[최정서의 머니체크] AI 앞세운 금융 해킹… 예방만큼 중요한 ‘복원력’

제미나이가 그린 일러스트.

인공지능(AI)을 앞세운 사이버 해킹은 갈수록 고도화하고 있다. 생성형 AI, 자동화 공격 도구, 랜섬웨어가 확산하고 다크웹을 통한 전문 공격 툴(Tool)의 구매가 가능해지면서 해커는 더 빠르고 정교한 공격을 할 수 있게 됐다.

AI를 활용한 해킹은 속도와 방식 등 모든 부분에서 달라졌다. 글로벌 컨설팅 기업 PwC의 '2026 글로벌 사이버 위협 리포트'에 따르면 AI 기반 해킹 도구의 무기화 속도는 지난해 대비 10배 이상 빨라지며 사이버 공격과 방어의 균형이 무너진 것으로 나타났다.

AI는 취약점 탐지와 분석, 공격 코드 생성, 실행까지 전 과정을 자동으로 수행하는 '공격 자동화' 단계에 진입했다. 이에 따라 하나의 취약점이 발견되면 즉시 공격이 이뤄지고, 동일한 방식의 공격이 반복적으로 확산되는 구조가 형성됐다. 즉, 기존처럼 취약점을 발견한 이후에 대응하는 방식으로는 AI를 활용한 해킹을 사실상 막을 수 없다는 의미다.

대표적인 사례가 최근 전 세계를 놀라게 한 '미토스(Mythos)'다. 미국 AI 기업 앤스로픽(Anthropic)의 초거대 인공지능 모델인 미토스는 운영체제(OS) 오픈BSD에서 시스템 결함을 포착하고, 침투 경로까지 설계했다. 취약점을 복수로 발견하고 이를 연결해 공격하는 과정에서 인간의 개입이 거의 없었다. '약점을 찾고 특정 정보를 탈취하라'는 명령 만으로 해킹이 알아서 이뤄지는 수준까지 이르렀다.

이른바 '미토스 쇼크' 때문에 미국은 물론 각국 정부와 금융당국은 긴급회의를 여는 등 미토스와 같은 AI 모델에 대응할 방안을 모색하기도 했다.

이런 환경에서 금융, 통신, 대형 정보기술(IT) 플랫폼 등 주요 산업에 대한 해킹 위협이 높아지고 있다. 실제로 지난해 SK텔레콤, KT 등 통신사는 물론 쿠팡, 롯데카드에서 해킹 사고가 발생했다. 올해는 교원, 듀오 등에서도 해킹 공격이 일어났다.

금융권을 향한 공격도 갈수록 늘어나고 있다. 금융보안원에 따르면 지난해 '전자적 침해시도'는 2023년 대비 약 19.1% 증가했다. 대응 건수 역시 25.8% 늘었다. 취약점 스캐닝, 침입 시도, 금융기관 사칭 해킹 메일, 웹 취약점 공격 등 다양한 형태의 위협이 지속적으로 발생하는 것이다.

해커는 AI를 활용해 24시간 공격을 시도할 수 있다. 공격을 기업이 완벽히 막는 것은 구조적으로 어렵다. 이에 주요 산업 정책이 '완벽한 방어'에서 '복원력'으로 이동해야 한다는 제언도 나온다. 실제로 유럽에선 이러한 움직임이 감지되고 있다. 유럽연합(EU)이 지난해부터 금융사를 대상으로 시행 중인 '디지털운영복원력법'(Digital Operational Resillience Acts)에는 이런 변화가 반영됐다. 이는 그간의 보안 규제와 달리 디지털 운영 복원력에 초점을 뒀다.

사고 기업 제재 역시 변화가 필요하다. 책임을 무한정 확대하는 것은 기업의 신속한 대응을 저해하는 요소로 꼽힌다. 지난해 정보보호 실태조사에 따르면 침해 사고를 경험한 기업 중 약 68%가 사고를 신고하지 않은 것으로 나타났다. 미신고 이유로는 '신고 절차가 복잡해서(41.2%)', '피해 사실이 알려지는 것이 두려워서(8.4%)' 등이 거론됐다.

이런 상황을 고려해 투명한 대처와 빠른 복원을 한 기업에 대해선 징계 경징계 경감 등 인센티브가 필요하다. 대표적으로 롯데카드는 작년 사이버 침해 사고 직후 전사적 대응 체계를 발 빠르게 가동하고 고객군별 맞춤 보호 조치를 실시했다. 2차 피해는 발생하지 않았고, 탈회율도 1% 미만에 그쳤다.

AI의 확산으로 사이버 해킹 양상은 과거와 크게 달라졌다. 이에 발맞춰 보안 정책 역시 변화가 필요하다. 그래야 기업의 능동적인 대처를 이끌어내고, 보안 수준도 높이는 계기가 될 것이다.

최정서 기자 emotion@dt.co.kr