해 위험도에 따라 우선순위를 정해 처리해야 한다”며 8가지 대책을 제시하며 “국가안보실 중심의 ‘한국형 CSF(Cybersecurity FRAMEwork)’로 묶어야 한다”며 한국형 CSF 구축을 제안했다.
김 교수는 ‘AI 에이전트 시대의 사이버보안, 새로운 답보다 밀린 숙제부터’라는 페이스북 글에서 “AI가 사이버공격 풍경을 빠르게 바꾸고 있다. 과거 해커가 직접 하던 정찰, 취약점 탐색, 공격코드 작성, 권한 상승, 내부 이동 등의 작업을 이제 AI가 상당 부분 대신할 수 있게 됐다”면서 “중요한 것은 AI가 지금까지 존재하지 않았던 전혀 새로운 공격기법을 만들어냈다는 데 있지 않다. 더 근본적인 변화는 공격의 속도와 규모에서 인간이라는 병목이 사라지고 있다는 데 있다”고 진단했다. 이어 “AI 보안제품 몇 개를 새로 도입하는 것으로 해결될 문제가 아니다. 국가 사이버보안 전략의 기본 구조 자체를 다시 설계해야 한다”면서 8가지 대응 방안을 소개했다.
김 교수가 제시한 8가지 방안은 ▲첫째, 우리가 무엇을 가지고 있는지부터 알아야 할 것 ▲둘째, 자산을 파악했다면 불필요한 공격표면(Attack Surface)부터 없앨 것 ▲셋째, 획일적인 물리적 망분리에서 벗어나 N2SF(국가망보안체계)를 기반으로 ‘AI에는 AI로 대응하는 체계’를 만들 것 ▲넷째, AI가 쏟아내는 취약점은 위험관리프레임워크(RMF: Risk Management FRAMEwork)를 통해 위험도에 따라 우선순위를 정해 처리할 것 ▲다섯째, 그래도 뚫린다는 전제에서 제로트러스트(Zero Trust)를 적용할 것 ▲여섯째, 국가핵심설비는 한 단계 더 나아가 ‘사이버복원력(Cyber Resilience)’을 확보할 것 ▲일곱째, 이 모든 제도를 국가안보실 중심의 ‘한국형 CSF(Cybersecurity FRAMEwork)’로 묶을 것 ▲여덟째, 대한민국 전체의 집단지성을 사이버방어에 동원할 것 등을 주문했다.
김 교수는 “정부와 공공기관, 주요 기업이 보유한 서버와 네트워크 장비는 물론 사용 중인 소프트웨어와 버전, 패치 상태, 인터넷과 연결되는 모든 접점까지 제대로 식별해야 한다”면서 “대문만 굳게 지키면서 정작 어디에 있는지도 모르는 쪽문들을 방치해서는 안 된다. 이번 ARTEX 사태에서 보았듯이 앞으로 공격자는 AI를 이용해 우리가 그 존재조차 잊고 있던 서버와 서비스, 미처 관리하지 못했던 인터넷 접점까지 찾아낼 것이다. 방어자가 자신의 전산 자산을 공격자보다 늦게 발견해서는 안 된다”고 강조했다.
이어 국가 차원의 사이버 자산 집중 정비기간을 설정하고, 이 기간에는 한시적인 ‘Safe Harbor’를 함께 운영할 필요가 있다면서 “스스로 과거 보안부채를 찾아 신고하고, 위험을 평가해 개선계획을 제출한 기관과 기업에는 일정한 조건 아래 제재를 유예하거나 감경해 주자”고 제안했다.
특히 국가안보실 중심의 ‘한국형 CSF(Cybersecurity FRAMEwork)’에 대해서는 사이버보안이 어느 한 부처만의 문제가 아니라며 “국방, 정보, 과학기술, 금융, 개인정보, 산업, 에너지, 의료가 모두 연결돼어 있다. AI 에이전트 시대에는 이러한 영역의 경계가 더욱 희미해질 것이다. 개별 부처 대책만으로는 부족하다. 범부처 차원에서 국가안보실이 나서야 한다”고 주장했다. 이어 정책기관 역할은 “무엇을 만들 것인가”를 지시하는 것이 아니라 “무엇이 달라져야 하는가”라는 목표를 결정하는 것이라며 실제 구현은 각 부처와 전문기관, 민간이 담당해야 한다고 덧붙였다.
