"버거킹부터 신문까지 다 털렸다"…개인정보 유출 초비상 [도쿄나우]

日사이버 피해 공표 벌써 600건
2주 걸리던 공격, AI로 수십 분

일본에서 사이버 공격으로 인한 개인정보 유출이 잇따르고 있다. 철도·여행·외식 등 생활 밀착 서비스부터 물류기업과 언론사까지 피해가 확산하고 있다. 외부 위탁업체가 뚫리면서 여러 기업의 고객정보가 함께 유출되는 사례도 나타났다. 인공지능(AI)이 공격에 필요한 시간과 비용을 줄이면서 기업의 보안 대응이 뒤처지고 있다는 분석이 나온다.

 업종 가리지 않는 대규모 유출

일본 운송업체 야마토운수는 지난 16일 불법 접속으로 개인정보 약 531만 건이 유출됐다고 발표했다. 니혼게이자이신문도 시스템 개발용 클라우드 서비스가 공격받아 개인정보 약 183만 건이 유출됐다고 밝혔다. 이 가운데 약 15만 건에는 이름과 이메일 주소, 주소, 전화번호, 생년월일 중 하나 이상이 포함됐다. 나머지 약 168만 건은 단독으로 개인을 특정할 수 없는 식별자였다.

전날에는 소프트웨어 업체 소스넥스트가 고객정보 약 2252만 건의 유출 가능성을 공표했다. 버거킹은 앱 회원정보 약 1118만 건이 유출됐다고 밝혔다. 앞서 항공권 예약 서비스 스카이티켓 운영사 어드벤처는 약 1464만 건, 북오프그룹홀딩스는 최대 약 643만 건의 정보가 유출됐을 우려가 있다고 발표했다.

지난달 하순에는 차량 공유 서비스 타임스카에서 운전면허증 이미지 등 개인정보 최대 약 660만 건이 유출된 사실이 공개됐다. 운전면허증은 금융거래 등의 본인 확인에 쓰이는 만큼 신분 도용을 비롯한 추가 피해 우려도 커졌다.

피해 공표 건수도 늘고 있다. 마이니치신문에 따르면 보안업체 트렌드마이크로가 집계한 올해 일본 기업·지자체의 불법 접속 등 피해 공표는 9월 말까지 약 600건이었다. 2024년과 2025년 같은 기간보다 각각 100건 이상 많다.

“AI가 취약점 탐색 시간 크게 줄여”

외부 서비스에 대한 의존은 피해를 확산시키는 요인이다. JR동일본과 JR도카이, JR큐슈, 위성방송 사업자 스카파JSAT 등은 소프트뱅크 계열사에 대한 불법 접속 여파로 정보가 유출됐을 가능성을 발표했다.

소프트뱅크 계열 SB C&S는 자신들이 이용하는 IDC프런티어의 클라우드 서비스에 대한 불법 접속으로 일부 서비스와 시스템에 영향이 발생했다고 공지했다. 기업 자체 시스템의 방어 수준뿐 아니라 고객정보를 맡긴 외부 업체의 보안까지 중요해진 것이다.

다만 기업별 발표가 모두 별개의 공격을 의미하지는 않는다. 같은 위탁업체의 피해를 여러 기업이 각각 공표할 수 있다. 유출 규모에도 확정치와 유출 가능성이 있는 최대치가 섞여 있어 단순 합산은 어렵다.

전문가들은 공격 급증의 배경 중 하나로 AI 악용을 지목한다. 한 화이트해커는 마이니치신문에 “3월 이후 AI를 이용해 취약점을 찾아내는 속도가 빨라졌다”며 “7월 이후 실제 불법 접속이 늘어나고 있다는 인상”이라고 말했다.

그는 과거 2주에 걸쳐 진행하던 수준의 공격도 AI에 수십 분 동안 지시하면 수행할 수 있게 됐다고 설명했다. 시스템의 약점을 탐색하고 공격을 준비하는 데 필요한 시간과 노력이 크게 줄었다는 의미다. 다만 최근 개별 유출 사건에 AI가 사용됐는지는 확인되지 않았다.

일본 정보통신연구기구도 지난 13일 공개된 스마트폰 앱을 분석해 연결 서버의 취약점을 공격하는 수법을 확인했다고 밝혔다. 앱에서 서버 접속 위치와 통신 구조를 파악한 뒤 약점을 노리는 방식이다. 연구기구는 AI가 앱 분석과 취약점 발견을 효율화해 공격을 확산시킬 가능성을 경고했다.

트렌드마이크로의 보안 전문가 오카모토 가쓰유키도 조사한 피해 사례 일부에서 AI 활용 흔적을 확인했다고 밝혔다. 과거 하나의 취약점을 노리는 공격이 두드러졌다면 최근에는 여러 취약점을 공략했을 가능성이 있는 사례가 나타난다는 설명이다.

공격 수법은 다양하지만 기본적인 관리 허점도 여전히 침입 경로가 되고 있다. 일본 침해사고 대응기관 JPCERT/CC는 알려진 소프트웨어 취약점과 설정·백업 파일 관리 부실, 인증키 탈취 등이 악용되고 있다고 경고했다. 고객용 앱뿐 아니라 직원용 관리 시스템과 데이터 분석 도구도 공격받았다.

AI로 빨라지는 공격에 대응하려면 보안 업데이트와 접근 권한 관리, 위탁업체 점검에 더해 방어 측도 AI를 활용한 취약점 탐색과 보완을 서둘러야 한다는 지적이 나온다.

도쿄=최만수 특파원 bebop@hankyung.com