침해사고AI 초안

### CI 설계 결함부터 ISMS-P 우회 해킹까지…금융 개인정보 방어선 붕괴 직전

국정감사와 최근 침해사고로 드러난 금융권 개인정보보호의 구조적 허점들이 심각한 수준이다. 설계 결함으로 영구적 피해가 발생할 수 있는 CI 제도와 ISMS-P 인증을 우회하는 고도화된 해킹 기법들이 동시다발로 발생하면서, 기존 보안 체계의 근본적 개선이 시급해 보인다.

재발급 불가능한 CI, '평생 보안 빚'으로 남다

2026년 국정감사에서 지적된 CI(Continuous Identification) 제도의 설계 결함은 우리 금융시스템의 숨겨진 시한폭탄이다.

CI는 개인의 실명계좌 확인 및 금융거래 본인확인용으로 도입된 제도로, 기존 주민등록번호와 달리 '변경 불가능'하도록 설계됐다. 보안 강화 의도였지만 역설적으로 최악의 보안 취약점이 되었다. 한번 유출되면 영구적으로 피해를 입게 되는 구조인 것이다.

일반 비밀번호는 변경 가능하고, 주민등록번호도 필요시 재발급이 가능하지만, CI는 그렇지 않다. 금융거래의 핵심 식별자가 평생 공개될 위험에 노출된 채로 남게 되는 셈이다. 이는 개인정보보호법의 기본 원칙인 '최소화 원칙'과도 배치된다.

더욱 심각한 것은 연쇄 침해의 가능성이다. 한 금융기관에서 CI가 유출되면, 다른 서비스들도 동일한 CI로 접근되어 다중 서비스에 걸친 보안 위협으로 확대될 수 있다. 2024년 국내 금융기관 해킹 사건들이 보여준 대로, 한 곳의 침해가 여러 기관으로 파급되는 양상을 고려하면 그 위험도는 상상 이상이다.

ISMS-P 인증도 뚫리는 고도화된 금융 해킹

금융권의 방어선이 제대로 작동하지 못하고 있다는 증거가 속속 드러나고 있다.

중국발 해킹 도구 ARTEX와 AI 크리덴셜 스터핑 공격으로 인한 금융기관 동시다발 침해가 이를 단적으로 보여준다. 특히 충격적인 것은 ISMS-P(정보보호관리체계 인증) 보유 기관들이 침해를 당했다는 점이다.

부산은행, KT, 그 외 200건 이상의 침해 사건에서 주목할 점은 국가 공식 인증 시스템의 실효성 부족이다. ISMS-P 인증은 개인정보보호법 제33조에 따른 인증제도로, 기업의 정보보안 역량을 공식 인증하는 제도다. 그럼에도 인증 기관들이 다층 해킹에 속수무책이라는 것은 인증 체계 자체의 문제를 의미한다.

특히 KT의 경우 해킹 피해를 입은 것에 그치지 않고 개인정보보호법 위반 혐의까지 적발되었다. 이는 침해 후 신고, 대응 절차에서도 미흡함이 있었음을 시사한다.

공통 패턴: 설계 결함 + 고도화된 공격 + 허약한 사후대응

두 사례의 공통점은 명확하다.

첫째, 선제적 보안 설계의 부재다. CI 제도는 처음부터 변경 불가능성에만 집중한 나머지 유출 시 대책을 세우지 않았다. ISMS-P 인증 기관들도 AI와 연계된 신종 해킹 기법에 대한 대응 시나리오를 충분히 준비하지 못했다.

둘째, 기술 발전 속도를 따라가는 보안 체계의 한계다. AI 크리덴셜 스터핑은 단순한 무차별 대입 공격이 아닌 기계학습 기반의 타겟팅 공격이다. 기존 침입탐지시스템(IDS)이나 방화벽 규칙만으로는 방어가 어렵다.

셋째, 사후 대응 체계의 허점이다. CI는 변경 불가능, KT는 위반까지 적발되는 상황은 침해 후 조치가 제대로 작동하지 않았음을 의미한다.

기업·기관의 실질적 대응 방안

1. 제도 개선 (금감위·개인정보보호위원회)
- CI 제도 재설계: 변경 불가능성 원칙 재검토, 유출 시 재발급 메커니즘 마련
- ISMS-P 인증 기준 강화: 신종 해킹 대응 시나리오 포함 필수
- 침해 신고 의무화 및 처분 기준 명확화

2. 기업 자체 강화 (금융기관)
- Zero Trust 아키텍처 도입: 내부망도 무조건 인증
- AI 기반 이상탐지(Anomaly Detection) 도입으로 크리덴셜 스터핑 조기 적발
- 다중인증(MFA) 필수화
- 정기적인 침투테스트와 레드팀 운영

3. 개인의 피해 최소화
- 금융거래 알림 서비스 활성화
- 이상거래 모니터링 강화
- CI 유출 시 신속한 보상 체계 구축