[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

166만 명 개인정보 유출사고…GS리테일, 과징금 128억 원

개인정보보호위원회(개인정보위)가 지난 26일 제17회 전체회의에서 대규모 개인정보 유출 사고를 낸 ㈜지에스리테일(GS리테일)에 과징금 128억 3600만 원을 부과한다고 밝혔다. 엔라이즈(데이팅 앱 운영 등 서비스), SK텔레콤(메타버스 서비스), 에이토즈(온라인 마케팅 서비스) 등 3개 사업자에도 개인정보처리시스템에 대한 안전조치를 소홀히 한 이유로 과징금 및 과태료를 부과했다.

해커는 GS SHOP 및 GS25 홈페이지에 확보한 계정 정보를 무작위로 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’ 공격을 시도했다. GS SHOP에 2024년 6월부터 2025년 2월까지, GS25에 2024년 12월 말부터 2025년 1월 초까지 침투했다. 이를 통해 해커는 GS SHOP에서 158만 1025명, GS25에서 7만 9128명의 개인정보(이름, 성별, 생년월일, 연락처, 주소, 이메일 등)를 탈취했다.

GS리테일은 동일 IP에서의 대량 로그인 시도를 탐지·차단하는 기본적 보안 정책을 갖추지 않았으며, 로그인 실패율이 급증하는 이상징후에도 신속히 대응하지 못했다. 더욱이 2025년 1월 GS25의 유출을 인지했음에도 GS SHOP 공격을 뒤늦게 2월에야 파악해 유출 피해를 키웠다. 사고 당시 개인정보 전담조직이 부재했고 이원화된 보안 운영으로 거버넌스가 미흡했던 점, 일부 유출 대상자에 대해 유출 통지 기한(72시간)을 넘겨 통지한 점도 드러났다.

한편, 엔라이즈는 본인인증 취약점으로 736개 계정이 유출돼 과징금 1억 1844만 원과 과태료 360만 원을 부과받았다. SK텔레콤은 ‘이프랜드’ 이벤트 페이지 운영을 맡긴 위탁업체 ‘에이토즈’의 관리 부실로 1140명의 개인정보가 유출됐다. 유출 통지 지연으로 과태료 360만 원과 시정명령을, 에이토즈는 경고 처분을 각각 받았다.

내년 AI 보안 시장 69% 성장 전망

AI 기술이 전 산업군으로 급격히 확산함에 따라, AI 시스템 자체를 보호하고 신종 사이버 위협에 대응하기 위한 AI 보안 시장이 폭발적인 성장세를 나타내고 있다. 글로벌 시장조사업체 가트너는 지난 1일 내년 AI 보안 시장 규모가 올해보다 69% 늘어난 약 47억 8300만 달러(약 6조 6000억 원)에 이를 것이라 전망했다. 2028년에는 77억 달러(약 10조 6000억 원) 규모까지 커질 전망이다.

AI 에이전트 도입이 본격화되면서 프롬프트 인젝션, 데이터 오염, 공급망 공격 등 기존 솔루션으로는 막기 힘든 고도화된 공격 기법이 대두되고 있다. 가트너는 2029년까지 AI 에이전트를 겨냥한 사이버 공격 성공 사례의 절반 이상이 접근 제어 취약점과 프롬프트 인젝션에서 비롯될 것이라 경고했다.

분야별로는 AI 애플리케이션 보안 부문에서 내년 지출 규모가 8억 5100만 달러(약 1조 2000억 원)에 달할 것으로 예상된다. AI 사용 통제 부문은 73.0%라는 가장 높은 연간 성장률을 보일 것으로 전망된다. 기업 내부 직원의 무분별한 AI 활용으로 인한 데이터 유출 위험을 통제하려는 수요가 급증했기 때문이다.

이러한 흐름에 발맞춰 AI 보안 시장 경쟁도 치열해질 전망이다. AI 거버넌스 플랫폼과 게이트웨이 분야는 기존 데이터 및 API 관리 솔루션을 보유한 대형 보안 기업들이 시장을 주도하는 반면, 애플리케이션 보안과 사용 통제 분야는 유연한 기술력을 갖춘 스타트업들이 대거 진입하고 있다. 향후 대형 보안 플랫폼 기업들이 포트폴리오 확장을 위해 스타트업을 인수합병하는 흐름이 거세질 것으로 전망된다.

KISA, AI 에이전트로 모의 해킹…실전 훈련 참여 기업 모집

과학기술정보통신부와 한국인터넷진흥원(KISA)이 지난 1일 AI 에이전트를 동원한 모의 침투 훈련을 위해 ‘2026년 하반기 사이버 위기 대응 모의훈련’에 참여할 기업을 공개 모집한다고 밝혔다.

