[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

국가배후 해킹조직의 해킹 공격 주의…합동 사이버보안 권고문 발표

국가정보원, 경찰청, 한국인터넷진흥원(KISA), 금융보안원과 민관 합동분석협의체(안랩·S2W·엔키화이트햇·플레인비트)가 지난 30일 국가배후 해킹조직의 공격에 대비할 것을 당부하는 합동 사이버보안 권고문을 발표했다.

국가배후 해킹조직들은 이력서나 채용 제안, 기부금 문의 등으로 위장한 사회공학적 피싱 메일을 유포하고 있다. 국민들이 자주 이용하는 언론사, 병원, 소규모 웹사이트를 해킹해 악성코드 유포 거점으로 삼는 ‘워터링홀(Watering Hole)’ 공격도 전개 중이다. 워터링홀 공격은 해커가 정상적인 웹사이트를 침투해 소스코드 내에 악성 스크립트를 숨겨두는 방식이다. 사용자가 평소처럼 접속하면 화면상에는 이상 징후나 설치 안내창이 보이지 않지만, 접속만 해도 PC에 설치된 구버전 보안 프로그램(전자서명, 키보드 보안 등)과 결합해 악성코드가 자동 설치될 수 있다.

해킹메일은 채용이나 투자 지원 등을 가장해 첨부파일 대신 링크를 보내는 식으로 감염시킨다. 이 링크는 해킹조직이 미리 개설했거나 해킹한 블로그·깃허브 페이지로 연결된다. 또한 이미 해킹한 정상 웹사이트에 악성코드를 심고 사이트 주소를 메일 본문에 넣기도 한다. 실제로 헤드헌터의 이메일 계정을 도용해 수신자의 신뢰를 얻는 사례가 확인됐다.

악성코드에 감염되면 브라우저에 저장된 계정·비밀번호가 그대로 유출되며, PC 내부의 문서, 사진, 메신저 대화 내용까지 넘어갈 수 있다. 같은 네트워크에 연결된 다른 PC로 감염이 확산하거나, 소스코드나 영업비밀 등 자료를 확보한 뒤 공개하겠다며 금전을 요구하는 사례도 있다. 이에 작성기관은 보안 소프트웨어를 포함한 모든 프로그램을 최신 버전으로 유지하고, 중요 계정에는 2단계 인증과 백신을 적용하며, 출처가 불분명한 메일의 첨부파일과 링크는 열지 말라고 당부했다.

조직 차원에서는 망분리와 다중인증, 정기적인 모의훈련이 필요하다고 강조했다. 보안 방안과 자산을 체계화하고 모니터링 강화하며, 중요 서버와 업무 PC는 물리적, 논리적 망분리가 중요하다. 직원들의 보안 인식을 제고하고, 주기적인 직원 보안 교육을 시행한다. 침해사고를 인지한다면 즉시 관할기관에 신고하고, 필요 시 수사기관에 수사 의뢰해야 한다.

중기부 ‘모두의 창업’ 유출, 조사 결과 발표

지난 6월 중소벤처기업부(중기부)가 운영하는 정부 창업지원 프로그램 ‘모두의 창업’에서 합격자 5000명의 개인정보가 유출된 사고의 조사 결과가 나왔다. 노용석 중소벤처기업부 장관 직무대행 1차관은 지난 31일 브리핑을 열고, 국가정보원과 합동으로 진행한 조사 결과를 공개했다.

유출된 정보는 모두의 창업 합격자 5000명의 이메일 주소, 심사평, 200자 이내 창업 아이디어 요약 등으로 최종 확인됐다. 사고 원인은 사이트 내 일부 API로, 합격자 프로필을 만들어 홍보하는 과정에서 심사평과 창업 아이디어 요약본 등 비공개 정보가 API에 포함됐고, 외부 세력이 웹 크롤링으로 해당 API를 수집하면서 정보가 유출됐다. API에 비공개 정보가 포함된 상태에서 이를 복호화할 수 있는 암호화 키까지 소스코드 형태로 함께 노출돼 있던 것으로 밝혀졌다. 비공개 정보가 포함된 API에는 총 39개의 국내 IP가 접근을 시도한 사실이 드러났다. 세부 IP 내역, 유출된 정보를 활용해 이메일을 발송한 업체가 연루됐는지 여부 등은 경찰 조사가 진행 중이다.

