AI가 바꾼 건 속도, 보안 사고 원인은 '기본 소홀'

9월 말부터 은행, 저축은행, 캐피탈사에서 개인정보 유출 사고가 잇따라 확인됐다. 당국 조사 결과 뚫린 곳은 대출모집인·직원용 업무지원 시스템 같은 부가 시스템이었고, 원인은 본인확인 누락, 접근통제 미비, 이미 알려진 취약점 등 기본적인 보안 관리 소홀로 드러났다. 공격에는 자율형 침투테스트 AI 도구가 쓰인 것으로 추정되지만, 필자는 AI가 공격 속도와 규모만 늘렸을 뿐 공격 방식 자체를 바꾼 것은 아니라고 지적한다. 글은 제로트러스트 원칙과 사고 탐지·복원력을 정보보호체계에 내재화하고, 특정 기술 열거가 아닌 원칙·목표 중심의 법과 제도를 갖춰야 한다고 제안한다.

이 일이 어디서 왔나

9월 말부터 신한·KB국민·하나·우리·부산은행 등에서 외부 해킹으로 개인정보가 잇따라 유출됐고, 10월 4일에는 이 공격 인프라에서 AI 기반 자율 침투테스트 도구 '아르텍스' 흔적이 국내 4곳에서 확인됐다는 보도가 나왔다. 이 칼럼은 그 연장선에서, 당국 조사 결과 실제 뚫린 지점이 대출모집인·직원용 업무지원 시스템 같은 부가 시스템이었고 원인이 본인확인 누락·접근통제 미비 같은 기본 보안 소홀이었다는 점에 주목한다.