APT38·중국 AI 해킹 도구, 금융·공공기관 동시 침탈…보안 '빨간불'

지난달 미래에셋생명을 시작으로 금융기관 16곳이 북한 APT38에 의해 동시 침해되는 사건이 발생했다. 거의 같은 시기 중국산 AI 해킹 도구가 공공기관과 대기업을 대상으로 대량의 고객정보를 탈취하면서, 한국의 주요 기관들이 다층적 사이버 위협에 무방비 상태인 것으로 드러났다. 전문가들은 "전통적 보안 방어체계가 더 이상 작동하지 않는다"며 근본적인 대응 전환을 촉구하고 있다.

APT38의 '피싱+웹셸' 조합 공격

북한 국가해킹조직 APT38은 미래에셋생명 해킹 사건에서 이전과 달리 정교한 다단계 침투 기법을 사용했다. 먼저 임직원을 대상으로 한 표적 피싱 공격으로 초기 접근권을 확보한 후, PHP 웹셸 취약점을 통해 시스템 깊숙이 침입했다.

금융감독원 발표에 따르면 신한은행, 농협은행 등 주요 금융기관 16곳이 같은 시기에 APT38의 공격을 받았으며, 약 10만 명의 개인·신용정보가 탈취된 것으로 확인됐다. 특히 주목할 점은 APT38이 단순한 정보 탈취를 넘어 금융 인프라 시스템 자체에 접근했다는 것으로, 향후 자금 이체나 거래 방해 등 실제 금융 피해로 확산될 위험이 상존한다.

중국 AI 도구 활용 공격의 '무방비 상태'

더욱 심각한 것은 중국발 AI 기반 해킹 도구의 출현이다. 침투 테스트 도구 '아르텍스(ARTEX)'와 대규모언어모델(LLM) 기반 AI '딥시크'를 결합한 공격 기법이 공공기관과 대형 플랫폼을 상대로 광범위하게 시행됐다.

이 공격의 핵심은 AI가 보안 시스템의 패턴을 학습하고 회피 방안을 자동 생성한다는 점이다. 기존 침입탐지시스템(IDS)이나 방화벽은 알려진 공격 패턴에 기반해 탐지하는데, AI 기반 공격은 매번 다른 형태로 변이되면서 보안 방어체계가 완전히 무력화된 상태다. 결과적으로 공공기관, 금융사, 대형 전자상거래 플랫폼에서 수백만 명의 고객정보가 유출됐을 것으로 추정된다.

공통 패턴: '사람'이 가장 큰 보안 허점

두 사건의 공통점은 조직 내부의 인적 요소를 최우선 공략 대상으로 삼는다는 것이다. APT38의 피싱 공격이 먹혀든 것은 임직원 보안 인식 부족 때문이고, AI 도구 기반 공격도 결국 초기 침입을 위해 사회공학 기법을 활용한다.

또한 두 사건 모두 알려진 취약점 또는 미패치 시스템을 악용했다. PHP 웹셸 취약점은 수년 전부터 알려진 것이고, AI 도구의 경우 0-day 취약점을 탐색하는 과정에서 기관들의 패치 관리 체계의 허점을 노렸다.

기업·기관의 '생존 대응'

1단계: 인적 보안 강화

- 피싱 시뮬레이션 훈련의 실효성 제고 (월 1회 이상) - 임직원 기밀정보 접근 권한의 '최소권한 원칙' 엄격 적용

2단계: 기술적 심화 방어

- 영점(0-day) 취약점 대응을 위한 '행동 기반 탐지(Behavioral Detection)' 도입 - 클라우드 기반 SIEM(보안정보 및 이벤트 관리) 시스템으로 실시간 위협 모니터링 - AI 공격 대응을 위한 AI 기반 방어 시스템(AI-Driven Defense) 구축

3단계: 사고 대응 체계 선제 구축

- 침입탐지 후 24시간 이내 격리 및 사고 대응 플레이북 운영 - 개인정보 유출 시 즉시 영향받은 고객에 통보 체계 정비

---

📋 자격시험 연계 포인트

[CPPG 제1장·ISMS-P 통제·관리 영역]

개인정보보호 '사전 예방' 강화:
- 미래에셋생명 사건은 '안전조치' 기준(개인정보보호법 제29조)의 부실 사례
- AI 기반 위협에 대응하려면 ISMS-P 인증 시 '침입탐지 및 차단(통제 1.1)' 및 '취약점 관리(통제 2.2)' 심화 평가 필수
- 기업은 개인정보 처리방침에 "신기술 기반 공격에 대한 지속적 대응" 명시 의무화 권고

---

백남정 기자 | 개인정보보호 전문 보도