[진단] ‘포스트 미토스’ 시대, AI 공격에 대비하라

'포스트 미토스' 시대를 맞아 AI 공격 대비가 필요하다는 지적이 나온다. AI로 생성한 이미지를 사용한 가운데, 앤트로픽 '미토스' 등장 이후 사이버보안 업계에는 큰 파장이 일었고 최첨단 AI 모델의 영향은 보안 분야로 확대됐다. 그와 함께 취약점이 급증했고, AI에 의한 해킹 사고 소식도 전해졌으며, 국내 금융권에서는 AI 기반 침투 테스트 도구를 악용한 해킹이 연속 발생했다. 이 같은 상황은 예견된 재앙으로 규정된다.

해외에서는 지난해부터 AI를 통한 공격 자동화가 현실화하고 있다는 분석이 제기됐고, 국내 전문가들은 차원이 달라질 사이버 공격에 대한 대비 필요성을 제기해 왔다. 경고는 존재했지만 예방은 부재했고, 결국 사고 차단에도 실패했다.

이번 금융권 사고에서 드러난 문제는 관리되지 않은 외부 접점과 허술한 접근권한이었다. 이들 문제는 기존에도 위험 요소로 지적된 사항으로, 이번 사례는 공격 방식의 변화 자체보다도 반복 지적된 외부 접점 관리와 접근권한 통제 미흡이 여전히 핵심 문제였음을 보여준다.

AI가 미발견 취약점의 탐지와 공략을 가속하는 상황에서 사이버보안 준비 수준을 점검해야 한다는 필요성이 제기된다. 이에 따라 AI 해킹 피해를 중심으로 한 진단 대상으로 금융권과 공공부문이 거론된다.

공공부문에서는 보안이 강조되는 상황이다. 금융권에서는 10월 초부터 비상 상황이 이어졌다.

신한은행 해킹으로 약 2만5000명 대출 신청 관련 정보가 유출됐다. 유출 항목은 고객명·전화번호·연계정보(CI)·연소득·산출한도였고, 유출된 정보의 성격에는 대출 신청에 필요한 신용정보가 포함됐다.

사고 이후 금융감독원은 긴급 현장 조사에 착수했고, 신한은행은 사과 공지를 냈다. 이어 10월 2일에는 KB국민은행이 고객 정보 100여 건 유출 사실을 공개했고, 하나은행·BNK부산은행도 개인정보 유출 사고를 확인했다.

예가람·웰컴저축은행과 현대캐피탈도 개인정보 유출 사고를 확인하면서 개인정보 유출 사고의 확산 범위는 1금융권 전반 및 저축은행·캐피탈사를 포함하게 됐다. 해킹 피해는 금융권 전역으로 확산했고, 4일 오후 서울 종로구 정부서울청사에서는 최근 침해위협 대응 전금융권 긴급 점검회의가 개최됐으며 이억원 금융위원장이 회의 모두발언에 나섰다.

이억원 금융위원장은 침해사고 대응 차원에서 4일 정부서울청사에서 회의를 긴급 소집해 주재했다. 이날 회의에는 금융회사 7개사와 관계부처·기관 관계자가 참석했다. 이 위원장은 전 금융권을 대상으로 외부 노출 IT 자산을 파악할 것을 주문하고 보안 체계를 재점검할 것을 요구했다. 아울러 관계기관과 금융회사 간 신속한 위협 정보 공유를 강조하고 부처 간 공조 체계 강화도 강조했다.

금융위원회는 14일 발표에서 최근 침해사고가 발생한 금융회사가 총 16곳이며 당시 기준 정보 유출 규모는 약 10만 건이라고 밝혔다. 다만 부정거래에 악용될 가능성이 있는 신용카드 정보 유출은 없었다고 설명했다. 유출 정보에는 이름·전화번호가 포함됐으며, 이는 피싱 등 2차 피해를 유발할 가능성이 있는 정보로 전해졌다.

금융권은 당혹감을 보였다. 금융권은 막대한 자산과 신뢰를 취급하는 특성이 있고 보안 규제도 엄격해 전자금융감독규정 준수에 따라 다수 솔루션을 도입해 왔다. 또한 최신 기술·전문 인력 확보에 대한 투자도 다른 산업군 대비 상대적으로 활발했다. 그럼에도 연이은 사고로 금융권이 곤욕을 치르면서 사이버보안에 대한 관심이 다시 확대되는 흐름이 이어졌다.

