최근 금융권에서 인공지능(AI)을 활용한 해킹 공격이 잇따르면서 불안이 가중되고 있다. 신한은행, KB국민은행, 하나은행 등 주요 시중은행이 공격 대상에 올랐다. BNK부산은행, 예가람저축은행, 웰컴저축은행 등 지방은행과 저축은행에서도 고객정보 유출 사고가 발생했다. 앞으로 AI를 활용한 해킹 공격은 더욱 빈번해질 것으로 예상되는 만큼 '사이버 보안'의 중요성도 커지고 있다. 전문가들을 만나 AI 해킹의 위험성과 국내 보안체계의 문제점, 대응 방안을 들어봤다.

지난 12일 오후 김창훈 국가인공지능전략위원회 보안 특별위원회 분과위원(대구대 교수)이 영남일보와 인터뷰 중이다. 정지윤기자

▶이번 금융권 해킹의 파장이 큰 이유 중 하나는 AI가 활용됐다는 점이다. 기존 해킹과 무엇이 다른가.

"AI는 사람이 놓치기 쉬운 취약점을 빠르게 찾아낸다는 점에서 위협적이다. 수많은 경우의 수를 분석해 서로 다른 시스템이 연결되는 과정의 취약점까지 찾아낸다. 사람이 오랜 시간 분석해야 할 작업을 AI는 쉬지 않고 반복한다. 다만 모든 공격을 AI가 혼자 수행하는 것은 아니다. 특정 인물을 노린 정교한 공격에는 사람의 개입이 필요하다. 사람과 AI가 결합하면 위협은 더 커질 수 있다."

▶전문적인 해킹 지식이 없는 사람도 AI를 이용해 공격할 수 있다는 우려가 나온다.

"AI의 등장으로 해킹의 진입장벽이 낮아진 것은 사실이다. 전문 기술이 부족해도 AI를 활용해 프로그램을 분석하고 취약점을 찾아낼 수 있다. 특히 기본 비밀번호를 변경하지 않은 장비는 위험하다. 공공기관의 보안 장비도 예외가 아니다. 각 기관은 IT 장비와 계정부터 점검해야 한다."

▶금융권뿐 아니라 지역 공공기관과 병원 등도 AI 해킹에 취약하다는 지적이 나온다.

"대구경북의 공공기관, 병원도 보안체계를 서둘러 점검해야 한다. 금융권의 핵심 전산망은 여러 단계의 보안장치로 보호돼 있어 침투가 쉽지 않다. 반면 외부와 연결된 업무 시스템은 상대적으로 취약할 수 있다. 특히 병원은 랜섬웨어 공격을 받으면 진료 업무에 차질이 생길 수 있다. 중요한 시스템은 업무망과 분리하고 접근 단계마다 보안을 점검해야 한다. 물리적 망 분리가 어렵다면 논리적으로라도 구분해야 한다."

▶보안 사고가 발생할 때마다 전문인력이 부족하다는 지적이 나온다. 가장 시급하게 개선해야 할 점은 무엇인가.

"보안 담당자의 처우를 개선하고 합리적인 면책 기준을 마련해야 한다. 최선을 다해 방어해도 사고가 발생하면 징계를 받는 구조에서는 우수한 인력을 확보하기 어렵다. 충분한 보안 조치를 했다면 기술적인 면책 기준을 적용해야 한다. 반대로 1년 동안 사고가 없으면 포상하고 해킹 시도를 발견해 차단한 직원에게는 가산점을 줘야 한다. 내부 보안 문제를 직접 점검할 수 있는 감사 권한도 필요하다."

▶개인정보 유출이 반복되면서 시민들의 불안도 커지고 있다. 개인은 어떻게 대응해야 하나.

"개인의 주의만으로는 한계가 있다. 국가 차원의 개인정보 인증체계를 바꿀 필요가 있다. 주민등록번호처럼 평생 사용하는 정보는 한번 유출되면 피해가 오래갈 수 있다. 공공·금융·민간 영역별로 다른 인증번호를 사용하고 유출됐을 때 재발급받을 수 있는 체계를 검토해야 한다. 개인들 역시 생체정보도 신중하게 관리해야 한다. 또 자주 사용하는 계좌에 큰돈을 보관하지 않는 등 금융자산 관리에도 주의할 필요가 있다."

▶앞으로 AI 해킹이 더욱 정교해질 것으로 예상된다. 정부와 지자체가 가장 시급하게 마련해야 할 대책은 무엇인가.

