[기자수첩]해킹 팬데믹 부른 '보안 불감증'

[서울=뉴시스]박은비 기자 =

"고객 여러분께 심려를 끼쳐드려 깊이 사과드립니다." 

최근 기자의 휴대전화로도 개인정보 유출 사과 문자가 쉴 새 없이 날아든다.

은행과 쇼핑몰, 커피 전문점, 숙박 앱, 미용의료 플랫폼, 아파트 커뮤니티 시설까지 개인정보 유출 사고가 하루가 멀다 하고 터지고 있다.

이름과 연락처 같은 기본 정보는 약과다. 병원 상담 기록과 사진, 숙박업소 이용 날짜, 아파트 세대주 여부 등 민감한 사생활 정보까지 해커의 손에 들어갔다.

사고가 날 때마다 기업은 사과문을 복사해 붙여넣듯 발송한다. 후속 조치는 오롯이 이용자의 몫이다.

최근 두 달 사이 유출 및 침해 사고가 공개된 기업과 기관은 90곳에 육박한다. 상황이 이렇다 보니 시장에서는 "인공지능(AI)을 활용한 해킹 기술이 급격히 진화했기 때문"이라며 어쩔 수 없다는 식의 변명이 흘러나온다.

인공지능(AI)이 사이버 해킹의 판도를 바꾸고 있는 건 사실이다. 과거 숙련된 해커만 가능했던 취약점 탐색과 공격 코드 작성, 침투까지 AI가 대신하는 시대다. 해킹이 소수 전문가의 영역에서 누구나 쓸 수 있는 쉬운 도구로 바뀌고 있다. 기업 보안 담당자들이 긴장해야 할 이유다.

그런데 최근 국내에서 잇따라 발생한 개인정보 유출 사고를 취재하다 보니 조금 다른 진실이 드러난다.

기업들을 무너뜨린 건 아무도 몰랐던 초고난도 신종 공격(제로데이 취약점)이 아니었다. 이미 수개월, 길게는 수년 전에 대응책이 다 알려진 기존 보안 취약점을 기업들이 그대로 방치했다가 뚫린 사례가 태반이다.

창과 방패의 첨단 싸움이 아니라, 방패 자체를 들지 않아 발생한 인재(人災)인 셈이다. 기본적인 보안 패치 업데이트와 주기적인 시스템 점검만 제대로 했어도 막을 수 있었던 사고들이었다.

더 황당한 건 일부 기업이 해킹당한 웹사이트나 서버가 현재 운영 중인지조차 모르고 있었다는 사실이다.

과거 외주업체에 개발을 맡겼거나 특정 사업을 위해 한시적으로 구축한 사이트가 관리 주체 없이 방치되다 공격 통로로 악용된 사례들이다.

기업 내부의 서버나 웹사이트가 총 몇 개인지, 어디에 무슨 개인정보가 남아 있는지 파악하는 전수조사조차 제대로 이뤄지지 않고 있다는 얘기다. 보안의 출발점인 자산 관리부터 구멍이 뚫려 있다.

AI를 활용한 해킹이 확산하면 상황은 더 심각해질 수밖에 없다. 사람이 일일이 찾아다니던 보안 사각지대를 AI가 순식간에 훑어내기 때문이다. 기업이 파악하지 못한 서버와 방치된 웹사이트는 공격자에게는 가장 손쉬운 먹잇감이 된다. 
 
AI 해킹 시대에 필요한 것은 화려한 보안 기술만이 아니다. 기업이 보유한 디지털 자산을 빠짐없이 파악하고 기본적인 보안 관리부터 철저히 하는 것이 우선이다. 기술 난도를 떠나 사이버 공격은 결국 시스템과 사람, 조직 사이의 허술한 빈틈을 파고들기 때문이다.

정부도 예외일 수 없다. 해외 순방을 앞둔 대통령 전용기 탑승자 168명의 신상정보가 외부 웹사이트에 버젓이 게시된 채 몇 달씩 방치되는 어처구니없는 일까지 벌어졌다.

기업도 정부도 지켜야 할 정보를 제대로 관리하지 못하는 사이 개인정보는 누구나 들여다볼 수 있는 '공공 정보'로 전락하고 있다. 이런 악순환을 끊어낼 시간은 많지 않다. 정보 보안의 골든타임을 더 이상 놓쳐서는 안 된다.


◎공감언론 뉴시스 [email protected]