또 사고가 날 때마다 새로운 컨트롤타워를 만들거나 또 하나의 인증제도를 추가하는 것이 중요한 것이 아니라며 “우리에게 부족한 것은 제도의 숫자가 아니다. 이미 존재하는 수많은 제도를 하나의 목표를 향해 움직이게 만드는 공통의 언어와 방향이다. 그것이 국가안보실이 한국형 CSF를 통해 해야 할 일”이라며 “지금 필요한 것은 또 하나의 새로운 정책이 아니다. 이미 알고 있었지만 제대로 하지 않았던 기본을 국가 차원에서 다시 제대로 실행하는 것”이라며 ‘기본’을 역설했다.
모의해킹(공격) 분야 세계적 기업인 티오리의 박세준 대표는 페북에서 ‘선택과 집중의 시대는 끝났다’는 제목의 글을 게재해 “공격비용이 사라졌다. 뒤집어 보면 방어자의 시대”라고 진단했다. “이번 사태는 시작”이라면서 “AI는 더 똑똑해질 거고 더 싸질 거고, 그래서 공격은 더 잦아지고 더 정교해질 거다. 방향은 이미 정해져 있다”면서 각계가 무엇을 해야하는지 짚었다.
공격 비용과 관련, 박 대표는 “공격자도 지금까지는 투자 대비 수익을 따질 수밖에 없었다. 잘하는 해커는 수가 적고 비싸고 시간도 한정돼 있다. 목표가 열 곳이면 그중 수지가 맞는 두 곳을 골라야 했고, 그래서 공격당하는 곳도 한정될 수밖에 없었다”면서 “하지만 AI 에이전트는 이 계산을 무너뜨린다. 잘하는 해커 하나를 만들어 두면 그 역량을 그대로 곱할 수 있다. 열 곳에 붙인다고 비용과 시간이 열 배가 되지 않는 것이다. 그러면 두 곳을 고를 이유가 없으니 열 곳을 다 두드려 본다. 하나만 걸리면 되고, 걸린 곳을 발판 삼아 2차, 3차 공격까지 갈 수 있으니 안 할 이유가 없다. 금융사 일곱 곳이 같은 시기에 뚫린 건 그래서 놀랍지 않다”고 설명했다.
다른 업종의 침해사고를 조사하면서 AI 에이전트가 공격에 쓰인 정황을 본 건 이미 몇 달 전부터였다면서 “업계에서는 금융권에도 드디어 차례가 왔구나 하는 정도의 반응”이라고 덧붙였다.
또 룰 기반 자동화 공격은 10년 넘게 있었는데 뭐가 다르냐는 질문도 받는다면서 “공격 기법 자체는 똑같다. 크리덴셜 스터핑도, 파라미터 변조도 새로울 게 없다. 달라진 건 그 기법을 실행하는 쪽이 앞뒤 사정을 이해하기 시작했다는 점”이라고 설명했다.
이어 “예전 도구는 사람이 정해 둔 룰 안에서만 움직였다. 하지만 AI 에이전트는 스스로 시나리오를 세운다. 애매하면 다른 방식으로 한 번 더 확인하고, 막히면 다음 수를 추론해서 또 시도한다. 사람이 중간에 지시하지 않아도 다음 단계로 넘어가고, 예전 같으면 놓쳤을 취약점을 끝까지 파고들어 실제로 악용 가능하다는 것까지 증명해 낸다”면서 “여기에 기계여서 가능한 집요함과 동시다발성이 붙는다. 같은 기법을 더 깊게, 더 넓게, 더 빨리 쓰게 된 것”이라고 진단했다.
현재 드러난 금융권 해킹의 침입 경로는 대출모집인용 간편조회 서비스, 직원용 모바일 업무지원 시스템, 영업지원시스템 등이다. 상대적으로 관리 관심이 덜했던 영역이 공격 대상이 된 것이다.
박 대표는 “고객 수천만 명이 쓰는 뱅킹 앱이 아닌 뒤편에서 몇백 명, 몇천 명이 쓰던 시스템들”이라면서 “공격자 입장에서 보면 합리적인 선택이다. 메인 서비스는 방어 수준이 높고, 뚫고 들어가도 그 뒤에 검증과 인증이 겹겹이 있어 공격 비용이 크다. 반면 임직원 관리, 구매, 영업지원 같은 시스템은 그 자체에 민감 정보가 많지 않더라도 내부망으로 한 번에 들어가는 문이 될 수 있고, 들어간 다음 권한을 넓히기가 훨씬 수월하다. 어차피 최종적으로 닿을 수 있는 내부 정보가 같다면 이쪽이 훨씬 매력적인 경로다. 공격자들은 이걸 오래전부터 알고 있었다”고 전했다.