중기부는 피해자 구제 조치의 일환으로 영업비밀 원본 증명 875명, 아이디어 임치 232명 등 총 1000여 명의 아이디어 보호를 무상 지원했다. 또한 이를 계기로 모두의 창업 시스템 보안 강화에 나선다. 비공개 정보 유출 가능성을 차단하기 위해 API 전반을 점검해 수집 정보를 최소화하고 불필요한 기능을 삭제했다. 신규 암호화 솔루션을 도입하고, 모든 API 로그를 기록하며 웹 크롤링 시도 차단 기능도 고도화한다.

회원 탈퇴 즉시 개인정보를 파기하도록 보유 기준도 정비했다. 제출된 창업 아이디어를 개인정보에 준하는 중요 자산으로 재정의해 관리 범위를 대폭 넓혔다. 향후 민간 협력 플랫폼 형태로 구축됐던 해당 시스템의 보안 체계를 공공 정보시스템 수준으로 전면 강화할 방침이다. 한편, 모두의 창업 2기 접수는 보안 조치 관련 행정 절차가 마무리되는 8월 중순 이후 시작될 예정이다.

불법 펨토셀에 뚫린 KT, 과징금 540억 원 육박

개인정보보호위원회(개인정보위)가 지난 29일 전체회의에서 지난해 9월 발생한 KT의 개인정보 유출사고에 대해 과징금 539억 7900만 원을 부과하기로 의결했다. 국내 개인정보 유출 사건 중에서도 손꼽히는 규모다. 해커는 유실된 KT의 초소형 기지국(펨토셀)의 인증서를 빼내 자체 제작한 펨토셀에 심었고, KT 내부망에 접속했다. 이용자 단말이 가짜 펨토셀을 거치도록 유도해 데이터를 가로챘고, 미리 확보한 정보와 결합해 소액결제 인증에 쓰이는 SMS·ARS까지 탈취했다. 이 과정에서 이용자 1만 6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 368명이 약 2억 4000만 원 상당의 무단 소액결제 피해가 발생했다.

개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 길게 설정한 데다, 접속 IP도 제한하지 않아 해외 IP에서까지 접속이 가능했다며 내부망에 대한 기본적인 접근통제 관리가 소홀했다고 지적했다. 관리서버를 우회하는 경로가 남아 있었고, 셀 ID 관리도 이뤄지지 않아 비인가 접속을 걸러낼 방법이 없었다. 이런 허점 탓에 해커는 2024년 10월부터 2025년 9월까지 약 11개월간 KT 내부망에 무단 접속했지만, KT는 이를 알아채지 못했다.

특히 서버가 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않았으며, 이후 조사 과정에서 감염 서버 로그 일부를 삭제한 정황이 포착됐다. 개인정보위는 KT에 펨토셀을 포함한 통신설비 전반의 취약점 점검과 개인정보보호책임자(CPO)의 실질적 역할 수행 등을 담은 대책을 3개월 내 보고하도록 했다. 이번 사건을 계기로 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정을 신설하고, 매출액 3% 과징금 부과 등 제도 개선도 추진한다.

한편, 개인정보위는 지난해 9월 LG유플러스의 개인정보 유출 정황에 대한 조사에 착수한 바 있다. 임직원 및 협력사 직원의 계정 정보가 담긴 텍스트 파일 유출 여부를 점검하던 중 LG유플러스가 조사 착수 전 관련 서버 운영체제를 재설치한 정황이 드러나 수사기관에 의뢰했다. 이에 LG유플러스 측은 폐기 의혹을 부인하고 있는 상황이다. 개인정보위는 조사 실효성 강화를 위해 조사 비협조 시 이행강제금 부과 등 보호법 개정을 추진할 방침이다.

