### "인증 기업도 뚫린다"…AI 해킹 기술에 무너지는 금융권 보안

금융·공공·종교 분야를 가리지 않고 터지는 대규모 개인정보 침해사고. ISMS-P 인증을 받은 기업까지 무너지면서 국내 개인정보보호 체계의 근본적 한계가 드러났다.

---

본문

1. 연쇄 침해사고, 민감정보 대량 유출

2024년 10월 들어 국내 주요 기관들이 동시다발로 해킹 피해를 입었다. 예가람저축은행은 해킹으로 주민등록번호, 계좌번호, 거래내역 등 12개 항목의 고객정보를 잃었고, 신한은행과 여의도순복음교회는 약 388만 5000명의 개인정보가 유출됐다.

특히 우려되는 점은 유출된 정보의 성격이다. 주민등록번호와 계좌정보는 금융사기, 대출 부정, 신원도용 등 2차 피해의 직접적 수단이 된다. 한국전력, 대학 등 공공·교육 기관까지 연쇄 침해를 입으면서 피해 범위가 3천만 명을 넘을 것으로 추정된다.

2. "기술 인증만으로는 부족하다"…새로운 공격 기법의 등장

이번 사고의 핵심 특징은 AI 기반 크리덴셜 스터핑(Credential Stuffing) 공격이다. 해킹 조직이 해외에서 유출된 기존 정보를 재활용해 AI 기술로 자동 대입하는 방식으로, 기존의 정적 방어로는 대응이 불가능하다.

더 심각한 것은 ISMS-P 인증을 받은 신한은행, 여의도순복음교회 같은 '우량' 기업·기관도 동일한 공격에 당했다는 점이다. 시험·인증만으로 신규 위협에 대응할 수 없음이 명백해졌다. 외부 위탁업체 경유 침해도 빈번했다. 금융, 종교, 교육, 공공 등 전 분야로 침해 범위가 확대되는 것도 구조적 취약점을 시사한다.

3. 공통 패턴: 사후 대응 중심의 체계

현재 국내 정보보호 체계는 다음과 같은 한계를 보인다:

• 사전 예방 미흡: 암호화, 접근통제 강화 등 사전 기술 투자 부족
• 위탁업체 관리 공백: 외주사 보안 기준 미흡 및 감시 체계 부실
• 사후 대응 과다: 침해 후 보안 강화에 집중, 근본적 재설계 외면
• 인증 신뢰도 추락: ISMS-P 획득 후 보안 투자 감소 경향

4. 기업·기관의 대응 방향

즉시 조치
- 모든 직원, 위탁업체에 대한 접근권한 재검토 및 MFA(다중인증) 의무화
- 민감정보 암호화 및 토큰화 가속
- 침해 모니터링 및 신용카드사·금융감독당국과 실시간 협조 체계 구축

중기 전략
- AI 기반 침입탐지 시스템(IDS) 도입 및 행동 분석(Behavioral Analytics) 강화
- 공급망 보안(Supply Chain Security) 기준 상향 및 정기 감사
- 종합 사이버보안 보험 가입으로 2차 피해 최소화

체계 개선
- ISMS-P 인증 기준 강화 및 정기 재평가 제도 도입
- 개인정보보호법 시행령 개정으로 AI 활용 공격 대응 기준 신설

---

📋 CPPG·ISMS-P 연계 포인트

항목	내용
ISMS-P 결함	인증 후 보안 투자 감소, 신규 위협 대응 기준 부재
필수 개선안	지속적 보안 평가(Continuous Assessment) 도입, AI/ML 기반 위협 분석 의무화
법적 근거	개인정보보호법 제25조(안전조치 의무), ISMS-P 인증기준 개정 예정
기업 책임	기술적·관리적·물리적 안전조치의 적절성 주기적 검증 필수