국내 금융권 침해 16곳, 인간중심 사이버보안의 한계

올가을 국내 금융권에서 은행, 저축은행, 캐피탈사, 증권사, 가상자산 거래소까지 침해 사고가 잇따랐습니다. 금융당국이 10월 중순까지 파악한 침해 금융회사는 16곳입니다. 1년 전에는 한 카드사에서 약 300만 명의 정보가 유출됐습니다. 피해 회사 대부분은 보안 인증을 받고 장비를 갖췄으며 정기 점검도 받았습니다. 한 보안 칼럼은 사람이 직접 막는 보안 체계가 한계에 부딪혔다고 진단합니다.

AI를 쓴 개인 공격자

금융당국은 여러 금융사에서 같은 공격자가 AI 도구로 대량 자동화 공격을 한 흔적을 확인했습니다. 해외 보안기업 분석에 따르면 이 공격자는 서버 몇 대와 AI를 조합한 개인입니다. 훔친 금융정보를 어디서 팔 수 있는지도 AI에 물었습니다. 신원은 밝혀지지 않아 추가 조사가 필요합니다.

취약점 발견 속도도 달라졌습니다. 올봄 '미토스 쇼크'를 일으킨 AI 모델은 한 달 만에 1만 개가 넘는 고위험 취약점을 찾았습니다. 한 글로벌 보고서는 취약점 악용까지 걸리는 평균 시간을 '마이너스 7일'로 제시했습니다. 패치보다 공격이 일주일 먼저 이뤄진다는 뜻입니다.

패치에서 제로트러스트로

칼럼은 패치 중심 방어가 모든 자산 파악, 모든 취약점 차단, 공격자보다 빠른 대응이라는 세 조건에 기대는데, AI 시대에 이 조건이 한꺼번에 깨졌다고 주장합니다. 기술적 취약점이 줄면 공격자는 탈취 계정, 본인 확인 없는 조회 서비스, 보이스피싱처럼 패치가 없는 약점을 노립니다.

대안은 제로트러스트입니다. 예방 체계를 통과한 공격자가 정상 사용자로 취급받는 '신뢰의 공간'을 들여다보고 내부 행위를 검증해야 한다는 것입니다. 주요 은행이 침입을 알아채기까지 15~68시간이 걸렸습니다. 칼럼은 정상 상태를 학습한 방어 AI가 비정상 접속을 즉시 끊고 권한을 회수하며 시스템을 분리해야 하고, 사람은 원칙을 세우고 책임지는 역할로 옮겨야 한다고 말합니다.

칼럼은 리더십 전환도 요구합니다. '패치를 다 했는가' 대신 '예방을 피한 공격을 목적 달성 전에 막을 수 있는가'를 묻고, 보안 성과를 인증서 개수가 아닌 탐지·차단 시간으로 따져야 한다는 주장입니다.