그는 지금 드러난 게 변두리일 뿐, 조사가 진행되면 더 깊은 곳까지 들어간 흔적이 나올 가능성도 열려 있다고 전제하며 “뚫리고도 아직 모르는 곳이 있을 수 있다는 걱정도 당연하다. 그렇다 해도 결론은 달라지지 않는다. 공격자가 변두리를 먼저 두드린 건 거기가 쌌기 때문이고, 그 비용 계산 자체가 사라졌다면 다음 차례는 안쪽이다. 변두리는 이번 사태의 끝이라기보다 시작점으로 봐야 한다”고 진단했다.
특히 그는 “이 사실을 놓고 보면, 지금 쏟아지는 질문 중 상당수가 왜 과녁을 벗어났는지 보인다”면서 신한은행 공격 서버에 그 도구의 흔적이 있었다는 것까지는 확인된 듯하지만 “AI가 스스로 은행을 골라 자율적으로 해킹했다”까지 가는 건 비약이라고 밝혔다. 전체 과정에서 그 도구가 어느 단계에 얼마나 쓰였는지, 사람과 AI가 각각 뭘 했는지는 밝혀진 게 없고, 같이 묶여 거론되는 기관 중에 AI와 무관한 사례가 섞여 있을 가능성도 있다는 것이다.
“설령 그 도구가 맞다 해도 같은 일을 하는 오픈소스는 수없이 많고, 요즘은 AI가 코딩을 잘해서 직접 만들어 쓰는 것도 어렵지 않다”면서 “이런 도구는 특정 LLM에 묶여 있지도 않다. 쓰는 사람이 원하는 모델을 붙여 돌리는 구조라서 중국산 AI의 문제로 끌고 가는 것도 맞지 않다. 또한, 이렇게 위험한 도구를 오픈소스로 공개해도 되느냐는 질문은 칼을 시장에서 팔아도 되느냐는 질문과 같다. 칼은 요리에도 쓰이고 사람을 해치는 데도 쓰이지만, 판매를 막는 걸로 문제가 풀리진 않는다. 중요한 건 누군가 칼을 들고 돌아다닐 때 막아낼 수단을 우리가 갖고 있느냐다”고 말했다.
또 제로 트러스트는 왜 못 막았냐?와 관련해서는 “제로 트러스트는 피해 반경을 줄이는 장치다. 취약점 자체는 막아 주지 못한다”면서 “제로 트러스트가 하는 일은 뚫렸을 때 공격자가 더 멀리 못 가게 구획을 나눠 두는 것이다. 이번에 유출이 수십 명 선에서 끝난 곳들은 공격자가 딱 그만큼만 노린 걸 수도 있지만, 더 가려다 구획에 막혀 멈춘 걸 수도 있다. 그리고 제로 트러스트는 개념이지 솔루션 이름이 아니다. 각 조직이 자기 환경에 맞게 모델링해야 하고, 그 과정에서 안 걸린 구간이 남고, 운영하다 보면 특정 관리자 권한에는 예외를 두게 된다. 망분리 때도 똑같았다. 개념은 멀쩡했고 구현과 운영에 구멍이 있었던 것”이라고 밝혔다.
이중 인증이 있었으면 막을 수 있었을까에 대해서는 “인증은 “당신이 A가 맞나”를 확인하는 것이고, 인가는 “A가 이 데이터를 봐도 되나”를 확인하는 것”이라면서 “인증을 아무리 강화해도 인가 검증이 빠져 있으면 소용이 없다”고 말했다. 이중 인증은 당연히 도움이 되고 해야 하지만, 그것만으로 이번 유형을 막지는 못한다는 것이다.
특히 그는 “여기까지는 암울하게 들리겠지만, 나는 이 상황을 희망적으로 본다”고 말했다. “역사상 처음으로 방어자가 공격자와 대등한 조건에서 겨룰 수 있게 됐기 때문”이라는 것이다.
