AI 해킹 기술 탓하더니…대형 정보유출 부른 건 ‘보안 부실’

이환주 KB국민은행장(왼쪽)을 비롯한 시중은행장들이 19일 국회 정무위원회의 금융감독원 등에 대한 국정감사에서 국민의힘 박성훈 의원의 질의에 답하지 못한 채 두 손을 모으고 자리로 이동하고 있다. 왼쪽부터 강태영 NH농협은행장, 이호성 하나은행장, 정진완 우리은행장, 정상혁 신한은행장, 이환주 KB국민은행장. 연합뉴스

인공지능(AI)을 활용한 해킹 위협이 커지고 있지만, 최근 잇따른 개인정보 유출 사고에서는 기업들의 기본적인 보안 관리 부실이 드러나고 있다. 이미 확인된 보안 취약점을 개선하지 않거나 장기간 보유한 개인정보를 제대로 관리하지 못하면서 피해를 키웠다는 지적이다. 해킹 수법의 고도화와 별개로 기업들이 최소한의 보안 의무부터 제대로 이행했는지 따져봐야 한다는 목소리가 나온다.

20일 국회와 관련 업계에 따르면 지난해에 이어 올해 국정감사에서도 기업들의 해킹 사고와 개인정보 보호 책임이 주요 쟁점으로 떠올랐다. 지난 19일에는 KB국민·신한·하나은행장이 국정감사에 출석해 최근 금융권에서 잇따라 발생한 해킹 사고와 관련해 고개를 숙였다. 지난해 통신 3사 최고경영진이 해킹 사고로 국정감사 증인석에 올랐던 상황이 업종을 달리해 반복된 것이다.

은행장들은 보안 투자 확대와 전문인력 확충 등 재발 방지 대책을 약속했다. 그러나 해킹 기술이 빠르게 발전하고 있다는 설명만으로 기업들의 보안 관리 책임까지 면제될 수는 없다는 지적이 나온다. 인터넷전문은행에서도 AI을 악용한 해킹 공격 시도가 있었으나 자체 보안 체계를 통해 탐지·차단하면서 현재까지 피해는 없는 것으로 알려졌기 때문이다.

실제 최근 발생한 대규모 개인정보 유출 사고에서는 고도화된 공격 수법뿐 아니라 기본적인 보안조치가 제대로 이뤄지지 않은 문제도 확인됐다.

티빙에서는 중복을 포함해 3954만개 계정의 개인정보가 유출됐다. 이 가운데 휴면 계정은 850만2679개, 탈퇴 계정은 886만8174개로 비활성 계정만 1737만개에 달했다.

문제는 사전에 보안 취약점이 발견됐는데도 충분한 개선이 이뤄지지 않았다는 점이다. 정부는 2024년 모의해킹 과정에서 발견한 접속키 관련 취약점을 티빙 측에 통보했지만 근본적인 개선은 이뤄지지 않았다. 보안 담당 인력도 4명 정도에 불과했던 것으로 알려졌다.

송경희 개인정보보호위원회 위원장은 “접근권한을 제대로 관리하지 않거나 암호화를 하지 않고 이상 트래픽을 감지하지 않는 등 기본적인 조치가 미흡해 대형 사고들이 발생했다”라고 지적했다.

윤구 구글코리아 사장(오른쪽부터), 최주희 티빙 대표, 홍승일 힐링페이퍼(강남언니) 대표, 이상운 KT 최고정보보호책임자(CISO)가 10월 13일 국회 정무위원회에서 열린 국정감사에서 증인 선서를 하고 있다. 연합뉴스

최근 해킹 피해를 입은 할리스에서도 개인정보 관리 실태가 도마 위에 올랐다. 할리스는 멤버십 시스템 해킹으로 고객 개인정보 약 276만건이 유출된 것으로 파악했다. 유출 정보에는 아이디와 비밀번호, 주소 등이 포함돼 2차 피해 우려도 제기된다.

특히 이미 탈퇴한 회원의 개인정보까지 유출됐다는 주장이 나오면서 개인정보 파기와 보유 기간 관리가 적절했는지에 대한 의문도 커지고 있다. 회사 측은 유출 정보가 2009년부터 2020년 2월 11일까지의 누적 고객 데이터로 추정된다고 설명했다. 중복 회원이 포함된 수치라는 입장이다.

박춘식 전 아주대 사이버보안학과 교수는 “송 위원장의 발언은 기본적인 보안 조치만으로 AI 해킹을 막을 수 있다는 의미라기보다 기업들이 최소한의 보안 수칙을 지키지 않아 피해가 커졌다는 것으로 봐야 한다”라고 설명했다.

다만 기본적인 보안조치를 강화하는 것만으로 갈수록 정교해지는 사이버 공격에 대응하기에는 한계가 있다는 의견도 있다. 기업에 개인정보 보호 책임을 엄격히 묻는 동시에 정부 차원의 기술 지원과 공격 정보 공유 등 대응 체계도 강화해야 한다는 것이다.

IT 업계 관계자는 “모든 기업이 해킹에 대해 준비를 하고 있으나 정부도 해킹을 당한 사례가 있듯이 완벽히 막을 수는 없다”라며 “회사 규모에 따라 보안 인력도 상이한 상황에서 해킹은 고도화되고 있기에 기업의 책임으로만 묻기는 어려운 시대”라고 말했다.

박 교수 역시 “다만 AI 시대에 맞는 보안 대책을 마련해야 한다. 기업에게 과징금을 부과하는 것만 책임을 묻기보다는 해킹은 언제든 발생할 수 있다는 전제 아래 피해 확산을 막기 위한 정부와 기업의 대응 체계를 구축해야 한다”라고 강조했다.

정우진 기자 jwj3937@kukinews.com