금융·종교기관까지 침투한 AI 해킹…"ISMS-P 인증도 무너졌다"

10월 금융권 대규모 개인정보 유출 사태가 보안 업계에 경종을 울렸다. ISMS-P 인증을 받은 신한은행과 여의도순복음교회까지 AI 기반 크리덴셜 스터핑 공격에 당해 총 388만5000명의 정보가 유출된 것으로 확인됐다. 기술적 인증만으로는 '보안 한계'가 명확해지면서 산업 전반의 근본적인 방어 체계 재구축이 시급한 상황이다.

연쇄 침해, 어디서부터 뚫렸나

이번 사건의 핵심은 AI 기반 크리덴셜 스터핑 공격의 광범위한 확산이다. 공격자들은 기존 유출된 아이디·패스워드 데이터베이스를 머신러닝 모델로 분석해 금융기관의 취약한 계정을 자동 탐색했다.

신한은행 사례를 보면, 단순 계정 크래킹을 넘어 계층화된 접근이 시도됐다. 초기 침입점은 임직원 VPN 계정이었고, 이를 발판 삼아 내부 네트워크 세그먼트까지 도달한 것으로 분석된다. 특히 금융권 특성상 고객정보 DB가 연결돼 있어 한 번의 성공적 침투가 대규모 유출로 이어지는 '도미노 효과'를 초래했다.

여의도순복음교회의 경우 종교기관임에도 불구하고 수천만 건대 신도 개인정보, 헌금 기록, 상담 이력 등 매우 민감한 정보를 보유하고 있었다. ISMS-P 인증 기관이었다는 점이 더욱 문제다. 정기적 보안 감사와 기술 인증이 최신 AI 공격 기법을 따라잡지 못했다는 의미다.

공통의 허점: "기술 인증의 착각"

이들 기관의 공통점은 세 가지다.

첫째, 다단계 인증(MFA)의 선택적 운영. ISMS-P 인증에는 MFA 도입이 권장사항이지만 필수는 아니다. 금융권도 비용·사용성을 이유로 임직원 계정에만 적용하고 API 연동 계정은 단순 비밀번호만 사용한 경우가 많았다.

둘째, 행동 분석 AI의 부재. 정상 접속 패턴과 비정상 접속을 판별하는 이상탐지 시스템이 부재했거나, 있었더라도 임계값 설정이 너무 높아 자동화된 크리덴셜 스터핑을 탐지하지 못했다.

셋째, 공급망 보안의 맹점. 두 기관 모두 클라우드 이메일, 백업 솔루션 등 제3자 서비스를 사용하고 있었는데, 이들 벤더사 계정 보안은 최소 수준이었다.

기업·기관의 대응 로드맵

즉시 조치
- 모든 비금융거래(API, 배치작업, 관리자 계정) 계정에 MFA 강제 적용
- 지난 6개월 로그인 기록 포렌식 분석으로 '잠복 침입' 여부 확인
- 공급사 계정 정기 감사 및 권한 최소화(Least Privilege)

중기 전략
- 클라우드 접근 보안 브로커(CASB) 도입으로 섀도우 IT 가시화
- AI 기반 이상탐지 플랫폼 고도화 및 운영팀 교육
- 정기적 침투 테스트에서 AI 공격 시뮬레이션 추가

구조적 개선
- ISMS-P 인증 갱신주기를 2년에서 1년으로 단축 검토
- 금융감독당국의 '고위험 취약점 의무 공시' 기준 명확화
- 업계 정보공유(ISACs) 활성화로 실시간 위협 정보 배포

---

📋 CPPG·ISMS-P 시험 연계 포인트

항목	주요 내용	연관 조항
크리덴셜 스터핑	유출된 계정정보로 타 서비스 무단 접근 시도	ISMS-P 5.1 접근통제, CPPG 제4조 보안조치
다단계 인증(MFA)	권장→필수 재분류 필요성	ISMS-P 5.2.1 사용자인증
공급망 위험	제3자 서비스 계정도 기관의 책임 범위	CPPG 제5조 위탁관리자 관리의무
감사 주기	정기감사만으로 신규 위협 대응 한계	ISMS-P 9.2 내부감사 (1년 1회 이상)

---

"기술 인증 점수가 높다고 해서 보안 위협에서 안전한 것은 아니다" — 이번 사건은 금융감독 당국과 개인정보보호위원회가 ISMS-P·CPPG 기준 자체를 AI 시대에 맞게 개정해야 함을 명확히 보여준다. 특히 행동 분석과 공급망 관리라는 두 가지 새로운 필수 요소 도입이 더 이상 선택이 아닌 필수가 됐다.