그동안 사이버 보안은 늘 기울어진 운동장이었다. 공격자는 한 곳만 뚫으면 되지만 방어자는 백 곳을 다 막아야 하기 때문이다. 또 방어자는 공격자만큼의 정보와 기술과 인프라가 없고, 전문가는 비싸고 부족하고 시간은 오래 걸렸다. “그래서 중요한 한두 서비스에 집중하고 나머지는 운에 맡겨 온 것”이라면서 “지금은 공격자가 한 명의 역량을 열 곳에 곱할 수 있다면 방어자도 똑같이 할 수 있다. 방치돼 있던 수백 개의 변두리 시스템을 같은 수준으로 전부 점검하는 일이 이제 가능하다. 공격자가 쓰는 방식 그대로, 공격자보다 먼저 돌려 보고 먼저 고치는 것”이라면서 “공격자는 하던 일을 더 효율적으로 하게 됐지만, 방어자는 전에는 엄두조차 못 내던 일을 하게 됐다. 결국 누가 먼저 돌리느냐의 게임이 됐다”고 진단했다.
각자가 해야 할 일도 제시했다. 금융사의 경우긴급 점검 지침, 즉 외부에 노출된 IT 자산과 서비스를 전부 식별하고 인증이 빠진 서비스를 전수조사하라는 방향은 맞지만 “문제는 이걸 이번 주에 한 번 하고 끝내느냐다”면서 ” 대출모집인용, 직원용, 영업지원용, 협력사용, 이름이 생소할수록 먼저 봐야 하고, 그 전체를 공격자가 쓰는 방식 그대로 기계의 속도로 계속 점검해야 한다. 중요한 곳을 깊게 보는 것만큼 넓은 영역을 계속 보는 게 중요해졌고, 사람 전문가 몇 명으로는 이 폭을 감당할 수 없다”고 설명했다.
그래서 질문을 바꿔야 한다면서 “뚫릴까”에서 “뚫리면 어디까지 가나“로 바꾸자면서 “취약점을 먼저 찾아 고치는 일, 그래도 뚫렸을 때 피해를 거기서 끊는 일, 시도 자체를 빨리 알아채는 일은 서로 다른 층의 방어라 어느 하나가 다른 걸 대신하지 못한다. 100%는 없으니 이 층들이 다 있어야 하고, 이번에 뚫린 곳들은 이 중 어디가 비어 있었는지 스스로 따져 보면 답이 나올 것”이라고 짚었다.
당국에 대해서는 “특정 도구를 차단하거나 특정 국가 모델을 금지하는 걸로 정리하면 보기엔 깔끔해도 다음 공격은 그냥 다른 도구, 다른 모델로 들어온다”면서 “필요한 건 토대 쪽이다. 이번에 당국이 공격 IP를 공유하자 다른 기관에서 추가 피해가 줄줄이 확인됐는데, 공격 기법과 지표를 이렇게 빨리 돌리는 체계가 상시로 있어야 한다”고 제안했다.
또 외부에 노출된 것부터 공격자와 같은 방식으로 먼저 두드려 보는 일은 토대와 별개로 지금 바로 시작해야 한다면서 “그렇게 해야 어디에 무엇이 노출돼 있는지 자산 목록부터 제대로 채워진다. 토대를 다지는 일과 당장 뚫릴 곳을 찾아 막는 일은 나란히 가야 한다. 금융권에 AI 활용의 문을 열어 준 샌드박스도 이번 일을 계기로 더 넓어졌으면 한다”고 말했다.
특히 그는 ” 지금은 초입”이라면서 “전선은 엄청나게 넓어졌다. 저쪽은 전투기를 띄우는데 우리가 칼 들고 나갈 수는 없다. 같은 무기를 우리가 더 잘 써야 하고, 다행히 그게 가능해진 첫 번째 시대이기도 하다”면서 “혼자 막기에는 전선이 너무 넓다. 찾아낸 걸 서로 나누고 같이 막는 쪽이 결국 버틴다. 지금 가속해서라도 움직이면 더 큰 재앙은 막을 수 있다. 가만히 있어서 해결되는 건 없다”고 밝혔다. 박 대표와 티오리는 해킹 대응 연합체인 ‘캐노피’를 이끌고 있다.
보안전문가로 SNS에서 큰 영향력을 갖고 있는 신수정 전 KT 부사장은 ‘사이버보안에서 가장 중요한 과제 중 하나가 ‘가시성의 확보”라면서 “경영자와 일반 임직원들도 자신의 회사에 어떤 위협이 있고 어디가 취약하며 위험이 커지고 있는지 줄어들고 있는지를 이해할 수 있어야 한다”고 짚었다.