S2W, 공격자 관점 AI 취약점 진단 사업 본격화

빅데이터 분석 AI 기업 S2W가 AI 서비스 취약점 진단 사업을 확대한다고 지난 30일 밝혔다. AI가 기업 핵심 업무 시스템에 적용되면서 기존 보안 체계로는 대응하기 힘든 위협이 늘어남에 따라, 기업들이 안전하게 AI를 도입하도록 돕겠다는 취지다.

S2W는 다크웹과 텔레그램, 해킹 포럼에서 수집한 거대언어모델(LLM) 공격 기법을 진단 과정에 실시간 반영한다는 점을 강점으로 내세운다. 국제 비영리 단체 OWASP의 ‘OWASP Top 10 for LLM’을 표준으로 삼되, 산업별 특성을 반영한 점검 항목을 추가해 맞춤형 진단을 제공한다. 모델, 프롬프트, 데이터, 에이전트 등 AI 서비스를 구성하는 요소별로 취약점을 분석하고 구체적인 개선 방안까지 제시하는 방식이다.

S2W는 이번 사업 확대와 동시에 국내 대형 금융사의 AI 서비스 취약점 진단 사업을 수주했으며, 금융권의 엄격한 보안 기준과 규제 환경을 반영한 취약점 진단을 진행 중이다. 향후에는 다른 산업으로도 진출 범위를 넓힐 계획이다.

양종헌 S2W 통합분석실장은 “AI 서비스의 잠재적 위험을 사전에 찾아내려면 AI 기반의 정교한 점검과 공격자 관점의 전문 검증이 함께 이뤄져야 한다”며, “자체 개발한 AI 도구에 오펜시브 보안 전문가의 노하우를 결합해 실효성 높은 진단 서비스를 제공하겠다”고 말했다.

가트너 “데이터 유출보다 무서운 AI 추론 위험 경계해야”

글로벌 리서치 기업 가트너가 2029년까지 발생할 개인정보 침해 사고 대부분이 개인식별정보의 직접 유출이 아닌 AI가 개인에 대해 만들어낸 ‘추론’에서 비롯될 것이라는 전망을 지난 3일 발표했다. 개인정보 침해의 중심이 데이터 유출에서 인사이트 유출로 옮겨가고 있다는 지적이다.

그동안 기업들은 개인정보 데이터 자체를 지키는 데 집중해 왔지만, 생성형 AI와 머신러닝 기술이 고도화됨에 따라, 공격자들이 기존 데이터 통제망을 거치지 않고도 개인의 건강 상태나 행동 패턴 같은 민감한 정보를 유추해낼 수 있게 됐다. 기업들이 규제와 비용 부담을 줄이려 개인 데이터 보유량을 줄이고 있지만, 역설적으로 추론 기반의 공격 환경은 더 용이해진 셈이다.

가트너는 “추론 기반 위험은 기존 탐지 체계로 포착하기 어렵다”면서 “이러한 흐름에 따라 기업들이 2028년까지 데이터 무결성 보호에 대한 투자를 대폭 늘릴 것”이라 예측했다. 가트너는 대응 전략으로, ▲AI 개발·배포 전 과정에 프라이버시 중심 설계 적용 ▲차등 프라이버시나 합성 데이터 등 개인정보 보호 강화 기술(PET) 적극 도입 ▲AI가 데이터 수집 범위를 최소화하고 적시에 파기 ▲간접적인 악용 패턴을 포착하는 모니터링 역량 강화 ▲AI의 추론 한계를 명확히 문서화하고, 사람이 검증하는 ‘휴먼 인 더 루프’ 의무화 등 5가지를 강조했다.

가트너는 “개인정보 보호를 데이터 저장 및 보안으로만 인식하는 기업은 AI가 생성하는 추론형 침해 사고에 취약해질 것”이라며, “향후 개인정보 보호 성패는 데이터 저장 방식보다 AI의 데이터 해석 방식에 결정될 것라고 지적했다.

IT동아 김예지 기자 (yj@itdonga.com)