철저한 보안을 자부하던 금융권의 개인정보가 유출되고 가상자산 플랫폼에서 수조 원대 탈취 사고가 잇따르고 있다. 인공지능(AI) 기술이 촉발한 이른바 '대(大)해킹' 시대가 도래하면서, 기존의 형식적인 보안 체계에서 벗어나 근본적인 대전환이 필요하다는 목소리가 높다.
8조 원대 가상자산 탈취와 북한의 배후설
미국 연방수사국(FBI)은 지난달 31일(현지시간), 세계 최대 암호화폐 거래소인 바이낸스에서 발생한 60억 달러(한화 약 8조 150억 원) 규모의 가상자산 탈취 사건에 대해 북한의 소행이라고 공식 발표했다. FBI는 이번 공격의 배후로 북한 해킹 조직인 '트레이더트레이터'를 지목했다. 월스트리트저널(WSJ)과 블룸버그 등 주요 외신에 따르면, 해커들이 8조 원에 달하는 막대한 자산을 탈취하는 데 소요된 시간은 단 20분에 불과했다.
FBI는 트레이더트레이터 조직이 탈취한 자산을 주로 이더리움으로 바꾸는 정황을 포착했으며, 이를 통해 자금 세탁을 지속할 것으로 내다봤다. 도널드 트럼프 미국 대통령 역시 같은 날 플로리다주 마러라고 자택에서 기자들과 만나, 배후가 북한인지는 확언할 수 없으나 만약 사실로 밝혀진다면 북한과 이 사안에 대해 논의할 것이라고 밝혔다.
연쇄 피해 부르는 공급망 공격과 AI의 위협
국내에서도 금융사와 기업들의 해킹 피해가 심각하다. 특히 웹사이트 서버 언어로 널리 쓰이는 자바(Java)에서 원격 코드 실행이 가능한 취약점이 발견됨에 따라 해킹 위협이 고조되고 있다. 개별 기업을 직접 겨냥하는 공격뿐만 아니라, 여러 조직이 공통으로 이용하는 외부 서비스나 소프트웨어의 약점을 파고들어 연쇄적인 피해를 입히는 방식에 대한 우려도 커지는 중이다. 실제로 지난 10월 한 달간 국내 주요 기관 및 기업 25곳에서 유출된 개인정보는 약 534만 건에 이르는 것으로 확인됐다.
최근의 해킹 양상은 과거와 비교해 두 가지 측면에서 뚜렷한 차이를 보인다. 첫째, 기업의 핵심 전산망을 정면 돌파하기보다는 주변 연결 지점을 노린다. 안랩이 지난달 29일 발표한 보고서에 따르면, 최근 한 달간 한국과 일본에서 발생한 해킹 사고를 분석한 결과 직원용 영업 지원 시스템, 외부 백업 서비스, 클라우드 내 임시 파일, 포털, 외부 공제 홈페이지 등이 주요 침입 경로로 나타났다. 보고서는 자율형 공격 에이전트가 보안 통제가 허술한 외곽의 약한 고리를 자동 스캔하여 집요하게 공략한다고 분석했다.
둘째, 다수의 고객사를 보유한 외부 업체를 공략하는 방식이 확산되고 있다. 마이크로소프트(MS)는 지난달 21일 보고서를 통해 중국과 연계된 해킹 조직이 외부 업체의 다중 고객용 애플리케이션에 침입한 뒤, 이미 획득한 권한을 이용해 고객사의 클라우드까지 침투를 시도한 사례를 공개했다. 분석 결과 특정 공격은 타겟 설정 후 클라우드 관리 권한을 장악하기까지 3시간도 걸리지 않았다. 이는 클라우드 서비스 한 곳의 보안 사고가 연결된 모든 고객사로 전이될 수 있음을 시사한다.
기술적 한계와 정보 공유 체계의 부재
AI 기술은 해킹의 속도와 범위를 비약적으로 확장시켰다. 김범수 연세대 정보대학원 교수는 AI가 과거에는 공략 가치가 낮다고 판단했던 사소한 취약점들까지 대량으로 찾아낼 수 있으며, 이를 연결해 강력한 공격으로 전환할 수 있다고 경고했다. 반면 방어 측면에서는 기술이 있어도 현장 적용에 시간이 걸린다는 한계가 있다. 최대선 숭실대 소프트웨어학부 교수는 공격은 단 하나의 허점만 찾아내면 되지만, 방어는 인증, 탐지, 패치, 접근 통제가 유기적으로 작동해야 하기에 실제 적용까지 시차가 발생한다고 설명했다.
시스템적인 대응 체계의 미비도 문제로 지적된다. 금융위원회 조사에 따르면, 금융감독원과 금융보안원이 파악한 정보는 통합관제시스템을 통해 전파되었으나 각 금융회사가 자체적으로 확보한 정보는 타사와 공유되지 않았다. 이로 인해 특정 회사가 발견한 의심스러운 접근이나 신종 공격 수법을 다른 회사가 선제적으로 파악하기 어려운 구조다. 공격자가 IP 주소나 침입 경로를 수시로 바꾸는 만큼, 기업 간 정보를 신속히 공유하고 공동으로 대응하는 체계 구축이 시급하다.
김범수 교수는 인적 요소와 AI가 결합한 공격 환경에서 과거의 안전했던 시스템은 더 이상 안전을 보장할 수 없다고 강조했다. 그는 이제 사고 발생 자체를 완전히 막는 것을 목표로 삼기보다는, 치명적인 핵심 시스템을 우선적으로 방어하여 최종적인 피해 규모를 최소화하는 방향으로 전략을 수정해야 한다고 제언했다.