이번 사고에서 주목된 대상은 공격 인프라에서 사용 흔적이 나온 AI 기반 자율형 침투테스트 도구 '아르텍스(ARTEX)'였다. 그림 3은 SK쉴더스의 공개 도구 구조 재구성 기반 AI 침투 테스트 도구 '아르텍스' 아키텍처를 주제로 했으며, 사진 출처는 SK쉴더스다.

아르텍스는 중국어를 중심으로 개발된 도구로, 7월 개발자 플랫폼 '깃허브(GitHub)'에 오픈소스 형태로 공개됐다.

신한은행을 겨냥한 것으로 추정되는 공격 인프라에서는 아르텍스 사용 흔적이 발견됐다.

문종현 지니언스 시큐리티센터장은 2일 사회관계망서비스(SNS) 링크드인에서 공격에 사용된 웹 서버 일부 HTML 타이틀에서 'ARTEX — 自主渗透测试控制台' 문자열이 확인됐다고 밝혔다. 그는 이 문자열의 의미가 'AI 자율 침투테스트 콘솔'이며, 해당 인프라에서 ARTEX AI가 운영됐을 가능성을 시사한다고 설명했다.

아르텍스는 원래 목적이 비악의적이었으며, 기업 내부 시스템 취약점 탐지 도구로 쓰이도록 설계됐다. 목표를 입력하면 기존 결과를 바탕으로 다음 점검 항목을 자율 선정하고, 점검을 반복 수행하는 기능을 갖췄다. 이 도구는 역할이 분담된 여러 AI 에이전트, 에이전트 공동 지식 저장소, 요청을 표적에 전송하는 실행 도구로 구성됐다.

그러나 공격자는 아르텍스를 악용해 용도를 자동화된 공격 수행으로 전환했다. 공격자는 하나의 도구를 사용하면서 임대 서버 여러 대를 경유해 외부 노출된 금융사 시스템을 탐색했고, 공개된 취약점이 존재하는 서버를 식별한 뒤 취약 서버를 침해했다. 이어 API를 반복 호출해 개인정보를 대량 수집했으며, 아르텍스의 자동 반복 구조와 다수 서버 경유 방식으로 금융사 수십 곳을 동시에 공격했다.

크라우드스트라이크는 7일 보고서를 발표하고, 공격 인터넷 프로토콜(IP) 주소를 역추적한 내용과 미상의 공격자가 앤트로픽 '클로드(Claude)'에 가짜 이력서 생성을 요청한 흔적을 확인했다고 밝혔다. 해당 가짜 이력서에는 중국 광둥성 마오밍 시에 거주하는 26세 인물이라는 정보가 기재돼 있었다. 다만 공격 배후는 확인되지 않았고, 해당 정보만으로는 공격자 신원을 단정하기 어렵다.

MS는 21일 발표에서 국가 배후 해킹 조직 '스톰-0940'가 아르텍스로 전 세계 수백 개 기업을 공격했다고 밝혔다. '스톰-0940'는 2021년부터 활동한 중국 정부 연계 해킹 조직으로 알려졌다.

MS 조사에 따르면 일부 사례에서는 아르텍스로 공격 대상 선정부터 관리자 권한 확보까지 3시간 미만이 소요됐다. 많은 공격이 실패했지만, 짧은 시간 내 여러 조직에서 높은 권한이 탈취됐으며, MS는 높은 권한 탈취의 의미를 강조했다.

이어 금융권 해킹이 AI 통한 자동화 공격이라는 사실이 알려지면서 대중이 AI에 대한 우려를 표출했다. 이번 반응은 미토스가 처음 등장했을 당시를 연상시켰다.

앤트로픽 미토스 등장 당시에는 대량 취약점이 쏟아질 수 있다는 우려가 제기됐다. 이번 사고에 대해서는 당시 우려가 현실로 다가온 듯하다는 평가가 나왔다.

