과징금·제재AI 초안

### 항공·의료·금융 연쇄 침해사고…기업들 '통합·혁신' 명목 보안 외면

대한항공-아시아나항공 통합 과정에서 고객정보가 유출되고, 미용의료 플랫폼 AI 해킹으로 수십만 명의 민감정보가 노출됐다. 금융권 23%가 초고위험 취약점을 방치 중인 가운데, 기업들이 사업 추진 과정에서 정보보호를 후순위로 취급하는 구조적 문제가 수면 위로 떠올랐다.

통합 프로젝트 한복판의 보안 공백

아시아나항공과 대한항공의 경영통합은 국내 항공산업 재편의 상징적 사건이다. 그러나 이 과정에서 양사의 국내선 예약·항공권 정보 시스템 이전 중 고객정보 일부가 유출된 것으로 드러났다.

문제는 투명성 부재다. 양사는 유출 규모, 항목, 피해자 수 등 구체적 세부사항을 공개하지 않으면서도 통합 정보시스템 구축 작업을 계속 진행 중이다. 이는 개인정보보호법 제34조(통지 의무)와 정보통신망법 제28조(침해신고)를 충족하는 최소한의 절차는 거쳤을 가능성이 있으나, 피해자들에게 충분한 설명 기회를 주지 않고 있다는 뜻이다.

대규모 M&A 과정의 데이터 마이그레이션은 보안 위험이 극대화되는 구간이다. 이질적 시스템 통합, 임시 접근권 부여, 외부 SI 업체 투입 등으로 인해 통제 지점이 증가하기 때문이다. 항공사 같은 핵심 인프라 기업은 ISMS 인증 범위를 통합 프로젝트 전 단계로 확대하고, 독립적인 보안 감시 체계를 구축했어야 한다.

AI 해킹 사태, '기술 신뢰성' 검증 부재

B사 미용의료 플랫폼의 사건은 더욱 심각하다. AI 추천 엔진의 취약점이 악용되면서 성명, 주민등록번호, 연락처, 백신 접종 여부 등 초고도 민감정보가 수십만 명 규모로 유출됐다.

AI 기반 시스템이 고도화할수록 그 안에 숨어 있는 취약점도 복잡해진다. 머신러닝 모델의 입력값 조작(adversarial attack), 학습 데이터셋의 편향성, API 인터페이스의 인증 결함 등이 기존 보안 점검 틀을 벗어난다.

특히 미용의료는 민감정보의 보고(寶庫)다. 외모, 신체 부위, 의료 이력이 모두 얽혀 있기 때문에 GDPR에서도 생체정보·건강정보로 분류되는 자료다. 이 정보가 주민등록번호와 결합되면 신원 도용, 보험 사기, 협박의 도구가 될 수 있다.

금융권의 '조용한 태만'

더 놀라운 것은 동시 다발적으로 드러난 금융권의 현황이다. 국내 금융기관 23%(약 130곳)이 CVSS 9.9 등급의 Critical 라우터 취약점을 방치 중이었다. CVSS 9.9는 사실상 '즉시 공격 가능'의 등급이다. 이는 단순한 관리 미흡이 아니라 규제 리스크 관리 시스템 자체의 붕괴를 의미한다.

금융감독 당국이 ISMS-P 인증을 강제하고 정기 점검을 하는데도 이런 일이 벌어진다는 것은, 체크리스트식 컴플라이언스가 실제 보안 태세와 괴리되어 있음을 보여준다.