AI 악용 해킹부터 양자 위협까지…금융·암호화폐 산업 '다층 침해 위기'

개인정보보호 규제가 강화되는 와중에도 금융권 37개사가 동시 피해를 입고, 일본에선 2억 6000만 건의 개인정보가 유출되는 등 침해사고의 규모와 수법이 급속도로 진화하고 있다. 특히 양자컴퓨팅 시대를 대비한 '수확 후 공격'이 현실화되면서, 기업들의 근본적인 보안 패러다임 전환이 불가피해 보인다.

---

고도화하는 해킹 기법, 규제 회피까지 병행

금융권을 겨냥한 AI 악용 해킹 사건은 단순 침입을 넘어선다. 37개 금융사가 5주간 40건의 침해사고를 당했고, 동시에 60개 기업이 피해를 입은 것은 조직화된 공격을 의미한다. 더 문제인 것은 KT의 은폐 사건이다. 2024년 3월부터 7월까지 38대 서버의 악성코드 감염을 적극 은폐한 행위는 개인정보보호법 위반을 넘어 대국민 신뢰 훼손이다.

KT 사건은 침해 자체보다 사후 대응 체계의 붕괴를 드러냈다. 기업이 침해사실을 인지했음에도 신고를 미루거나 은폐하면, 피해자는 자신의 정보가 얼마나 오랫동안 노출되었는지 알 수 없게 된다. 이는 2차 피해의 씨앗이 된다.

글로벌 규모로 확산되는 침해 현황

일본의 2억 6000만 건 개인정보 유출 사건은 한 국가의 총인구(약 1억 2600만 명)의 2배에 달하는 규모다. 이는 중복 피해, 비거주자 정보 포함, 다중 출처 유출을 시사한다.

국내도 안심할 수 없는 상황이다. 2026년 상반기 침해사고 신고가 전년 대비 19.5% 증가한 1236건에 달했다는 통계는 침해 건수 증가 추세가 꺾이지 않음을 의미한다. 게다가 신고된 것만 1236건이라는 점에서, KT처럼 은폐되는 사건까지 포함하면 실제 침해규모는 훨씬 크다.

2030년대 위협, 오늘부터 시작되다

가장 우려스러운 것은 '수확 후 공Attack(Harvest Now, Decrypt Later)' 방식이다. 가상화폐 거래소를 대상으로 현재 암호화된 데이터를 대량 수집한 뒤, 양자컴퓨팅 시대(2030년대 예상)에 복호화하는 전략이다.

• 대상 영역: 거래소 지갑, 블록체인 인프라, 고객정보
• 위험성: 양자컴퓨팅은 현재의 RSA, ECC 암호화를 무력화할 수 있음
• 타이밍: 이미 2026년에 이 방식의 해킹이 확인됨

이는 '미래의 위협이 현재 진행 중'이라는 뜻이다. 사이버 범죄자들이 이미 미래기술 발전을 예상하고 투자하고 있다는 점에서, 기업들의 대응은 한발 아니 두발 뒤떨어져 있다.

기업·기관의 시급한 대응과제

1단계: 즉시 실행
- 침해 신고 체계 강화 및 투명성 확보 (KT 사건 반복 방지)
- AI 탐지 시스템 도입으로 고도화 해킹 조기 적발
- 정기적 보안감사 및 실명 책임제 강화

2단계: 중기 전략
- 양자내성암호(Post-Quantum Cryptography, PQC) 도입 로드맵 수립
- 민감정보 암호화 강화 및 키 관리 체계 개선
- 정보유출 시뮬레이션 정기 실시

3단계: 장기 대비
- 2030년대 양자컴퓨팅 위협을 상정한 암호화 전략 전환
- 국가 차원의 PQC 표준화 및 인증 체계 구축
- 산업별 보안 협력 네트워크 강화

---

[CPPG 시험 연계 포인트]

>

개인정보 보유기관의 침해 신고 의무(개인정보보호법 제35조)

>

KT 사건은 "침해사실을 인지한 날로부터 지체없이 신고"한다는 법적 의무를 위반했다. CPPG 시험에서 자주 출제되는 이 조항은 단순 법규가 아니라, 피해자 보호의 최후 방어선이다. 기업이 은폐 시 행정처분·과징금 외에도 형사책임까지 추구되는 만큼, 신고 체계 구축은 선택 아닌 필수다.

---

백남정 기자
개인정보보호 전문 매체 'Privacy Daily' 발행인