최근 공격 도구의 명칭이 AI로 바뀌었지만, 사고 원인 분석에서는 오래된 보안 문제가 지목됐다. 전문가들은 이번 사안을 AI의 새로운 취약점 발견으로 보기 어렵다고 판단했고, 방치된 빈틈에 대한 고속 공략으로 분석했다. 이에 따라 전문가들은 사고 원인이 AI 자체보다 방치된 보안 빈틈에 있었다고 봤고, 보안업계도 원인을 공격 표면 관리 실패, 허술한 인증·인가 체계, 이상행위 탐지·대응 공백으로 짚었다.

여러 공격의 표적은 코어 뱅킹이 아닌 외부 노출 시스템이었다. 신한은행과 현대캐피탈의 피격 시스템은 대출 모집용 시스템이었고, KB국민은행, 하나은행, BNK부산은행의 피격 시스템은 임직원용 업무지원 시스템이었다. 이들 피해 시스템의 공통점은 외부 노출된 부가 시스템이라는 점이며, 부가 시스템의 보안 수준은 코어 뱅킹 등 주요 시스템 대비 취약한 것으로 지적됐다.

공격자들은 관리되지 않는 외부 접점을 대상으로 자동화된 공격을 수행한 것으로 분석됐다. 문제 시스템은 추가 인증·인가 없이 외부에 개방된 상태였고, 보안 관리 밖의 시스템으로 불리는 섀도 IT(Shadow IT)에는 적절한 보안 대책이 부재한 상태였다. 보안업계는 결국 공격 표면 관리 실패와 인증·인가 취약, 이상행위 탐지·대응 공백이 외부에 드러난 부가 시스템을 자동화 공격의 침투 경로로 만들었다고 분석했다.

무차별 공격으로 정상 사용자처럼 접속하는 과정에서 놓쳐버린 권한 검증이 이번 사고의 핵심으로 지목됐다. 문제로 거론된 것은 허술한 인증·인가 검증이다. 인증(Authentication)은 접속한 사용자가 본인인지 여부를 검증하는 절차이고, 인가(Authorization)는 사용자에게 허용할 권한 범위를 결정하는 절차다. 이를 학생증의 진위를 확인하는 것은 인증에, 출입 가능한 교실 범위를 정하는 것은 인가에 각각 비유할 수 있다.

이번 사고의 허점은 인증(Authentication) 자체가 아니라 인가(Authorization)에 있었다. 공격자는 무차별 공격으로 정상 사용자처럼 접속했고, 내부 시스템에 접속 권한이 있는 계정으로 인증에 성공했다.

이후 공격자는 서버에 데이터를 요청하는 과정에서 전송 값인 파라미터를 조작했다. 그 결과 해당 계정에 허용되지 않은 정보를 확인했고, 비인가 정보 조회가 이뤄졌다.

S2W는 이번 상황을 호텔 카드 키에 비유했다. S2W 관계자는 자기 방 카드키로 다른 방을 열 수 있는 상태였고, 로그인 통과 후 방 출입 권한을 확인하는 장치가 없었던 것과 같다고 설명했다. 이번 사고에서도 로그인만 통과하고 자원별 접근 권한을 확인하지 않은 상태였으며, 권한 확인 절차가 부재했다.

공격 표적은 본인 확인·권한 검증 없는 조회 API 노출 시스템이었다. 정상 보안 체계가 존재했다면 무단 API 조회 요청은 권한 검증 단계에서 거부될 수 있었고, 반복 공격에는 이상 경보가 발생할 가능성도 있었다. 그러나 이번 사고에서는 이런 장치가 작동하지 않아 공격자가 수차례 여러 고객 정보를 탈취한 것으로 나타났다.

반면 인증·권한·다중인증을 모두 구비한 경우에는 동일한 공격에도 유출이 발생하지 않았을 가능성이 제기됐다. 연이은 해킹 사고 중에는 추가 인증 체계를 보유했거나 위협 대상인 외부 서비스를 운영하지 않은 곳도 존재했다. 해당 곳들은 침입 시도에도 피해가 발생하지 않은 것으로 알려졌다.

사진은 하나의 도구에서 여러 기관으로 확장되는 공격 구조도를 담고 있으며, 출처는 SK쉴더스다. 이번 사고와 관련해 침투 성공 후 신속하게 경고하면 피해를 최소화할 수 있지만, 탐지·대응 측면에서는 미흡했다는 지적이 나온다. 특히 API를 통한 조회 시도가 대량 반복 발생했는데도 해당 이상 징후를 인지한 시점은 수 시간 뒤였다. 이는 침투 자체보다 탐지·대응 지연이 피해 확대와 연결될 수 있음을 보여주는 대목이다.