이번 하반기 훈련의 가장 큰 특징은 웹사이트 대상 모의 침투 훈련에 AI 에이전트 기술을 시범 적용한다는 점이다. 과거 화이트 해커가 수작업으로 진행하던 한계에서 벗어나, AI 에이전트가 각 기업 홈페이지의 구조적 특성을 자동으로 분석하고 맞춤형 공격 시나리오를 생성해 침투 가능성을 정밀 검증하는 방식이다.

이 훈련은 KISA가 매년 상·하반기에 진행하는 프로그램으로, ▲임직원 대상 해킹 메일 대응 절차 점검 ▲디도스(DDoS) 공격 탐지·대응 능력 점검 ▲기업 홈페이지 대상 모의 침투 ▲서버 취약점 탐지·대응 점검 등을 수행한다. 실제로 지난 상반기 모의훈련에서 자체 훈련 비율이 높을수록 해킹 메일 열람·감염률이 낮았고, 디도스 공격 훈련에서도 재참여 기업의 평균 대응 시간이 신규 참여 기업보다 3배 이상 빨랐다는 점이 확인됐다.

참여를 원하는 기업은 규모나 업종 제한 없이 신청할 수 있다. 모집 기간은 9월 1일부터 10월 2일까지며, 실제 훈련은 10월 19일부터 30일까지 2주간 진행된다. 참여 기업에는 훈련 종료 후 침해사고 대응체계 개선을 위한 분야별 대응 가이드와 최신 침해사고 동향 자료가 제공되며, 정보보호 공시제도의 정보보호 활동 현황에 참여 사실을 기재할 수 있다.

개인정보위, 금융권 불필요한 주민번호 수집 관행 개선

개인정보위는 지난 4월부터 은행, 생명보험, 손해보험, 신용카드, 저축은행, 증권 등 금융 6개 분야 220개사를 대상으로 사전 실태점검을 실시하고, 법령상 근거 없이 주민등록번호를 처리해 온 사례를 찾아내 개선했다고 27일 밝혔다.

금융권에서는 금융거래 과정에서 법에 따라 주민번호를 다뤄야 하는 경우가 많다 보니, 이를 본인 확인 수단으로 널리 활용하는 관행이 자리 잡아왔다. 그러나 문제는 이 과정에서 법적 근거가 없는 일반 업무까지 주민등록번호를 요구하는 경우가 고착화되어 왔다는 점이다. 예컨대, 금융거래가 없는 경우임에도 온라인 서비스 단순 회원가입 시 주민등록번호를 요구하는 경우다. 주민등록번호는 유출 시 2차 피해 위험이 상존하는 고유식별정보인 만큼 법령에서 명시한 경우를 제외하고는 처리가 엄격히 제한된다.

개인정보위는 이번 사전 실태점검을 통해 사후 처벌 위주의 행정에서 벗어나 예방 중심 개인정보 보호 취지를 구체화했다. 사업자가 자체적으로 주민등록번호 처리 필요성을 재검토하고 필요한 조치를 완료한 경우, 별도의 처분 없이 점검을 종결했다고 밝혔다.

배달의민족, 버그바운티 포상금 지난해 2배로

배달의민족(배민) 운영사 우아한형제들이 오는 14일부터 12월 13일까지 3개월간 버그바운티 프로그램을 운영한다고 31일 밝혔다. 버그바운티는 화이트해커가 기업 서비스의 보안 취약점을 찾아 제보하면 취약점의 심각도에 따라 포상금을 지급하는 방식이다. 표준화된 점검 항목을 확인하는 일반적인 보안 진단과 달리, 서비스의 실제 흐름을 이해해야만 발견할 수 있는 잠재적 취약점을 잡아낼 수 있다는 게 강점으로 꼽힌다.

우아한형제들은 지난해 버그바운티 전문 플랫폼 기업 파인더갭과 협업해 첫 행사를 성공적으로 개최한 데 이어, 올해는 플랫폼만 빌리고 프로그램 운영 전반을 자사 보안팀이 직접 주도하는 체제로 개편했다. 나아가 취약점 진단 대상 서비스를 기존 3개에서 6개로 확대했으며, 최고 포상금 한도 역시 전년 대비 2배로 상향 조정해 우수한 화이트해커들의 참여를 유도한다는 방침이다.

배민은 앞으로도 자체 취약점 진단과 버그바운티를 병행해 앱 보안을 개선한다는 계획이다. 최근 AI 공격이 고도화되는 가운데, 자체 보안 시스템 진단과 외부 전문가의 교차 검증을 병행하는 이번 시도는 앱 이용자와 업주, 라이더 등 파트너의 개인정보를 안전하게 보호해 브랜드 신뢰도를 높이는 계기가 될 것으로 기대된다.

IT동아 김예지 기자 (yj@itdonga.com)