침해사고AI 초안

1단계: 즉각적 조치

민감정보 노출·AI 해킹 동시 악화…'종교기관·금융권' 보안 공백 드러나 2024년 10월 금융·공공·종교기관을 타격한 AI 기반 크리덴셜 스터핑 공격과 대형교회의 신자정보 대량 유출 사고가 연이어 발생하면서, 국내 주요 기관의 개인정보 보안 체계가 심각한 위기에 직

백남정 기자

입력 2026년 10월 12일

단축URLhttps://privacynews.kr/s/44bee6ad

### 민감정보 노출·AI 해킹 동시 악화…'종교기관·금융권' 보안 공백 드러나

2024년 10월 금융·공공·종교기관을 타격한 AI 기반 크리덴셜 스터핑 공격과 대형교회의 신자정보 대량 유출 사고가 연이어 발생하면서, 국내 주요 기관의 개인정보 보안 체계가 심각한 위기에 직면했다. 3천만 명 이상의 민감정보가 외부에 노출되고 있는 가운데, 전문가들은 기관별 보안 역량의 격차와 관리 소홀을 주요 원인으로 지적하고 있다.

사례 1: 대형교회 신자정보 대량 유출, '민감정보' 보호 실패

국내 대형교회에서 신자의 이름, 연락처, 주소 등 개인정보와 함께 종교·신념이라는 민감정보가 대량 유출된 사고가 발생했다. 개인정보보호법상 민감정보는 생명·신체·재산에 직접적 위협을 줄 수 있어 최고 수준의 보호 조치가 필수인데, 종교 정보의 경우 개인의 신앙생활, 신원, 재산까지 추적되는 심각한 2차 피해로 이어질 수 있다.

교회는 신자 관리 데이터베이스 운영 과정에서 암호화, 접근제어 등 기본적인 보안조치를 충분히 이행하지 못했던 것으로 추정된다. 특히 종교 기관의 경우 정보보호 담당자 부족, 노후 시스템, 예산 제약 등으로 인해 보안투자가 미흡한 상황이 오래 지속되어 왔다. 교회는 사후 경찰·개인정보보호위원회에 신고했으나, 이미 외부 노출된 민감정보는 회수 불가능한 상태다.

사례 2: AI 크리덴셜 스터핑, ISMS-P 인증사도 침투

2024년 10월 예가람저축은행, 신한은행, 여의도순복음교회를 포함한 금융·공공·종교기관이 AI 기반 크리덴셜 스터핑 공격으로 동시다발 해킹을 당했다. 크리덴셜 스터핑은 유출된 아이디·비밀번호 조합을 자동화된 도구로 대량 입력해 계정 접근을 시도하는 공격 기법인데, AI 기술 도입으로 공격 정밀도와 속도가 비약적으로 상승했다.

놀랍게도 이번 사고의 피해기관 중에는 ISMS-P(정보보호관리체계) 인증 기업도 포함되어 있었다. 이는 형식적 인증 획득 후 실제 운영 미흡, 다층방어 체계의 부족, 침입탐지 모니터링 실패 등을 의미한다. 결과적으로 주민등록번호, 계좌번호, 거래내역 등 3천만 명 이상의 민감정보가 유출되면서 금융사기, 신원도용, 보이스피싱 등 광범위한 2차 피해 우려가 높아졌다.

공통 패턴: 기본 방어 체계의 붕괴

두 사례의 공통점은 다음과 같다:

문제점	영향
암호화·접근제어 미흡	기본 보안조치 부실
침입 탐지·대응 체계 부족	초기 공격 적발 실패
정보보호 담당 인력·예산 부족	보안투자 미흡
정기적 보안감사 및 모의훈련 결여	위험 조기 발견 불가

특히 금융·공공·종교 기관은 '신뢰성'이 핵심 자산이라는 점에서 이번 사고의 파급효과는 개인정보 피해 차원을 넘어 국민 신뢰도 훼손으로 이어지고 있다.