19일 국회 정무위원회 금융감독원 국정감사에서는 이 같은 문제를 두고 은행권의 보안 체계가 도마에 올랐다. 김재섭 국민의힘 의원은 사고 인지에 소요된 시간을 지적하며 은행권 보안 체계를 질타했다. 국정감사에서는 주요 은행들이 외부 비인가 접속이나 침해 사실을 인지하기까지 상당한 시간이 걸렸다는 점이 제시됐다.

김재섭 국민의힘 의원이 밝힌 내용에 따르면 신한은행은 외부 비인가 접속을 인지하기까지 15시간 26분이 소요됐다. 하나은행은 침해 사실을 인지하기까지 41시간 44분이 걸렸다. KB국민은행은 침해 사실을 인지하기까지 67시간 41분이 걸린 것으로 제시됐다.

이와 관련해 각 은행의 탐지 지연 원인에 대한 조사가 필요하다는 지적이 나온다. 보안업계의 공통 견해는 이번 사례가 IP 기반 차단의 한계를 드러냈다는 데 모인다. 통상적인 대응 방식은 과거 공격에 악용된 IP 주소를 차단 목록에 등록하고, 확인되지 않은 해외 소재 IP도 차단 목록에 등록하는 방식이다.

그러나 IP 기반 차단은 공격자가 IP를 변경할 경우 무력화되는 취약점이 있다. 업계는 이런 한계가 탐지와 대응의 지연 배경 중 하나가 될 수 있다고 보고 있다. 이에 따라 대응 방향도 IP 차단 중심에서 행위 기반 탐지로 전환할 필요가 있다는 제안이 나온다.

공격자는 해외 임대 서버와 상용 프록시를 교대 사용하면서 접속 주소를 지속 변경했고, 국내 인터넷 주소 일부도 혼재한 것으로 나타났다. 이에 따라 해외 접속 차단만으로 대응하기는 곤란한 것으로 추정됐다. 또 공격에 사용된 IP 대다수는 글로벌 위협 평판 데이터베이스에 신고 기록이 거의 없어 기존 악성 주소 차단 방식으로는 해당 공격을 식별하기 어려운 한계가 드러났다. 블랙리스트 미탐지 우회 IP를 사용한 공격도 가능한 상황으로 제시됐다.

이와 관련해 보안업계는 IP 대신 행위 기반 탐지 체계를 강조했다. 비정상적 API 조회 시도 자체는 동일하다는 점에서 차단의 핵심은 공격 발원지보다 수행 형태에 주목하는 데 있다는 설명이다. 금융당국은 공격자 IP 등 침해 지표를 공유하면서도 IP 차단만의 방어 한계를 지적했고, 요청·응답 행위 중심의 탐지·대응 강화를 주문했다.

이번 사고의 주목점은 새로운 유형의 공격이라기보다 기존 공격 기법의 AI 기반 고속·광범위 수행에 있다. 동원된 수법은 무작위 대입 공격, 외부 노출 API 경유 지속적 반복 조회, 탐지 회피 목적 IP 우회, 허술한 인증·인가 악용이었다. 해당 수법들은 그간 수많은 공격에서 반복 등장해 왔다.

이 가운데 AI로 달라진 지점은 속도·규모였다. 무작위 대입 공격의 기존 자동화 전례와 IP 우회의 기존 자동화 전례는 이미 있었지만, AI 기술 발전에 따른 공격 속도 추가 상승이 나타났다는 것이다. 이와 함께 취약점 탐색·검증의 고속화와 취약점 기반 복수 지점 동시 타격의 현실화도 이어지고 있다.

이 같은 변화는 AI 시대에 맞는 별도 방어 체계 필요성이라는 질문을 제기한다. 다만 이에 대한 답은 정확한 정답이 없다는 데 있다. 대신 AI로 가속된 공격에 대응하기 위해서도 AI 활용이 필요하다는 점이 거론된다.

대응 방안으로는 시스템 내부 취약점 탐지의 AI 자동화와 공격 표면 관리의 AI 자동화가 제시된다. 이를 통해 AI 자동화를 통한 대응 속도 향상을 꾀할 수 있다는 설명이다. 아울러 보안 관제에 AI를 접목하는 방안도 함께 거론되며, 보안 관제에서의 AI 활용 효과로는 정보 선별과 보안 팀 업무 부담 경감이 제시된다.