과거에는 경영자들이 보안에 관심이 적었고 투자도 부족했다면서 “그 시절에는 책임과 처벌을 강화해 경영자의 관심을 끌어내는 것이 효과가 있었다. 이를 통해 보안 조직도 만들어졌고 CISO도 의무화되었으며 정보보호관리체계 인증도 확대됐다”고 지적하며 “그러나 지금은 이 차원을 넘어야 할 필요가 있다. 이제, 최소한 큰 기업의 경영자들은 보안의 중요성을 안다. 돈도 쓰려고 한다. CISO를 두고 여러 보안 솔루션도 도입한다. 그런데도 사고가 난다. AI는 방어에도 쓰이지만 공격에도 쓰인다. 이미 많은 기업에서는 AI를 방어에 쓰고 있다”고 말했다.
경영자들은 “도대체 어디에 투자해야 하는가?” “뭘 더 해야 하나?”를 묻지만 이 질문에 명확히 답해주는 경우가 의외로 많지 않다면서 “사이버보안에서 가장 중요한 과제 중 하나가 ‘가시성의 확보”라며 가시성을 강조했다. 실제 보안전문가들은 각 회사가 가진 IT자산과 숨어있는 IT자산을먼저 파악하는 것이 보안의 출발이라고 지적한다.
신 부사장은 “CISO의 가장 큰 역할도 여기에 있다”면서 “기술을 아는 데서 끝나서는 안 된다. 복잡한 사이버 위험을 CEO와 임직원들이 이해하고 판단할 수 있도록 보여줘야 한다. 사실 이 부분이 쉽지는 않다”고 전했다. 그러나 최근 AI로 이 부분을 상당부분 해결할 수 있다면서 “AI를 통해 위협정보, 취약점을 분석해 어디에 무엇이 이슈가 되는지 가시화 할 수 있다. 더 중요한 것은 이를 기술자의 언어가 아니라 경영자의 언어로 번역해야 한다”고 말했다.
두 번째로 바꿔야 할 것은 사용자에게 계속 부담을 주는 방식이라며 “사고가 날 때마다 비밀번호를 더 복잡하게 만들고 자주 바꾸라고 한다. 그러나 사람이 수많은 복잡한 비밀번호를 기억해야 하는 시스템이 과연 좋은 보안 시스템일까?”라고 의문을 던지며 “좋은 시스템은 사람에게 더 많은 주의를 요구하는 시스템이 아니다. 사람에게 덜 의존하는 시스템”이라며 아이디, 패스워드 시스템은 이제 사라져야 한다고 강조했다.
이외에 공격자를 찾아내 처벌하는 역량에도 집중하자고 제안했다. 방어력과 함께 도둑을 찾는 것도 중요하다면서 “잡힌 도둑에게 범죄의 기대수익을 압도할 정도의 대가를 치르게 해야 한다”면서 “보안의 목적은 사고가 날 가능성을 낮추고, 공격할 엄두가 나지 않게 만드는 것”이라고 짚었다.
이원태 국민대 교수(국가AI전략위 보안특위 위원장)는 페이스북에 “중국어 코드가 중국 해커를 뜻하지 않는다. ARTEX 흔적과 국가배후 공격을 구분해야 한다”며 그 이유를 기술했다. 이번 해킹 사태로 ‘중국 배후’를 지목하는 데 대해 더 신중해야 한다는 것이다. “왜냐하면, ‘중국에서 개발된 도구’와 ‘중국 국가배후 공격’은 서로 전혀 다른 명제이기 때문”이라면서”중국산 도구가 쓰였다는 것은 ‘무엇으로 공격했나’에 대한 단서일 뿐, ‘누가 공격했나’에 대한 답이 아니라는 것”이다.
또 국가배후를 판단하려면 여러 겹의 증거가 필요하다면서 “국가배후를 공식적으로 지목(귀속)하려면 기술 증거, 운영 정황, 정보기관 정보 등이 겹겹이 쌓여야 한다”면서 “지금까지 공개된 건 화면 문구 하나”라고 지적했다. 그는 2018년 평창올림픽 해킹(올림픽 디스트로이어)에서도 공격자가 북한 해커조직의 흔적을 흉내 내 수사를 혼선에 빠뜨렸고, 이후 다른 나라의 소행으로 지목된 적이 있다면서 “눈에 띄는 단서일수록 ‘거짓 깃발’일 가능성을 함께 따져야 한다”고 말했다.
최경진 가천대 교수(한국정보법학회장)은 최근 지디넷코리아 기고에서 일련의 금융권 해킹 사태를 언급하며 “AI가 바꾼 것은 속도지 기본이 아니다”며 기본을 강조했다. 최 교수는 문제도 AI, 해법도 AI라는 구도는 두 가지 중요한 점을 놓친다고 지적했다.
