침해사고AI 초안

1단계: 제도 개선 (정부·인증기관)

3천만 명 민감정보 노출… "CI 제도 붕괴, AI 공격에 속수무책" 2024년 10월 부산은행·KT·대형교회 동시 피습 사건으로 드러난 금융·종교 기관의 보안 실패. CI 설계결함과 ISMS-P 인증기관 침해가 AI 기반 크리덴셜 스터핑 공격과 결합되면서 제도적 허

백남정 기자

입력 2026년 10월 14일

단축URLhttps://privacynews.kr/s/7c8e8c5d

3천만 명 민감정보 노출… "CI 제도 붕괴, AI 공격에 속수무책"

2024년 10월 부산은행·KT·대형교회 동시 피습 사건으로 드러난 금융·종교 기관의 보안 실패. CI 설계결함과 ISMS-P 인증기관 침해가 AI 기반 크리덴셜 스터핑 공격과 결합되면서 제도적 허점이 실제 대규모 침해로 확산했다.

동시다발 침해, 제도 결함과 첨단 공격의 결합

지난 10월 금융권과 종교기관을 겨냥한 대규모 침해사고가 발생했다. 부산은행, KT, 대형교회 등이 거의 동시에 피습당한 이 사건은 단순 기술적 취약점이 아닌 제도적 붕괴와 공격 기법의 고도화가 맞물린 결과로 평가된다.

가장 심각한 부분은 피해 규모다. 3천만 명 이상의 민감정보가 노출됐으며, 여기엔 금융계좌 정보, 주민등록번호, 종교 신자 개인정보까지 포함됐다. 이는 한 번의 침해가 금융·의료·종교 등 다층 생활영역에 영향을 미친다는 점에서 국가적 신뢰 위기로 평가할 수 있다.

핵심 취약점 분석: CI 제도와 ISMS-P의 균열

첫째, 중요정보기반시설(CI) 설계 결함

CI 지정기관들은 보안 인증 획득에는 적극적이었으나, 실제 운영 과정에서 초기 설계 단계의 결함을 방치했다. 예컨대 부산은행의 경우 오래된 시스템과 신규 시스템 간 연동 과정에서 데이터 검증 체계가 미흡했던 것으로 파악됐다. CI 제도는 지정 이후 주기적 점검을 강제하지 않아, 초기 인증만으로 형식적 안전성을 유지하는 구조였다.

둘째, ISMS-P 인증기관 자체 침해

더 충격적인 것은 정보보안 관리체계 인증을 담당하는 기관이 먼저 침해당했다는 점이다. ISMS-P 인증기관 시스템이 공격 대상이 되면서, 인증서 진위 검증 과정이 무력화됐다. 해커들은 이를 통해 위조 인증서나 인증 기록을 조작해 기관들의 보안 점검을 우회할 수 있었다.

셋째, AI 기반 크리덴셜 스터핑 공격의 고도화

과거 침해사고와 달리 이번 공격은 AI 기술을 활용한 자동화된 공격이었다. 다크웹에서 수집한 수백만 개의 ID·비밀번호 조합을 AI 모델이 학습한 후, 각 기관의 특성에 맞춰 자동으로 시뮌 변형해 대입했다.

기존 '크리덴셜 스터핑'은 단순 대입식 공격이었다면, 이번에는 △금융기관의 로그인 패턴 분석 △종교기관의 회원 명명 규칙 분석 △공격 탐지 시스템을 우회하는 딜레이 삽입 등 지능형 적응 공격이 동원됐다.

공통 패턴: "보안 감시의 사각지대"

세 기관의 침해 과정을 추적하면 반복되는 패턴이 드러난다:

침해 단계	기존 점검 시스템의 한계
초기 접근	비정상 로그인 탐지 실패 (AI 공격 패턴이 일반 사용자와 유사)
권한 상승	내부 네트워크 세분화 부재
데이터 유출	대량 데이터 이동 모니터링 불충분

특히 AI 공격은 알려진 서명(Signature)이 없어 기존의 침입탐지시스템(IDS)이나 엔드포인트 탐지대응(EDR) 솔루션만으로는 무용지물이었다.