자틴 사치데바 시스코 아시아태평양·일본·중국(APJC) 지역 최고 보안 아키텍트는 10월 13일 서울 강남구 시스코코리아 사무실에서 열린 간담회에서 AI 만능론을 부정하며, 이번 사고의 쟁점은 AI 유무가 비핵심이라고 밝혔다. 그는 이번 사고와 관련해 간과된 과제로 자산 관리·위협 탐지·인증 강화를 꼽았다.

자틴 사치데바는 한국 금융권 해킹 사고에 악용된 취약점이 기존에도 잘 알려진 정보였다고 설명했다. 그는 필요한 보호 조치도 과거와 동일하다고 밝혔으며, 제로트러스트·네트워크 세그멘테이션이 여전히 중요하다고 강조했다.

그는 API 조회 권한 검증이 작동했다면 공격자의 무차별 비인가 조회를 차단할 수 있었고, IP 외 행위 기반 위협 탐지를 적용했다면 단시간 내 상황을 인지해 피해를 최소화할 수 있었다고 설명했다. 보안업계가 기본을 강조하는 것도 이 같은 예방·대응 가능성에 기인한다고 덧붙였다.

이번 사고는 금융권만의 문제로 한정할 수 없으며, 모든 업계가 보안 체계의 취약성과 사각지대 노출에 대한 경각심을 가질 필요가 있다. 특히 공공 시스템은 국민 정보와 국가 주요 행정을 취급하는 만큼 보안 취약이 더욱 중대하다. 정부를 대상으로 한 해킹은 사이버보안 차원을 넘어 안보와 연결될 가능성도 있다.

8월 16일 국회 정무위원회 소속 송언석 국민의힘 의원이 개인정보보호위원회로부터 제출받아 공개한 '공공기관 개인정보 유출 사고 현황' 자료에 따르면, 올해 6월까지 공공기관 164곳에서 개인정보 유출이 발생했다. 이는 올해 6월까지의 수치만으로도 지난해 연간 128곳을 넘어선 것이며, 2021년 22곳과 비교하면 7배를 초과한 수준이다.

공공기관 개인정보 유출 발생 기관 수는 해마다 증가했다. 공공기관 개인정보 유출 발생 기관 수 추이는 2021년 22곳, 2022년 23곳, 2023년 41곳, 2024년 104곳, 2025년 128곳으로 나타났다.

공공기관의 개인정보 유출은 외부 공격보다 내부 업무상 부주의에서 비롯된 경우가 많은 것으로 나타났다. 2022년부터 올해까지 약 5년간 개인정보위의 처분이 완료된 공공기관 개인정보 유출 사고는 139건이었고, 이 가운데 업무 과실은 94건이었다. 업무 과실의 비중은 67.6%였다.

가장 최근 사례로는 이달 중순 원주시청 개인정보 유출 사고가 있었다. 원주시는 단구지구 지구단위계획 변경 관련 주민의견서를 사업 시행자에게 전달하는 과정에서 개인정보 1957건을 유출했다. 유출된 정보 항목은 성명·주소·연락처 등이었고, 원인은 문서 발송 시 개인정보 비식별 처리를 하지 않은 데 있었다.

이와 함께 올해 9월에는 개인정보 비식별화 처리 미흡과 관련한 사고도 발생했다. 공개된 법원 판결문이 AI로 실명화될 수 있다는 사실이 사후 확인됐고, 서울중앙지법은 9월 21일 이 사실을 인지했다고 공지했다. 서울중앙지법은 AI 활용 또는 특정 편집 작업으로 홈페이지 '우리법원 주요판결'에 게시된 판결문의 비식별 처리가 제거될 수 있다고 밝혔으며, 게시된 최근 10년 치 주요 판결문에 대한 전수조사를 실시했다고 설명했다.

사진은 법원전산망 해킹 및 자료유출 사건 개요도로, 사진 출처는 경찰청이다. 공공기관을 대상으로 한 해킹이 기승을 부리고 있다. 자료는 국가정보자원관리원의 '중앙부처 대상 해킹 시도 연도별 현황'을 바탕으로 했으며, 기준 기간은 2016년 1월~2025년 6월이다. 이 자료는 국회 과학기술정보방송통신위원회 최형두 국민의힘 의원이 분석했다.