그 중 하나는 원인으로 “AI에 뚫렸다는 건 기본을 놓쳤다”는 것이라며 “법이 묻는 것도 공격자가 무엇을 썼는냐가 아니라 마땅히 해야 할 조치를 다했는냐”라고 짚었다.
또 연속성 문제를 거론하며 “우리는 이미 제로트러스트 지침과 망분리 개선 로드맵, 범부처 정보보호종합대책을 발표, 쌓아왔다”면서 “이위에 이어지지 않은 채 새 간판만 단 AI식 해법은 현장헤 단순히 과제 하나를 더 얹을 뿌”이라고 지적했다. 이어 “답은 기본으로 돌아가는 것”이라면서 “다중인증, 비정상 접속 탐지와 차단, 외부에 노출된 자산식별과 최소화, 발견한 취약점 신속한 보완 등이 필요하다”고 밝혔다.
나루시큐리티 김혁준 대표는 페이스북에서 AI 시대의 보안 기술 중심이 지역 방어에서 비즈니스 중심의 광역 방어로 바뀌었다고 짚었다. 이번 은행권 정보 유출 사고가 남긴 진짜 질문은 ‘어느 서버가 해킹당했는가’가 아니라, ‘우리는 무엇을 지키고 있었는가’라면서 “지금까지 사이버보안은 한 지역을 지키는 방법이었다. 중요한 서버와 네트워크 구역을 정하고, 그곳에 장비와 인력을 집중해 경계를 더 단단히 했다. 공격자가 정해진 구역을 직접 노릴 때는 이 방법이 잘 통했다”고 전제하며 “하지만 신한은행 사고에서 드러난 해킹 경로는 달랐다. 대출 모집인용 조회 서비스에서 얻은 고객번호가 다른 조회 서비스의 고객정보를 여는 열쇠가 됐다”고 말했다.
KB국민은행과 하나은행 정보 유출도 고객용 뱅킹이 아니라 직원이나 영업용 업무 채널에서 일어났다면서 “업계에서는 보안이 약한 ‘위성 사이트’가 너무 많다고 지적한다. 공격자들은 방어가 집중된 구역을 피해간다. 그리고 구역과 구역 사이의 업무 연결구간에 있는 비즈니스 맥락을 이용한다”면서 “AI는 이 연결을 새로운 공격 공간으로 바꾼다. 서비스와 식별자, 권한과 업무 절차가 맞물리는 조합은 대형 조직일수록 셀 수 없이 많다. 그러나 사람이 그 조합을 하나하나 살피려면 막대한 시간과 노력이 든다. 위험한 연결이 있어도 대부분은 공격받지 않은 채 잠재해 있었다”고 진단했다.
이어 AI는 여러 지점에서 얻은 정보를 합친다면서 “한 서비스의 출력이 다른 서비스의 입력이 되는 관계를 찾는 데 드는 비용을 크게 줄인다. 그 결과 잠재해 있던 조합들이 실제로 공격할 수 있는 ‘다차원 취약점 공간’으로 드러난다. 취약점은 더 이상 특정 서버에 찍힌 하나의 점이 아니다. 이제 업무의 연결이 만들어 내는 공간이 됐다”고 진단했다.
사이버공격은 이제 경계를 넘어 연결된 곳을 노린다면서 “이런 비대칭 상황에서는 지역방어의 효과가 점점 줄고 있다. 광역방어는 단순히 경계선을 넓히는 일이 아니다. 업무의 시작부터 끝까지, 부서와 채널, 서비스 전반에 걸쳐 흐르는 정보와 권한, 즉 다차원 취약점 공간 전체를 방어 범위로 삼아야 한다”면서 세 가지가 필요하다고 짚었다.
첫째, 기술 자산뿐 아니라 업무 흐름과 데이터 결합도 함께 파악할 수 있는 비즈니스 가시성 필요 둘째, 개별 요청이 허용되더라도 여러 서비스에 걸친 행동이 권한이나 목적을 벗어나는지 확인할 수 있어야 하며 셋째, 위험한 연결을 바로 차단하되 핵심 업무는 계속할 수 있는 통제 구조가 필요하다는 것이다.
이어 김 대표는 “AI 시대의 보안은 ‘어느 구역에 장비를 더 둘 것인가’보다 ‘우리 업무에서 어떤 연결이 가장 약한가’를 먼저 생각하는 것에서 시작한다”고 강조했다.