AI 크리덴셜 스터핑 공격, 인증 기업도 무너뜨리다

ISMS-P 인증 기관들이 잇따라 해킹당하며 수백만 명의 개인정보가 유출됐다. 기술 인증만으로는 신규 위협에 대응 불가능한 시점, 금융·의료 부문의 보안 패러다임 전환이 절실하다.

연쇄 침해사고의 전개

올해 들어 국내 주요 기관들이 AI 기반 공격에 속수무책으로 당하고 있다. 2024년 10월 신한은행과 여의도순복음교회가 크리덴셜 스터핑 공격으로 388만5000명의 정보를 유출당한 것을 시작으로, 2026년에는 신한·KB국민·하나은행 3개 시중은행이 자율형 AI 해킹으로 고객정보를 당했다. 같은 해 상반기에는 신한은행(재침해), 전남대·강원대 병원, 교원그룹까지 피해를 입으며 수천만 건의 개인정보가 한 차례에 유출되는 상황에 이르렀다.

가장 충격적인 점은 ISMS-P 인증 기업들이 대거 침해당했다는 것이다. ISMS-P는 국내 최고 수준의 정보보호관리체계 인증으로, 이를 획득했다는 것은 국가 기준을 충족한 보안 수준을 의미한다. 그런데도 신한은행처럼 반복 침해되거나 교원그룹처럼 침해 사실을 9개월간 방치하는 사건이 발생한 것이다.

신규 위협의 정체

문제의 핵심은 AI 기반 크리덴셜 스터핑 공격의 저진입장벽화다. 크리덴셜 스터핑은 유출된 비밀번호 목록을 이용해 다양한 서비스에 대입하는 수법인데, AI 기술이 접목되면서 공격 정확도와 속도가 비약적으로 올랐다. 게다가 오픈소스 AI 플랫폼이 공개되면서 누구나 손쉽게 공격 도구를 구성할 수 있게 됐다.

기업들의 보안 부실도 한몫했다. 해외에서 유출된 개인정보가 다크웹에서 재유통되면서 공격의 시작점이 되는데, 기관들이 이러한 '외부 위협 인텔리전스'를 충분히 수집·분석하지 못했다. 또한 ISMS-P 인증에 안주한 채 신규 공격 기법에 대한 대응책을 마련하지 못한 것으로 보인다.

기업·기관의 대응 방안

1단계: 위협 정보 수집의 상시화
해외 유출 정보 모니터링, 다크웹 정보수집, 보안업체와의 협력을 통해 외부 위협 신호를 조기에 감지해야 한다.

2단계: 다층 인증 체계 강화
비밀번호 기반 인증만으로는 부족하다. 생체인증, OTP, 보안키 등을 필수로 도입하고, 비정상 접근 탐지 AI를 동시에 배포해야 한다.

3단계: 사고 대응 체계 고도화
침해 발견부터 피해자 통지까지의 시간을 단축해야 한다. 교원그룹 사건에서 드러난 '9개월 방치' 같은 상황은 절대 반복되어선 안 된다. 자동 탐지 시스템과 즉시 보고 체계를 구축해야 한다.

4단계: 임직원 보안 교육 강화
기술만으로는 한계가 있다. 임직원 대상 피싱 훈련, 보안 인식 제고, 정기적 역량 평가를 필수화해야 한다.

---

📋 CPPG/ISMS-P 시험 연계 포인트

항목	핵심 내용
출제 예상 영역	크리덴셜 스터핑 공격의 정의, 대응 방안 / ISMS-P 인증의 한계 / 외부 위협 정보 수집의 중요성
기출 가능 문제	"ISMS-P 인증 기업도 새로운 AI 공격에 당하는 이유는?" / "크리덴셜 스터핑 공격 방어 기술 3가지"
학습 포인트	인증(Certification)과 지속적 개선(Continuous Improvement)의 차이 인식 필요

---

결론: 이번 사건들은 "인증받았으니 안전하다"는 오래된 통념을 무너뜨렸다. ISMS-P, ISO27001 같은 인증은 시점의 보안 수준일 뿐, 신규 위협에 대한 면역력은 아니다. 금융·의료·교육기관처럼 민감정보를 다루는 곳일수록 위협 정보 수집-기술 고도화-조직 문화 개선을 3축으로 한 역동적 보안 체계로 전환해야 한다.