분석 결과 중앙행정기관 대상 해킹 시도는 2024년 16만1208건으로 집계됐다. 이는 2023년 8만554건과 비교해 약 2배다. 또 2016년 5만3550건과 비교하면 2024년 수치는 8년 만에 3배 수준으로 증가했다.

공공기관을 겨냥한 공격의 주체 후보군으로는 국가 배후 해킹 조직이 거론된다. 이들 조직의 목적은 첩보 활동이다. 이들 조직은 지능형 지속 위협(APT, Advanced Persistent Threat)을 수행한다.

지능형 지속 위협(APT, Advanced Persistent Threat)을 수행하는 과정에서는 가능한 모든 수단이 동원된다. 악성코드는 추적을 피하기 위해 다중 경로로 우회 유포된다. 또 공격 전술로 목표 대상 정보를 수집하고, 표적 맞춤형 피싱으로 성공률을 높이며, 은밀히 확보한 제로데이 취약점을 활용한다.

우리나라 정부를 대상으로 한 APT 공격 사례가 다수 보고돼 왔다. 대표적으로 법원행정처 개인정보 자료 1014기가바이트(GB) 유출 사고는 2021년~2023년에 걸쳐 발생했으며, 경찰청·국가정보원 등 관계기관의 조사 결과 범죄 패턴상 북한 연계 해킹 조직 '라자루스(Lazarus)'의 소행일 가능성이 높은 것으로 결론 났다.

이어 지난해 8월 미국 해킹 전문 매체 '프랙(Phrack)'을 통해 정부 표준 전산망 '온나라 시스템'의 공격 정황이 공개됐고, 정부는 공격자가 2022년 9월~2025년 7월 3년간 정부망에 무단 접속했다고 발표했다. 정부에 따르면 침투 경로는 공무원이 사용하는 원격접속시스템이었고, 공격자는 침투를 위해 인증서·비밀번호를 탈취했으며, 프랙(Phrack)은 북한 연계 해커 조직 '김수키'의 소행으로 추정했다.

공공부문을 겨냥한 사이버 위협이 내부와 외부에서 동시에 이어지고 있지만, 이를 감당할 공공기관의 보안 대응 역량은 충분하지 않은 것으로 나타났다. 공공기관은 인력 규모와 보안 체계가 취약한 상태인 것으로 파악됐다.

국회 산업통상자원중소벤처기업위원회 소속 임문영 더불어민주당 의원이 지식재산처 제출 자료를 확보한 결과, 지식재산처의 정보보안 정규직은 2022년 4명에서 올해 2명으로 감소했다. 지식재산처의 보안 전담 인원은 1명인 것으로 집계됐다.

이와 함께 지재처의 국정자원 위탁 운영 웹서비스를 대상으로 한 사이버 공격 시도는 올해 9월까지 5346건에 달했다. 이는 2025년 한 해 2080건과 비교해 2배 이상인 규모다.

웹서비스 운영의 위탁 여부와는 별개로, 부처 전반의 보안 정책을 수립하고 위탁기관 및 산하기관에 대한 관리·감독을 총괄하기에는 현재 인원이 부족한 상황으로 분석됐다.

한민수 더불어민주당 의원 소속 국회 정무위원회에 따르면 금융위원회를 대상으로 한 사이버 침해 시도는 이전에는 1000건 이하 수준을 유지했으며, 2023년에는 342건, 2024년에는 536건이었다. 그러나 지난해부터 사이버 침해 시도가 급증하는 추세를 보였고, 지난해 연간 1259건에 이어 올해 1~7월에는 3433건으로 집계돼 3433건은 지난해 연간 1259건 대비 2.7배에 달했다.

금융위원회 정보보안 담당자는 의사운영정보팀 내 1명으로, 금융위원회 정보보안 전담 인력도 1명에 그쳤다. 외부 보안 관제 위탁 기관이 다수 있지만 내부 전담 인력을 확보하지 못하면 대량 침해 시도에 대응하는 데 한계가 있는 것으로 전해졌다. 정부 전반에서도 정보보호 조직을 '과' 수준으로 둔 부처는 드문 편이며, 19개 주요 정부부처 중 정보보호담당관을 별도로 설치한 부처는 4곳이었다. 해당 부처는 과학기술정보통신부, 산업통상부, 국토교통부, 기후에너지환경부였다.