"보안 인력과 예산을 늘리고 방어체계를 새롭게 구축해야 한다. 해킹은 한 곳만 뚫어도 성공하지만 방어는 모든 경로를 지켜야 한다. AI 공격에 AI로 대응하는 기술도 필요하다. 중요한 데이터에 접근하는 경로를 제한하고 단계별 보안 검증을 강화해야 한다. 지역에서는 검증된 보안 기술을 도입하고 운영할 역량을 키워야 한다. 사고 이후 책임을 묻기보다 예방 노력을 인정하는 제도로 바뀌어야 한다."

지난 13일 오전 전두용 영남이공대 사이버보안과 교수가 연구실에서 영남일보와 인터뷰하고 있다. 정지윤기자

▶이번 금융권에서 발생한 AI 해킹의 가장 큰 문제점은 무엇인가.

"해커들의 기술 발전 속도를 금융권의 보안체계가 따라가지 못했다는 점이다. AI를 이용한 해킹은 어제오늘 일이 아니다. 이번 공격에 사용된 것으로 알려진 '아르텍스' 같은 도구는 이미 지난해 인터넷에 공개됐다. 하지만 금융기관은 자체 시스템을 공격해 취약점을 찾아볼 기회가 부족했다. 업무망과 인터넷망을 분리하는 망 분리 체계도 최신 해킹 기술을 시험하는 데 제약이 됐다. 공격자는 최신 기술을 활용하는데 방어하는 쪽은 충분히 대비하지 못했다."

▶AI 해킹은 기존 해킹과 어떻게 다른가.

"AI가 스스로 판단하고 공격을 반복한다는 점이다. 공격 대상을 분석해 취약점을 찾고 공격 계획을 세운다. 결과에 따라 다음 공격 방법도 결정한다. 사람이 일일이 명령하지 않아도 쉬지 않고 공격을 이어갈 수 있다. 이제 연 1~2회 모의해킹만으로는 부족하다. 지속적인 취약점 점검이 필요하다."

▶금융권뿐 아니라 공공기관과 병원 등도 공격 대상이 될 수 있다는 우려가 나온다. 보안 투자 여력이 부족한 지역 중소기업은 어떻게 대응해야 하나.

"전문 인력과 보안 투자가 필요하지만 여력이 부족한 곳에는 정부 지원이 절실하다. 금융권은 상대적으로 보안 수준이 높다. 공공기관 등은 오히려 해킹 진입장벽이 낮을 수 있다. 특히 지역 중소기업은 전문 인력을 확보하기 어렵다. 보안 장비 설치와 직원 교육만으로는 부족하다. 해커가 사용하는 기술로 직접 시스템을 공격해 취약점을 찾아야 한다. 한국인터넷진흥원 등 중앙기관이 모의해킹 서비스를 지원할 필요가 있다. 공격받은 적이 없다는 이유만으로 안전하다고 생각해서는 안 된다."

▶ 보안 사고가 발생할 때마다 전문인력이 부족하다는 지적이 나온다. 지역 상황은 어떤가.

"현장에서 보안 업무를 수행할 실무인력이 부족하다. 보안 시스템을 개발하고 관리할 인력도 필요하다. 우리 학과의 연간 정원은 40명에 불과하다. 다른 대학의 관련 인력 양성 규모도 크지 않다고 본다. AI 공격이 빠르게 발전하는 만큼 실무 중심의 교육과 전문인력 양성을 확대해야 한다."

▶개인정보 유출을 걱정하는 시민들은 어떻게 대응해야 하나.

"무엇보다 의심하는 습관이 중요하다. 출처가 불분명한 인터넷 주소(URL)를 무심코 눌러서는 안 된다. 비밀번호 외에 추가로 본인을 확인하는 2단계 인증도 적극 활용해야 한다. 다만 기업의 정보 유출 사고는 개인이 막기 어렵다. 개별 소송에 의존하기보다 국가 차원의 체계적인 피해 구제 방안이 필요하다."

▶앞으로 AI 공격은 더욱 빈번해지고 정교해질 것이라는 예측이 많다. 정부와 지자체가 가장 시급하게 추진할 과제는 무엇인가.

"보안의 패러다임을 바꿔야 한다. 정해진 점검표를 확인하거나 사고 이후 대응하는 방식으로는 한계가 있다. 해커처럼 AI와 최신 도구를 활용해 자체 시스템을 점검해야 한다. 취약점을 지속적으로 찾아내고 즉시 보완하는 체계를 갖춰야 한다. 보안 인력이 부족한 지역 기업에는 정부와 지자체의 지원이 필요하다. 방어체계가 공격 기술의 발전 속도를 따라잡아야 한다."

정지윤기자 yooni@yeongnam.com

정지윤

영남일보 정지윤 기자입니다.

기사 전체보기

영남일보(www.yeongnam.com), 무단전재 및 수집, 재배포금지