공공부문 보안은 내부적으로 AI 도입에 따른 보안체계 마련과 '국가 망 보안체계(N2SF)' 전환을 동시에 추진해야 하는 상황이다. 외부적으로는 AI 악용 자동화 공격에 대한 대비가 필요하고, 국가 배후 해킹 조직 위협에 대한 대비도 필요한 과제로 제시된다.

국가정보원은 올해 5월 '국가 사이버보안 기본지침'을 발표했다. 이 지침의 핵심은 획일적 물리적 망 분리 원칙 대신 N2SF 기반 차등 보안 대응으로 전환하는 데 있다.

이 같은 변화를 추진하기 위한 선결 과제는 IT 자산 파악이다. 각 기관은 보유 자산 현황을 파악하고 중요도 높은 시스템을 식별해야 한다. IT 자산 및 중요 시스템 식별은 사이버보안 분야에서 오랜 기간 강조된 사항이다.

다만 현장에서는 보안 인력 운영 수준에 대한 우려가 제기된다. 업계 관계자에 따르면 공공부문 정보보안 인력 충원은 약 5년여 전부터 시작됐지만, 운영 수준은 별도 조직이 없는 채 정보화담당관 산하 일부 인원이 담당하는 수준이다. 이 관계자는 현 인력 체계로 AI 기반 공격으로부터 주요 시스템을 보호할 수 있을지에 대해 우려했다.

공공기관은 금융권 사고 사례를 반면교사로 삼을 필요가 있다. 이번 사고에서는 공격 대상이 코어 뱅킹이 아니라 외부에 노출된 부가 시스템이었고, 이런 위험은 공공부문에도 동일하게 적용된다. 이에 따라 망 분리 여부와 무관하게 관리 대상에서 누락된 시스템이 있는지, 보호 조치가 미흡한 외부 접점이 있는지를 점검할 필요가 있다.

이 같은 점검은 N2SF 전환 추진의 전제로 제시된다. N2SF 전환을 추진하려면 먼저 자산을 파악해야 하고, 접근권한도 검증해야 한다.

아울러 개정 지침은 정보화 업무 담당 인력의 10% 이상을 사이버보안 인력으로 확보하도록 의무를 뒀다. 해당 조항은 과거에는 권고 사항이었으나 개정 후에는 의무화됐다. 이에 따라 지재처·금융위와 같이 보안 전담 인력이 부족한 기관은 인력 확보 현황과 기준 충족 여부를 점검할 필요가 있다. 또 외부 관제 위탁 여부와 무관하게 내부에서는 보안 정책 수립, 위탁 업무 관리, 사고 대응 관리 역량이 필요하다.

장기간 침해 사례는 침해 사실이 늦게 드러나는 동안 공격이 수년간 이어질 수 있음을 보여준다. 법원행정처 침해 사실·정황의 사후 확인과 온나라 시스템 침해 사실·정황의 사후 확인이 이 같은 흐름을 드러냈으며, 법원행정처 대상 공격의 수년간 지속과 온나라 시스템 대상 공격의 수년간 지속도 함께 확인됐다. 국가 배후 해킹 조직의 공격 흔적 은폐까지 고려하면, 장기 침해 사례의 시사점은 대응 시급성에 있으며, 대응에는 침입 차단뿐 아니라 이미 발생한 침해 탐지 체계도 필요하다.

전문가들은 기본 준수를 강조했다. 이 기본 준수의 내용은 자산 관리, 권한 검증, 이상 행위 탐지이며, 이는 새로운 개념이 아니라 기존 보호 조치의 실제 시스템 작동 여부 점검 필요와 기존 보호 조치의 운영 현장 작동 여부 점검 필요라는 과제와 연결된다. 점검 대상은 보안 기본의 시스템·운영 현장 준수 수준이다.

AI 자동화 공격 대비 필요성이 커지는 가운데 공공부문 보안 체계 전환 필요성도 제기된다. 다만 공공부문 보안 체계 전환의 출발점은 보안 기본 준수 수준 점검이어야 한다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242506

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242506