AI 해킹 급증·외부 연동 취약점, 2026년 상반기 개인정보 유출 '비상'

---

2026년 상반기 국내 개인정보 유출사고가 432건을 기록하며 전년 대비 급증했다. AI 기반 해킹 기법의 확산과 외부 시스템 연동 과정의 보안 취약점이 복합적으로 작용한 결과다. 특히 ISMS-P 인증을 획득한 기업에서도 대규모 유출이 발생해 인증 이후 지속적 보안 관리의 중요성이 다시금 부각되고 있다.

---

사례 1: AI 해킹 급증, 중소 민간업체 집중 피해

2026년 상반기 발생한 432건의 개인정보 유출사고 중 상당수가 AI 기반 해킹 기법에 의한 것으로 분석됐다. 공격자들은 생성형 AI를 활용해 피싱 메일을 정교화하고, 자동화된 취약점 스캐닝으로 보안이 취약한 시스템을 빠르게 탐지·침투하는 방식을 사용했다.

피해는 패션 쇼핑몰, 영어학원, 골프장 등 대규모 회원 데이터를 보유한 중소 민간업체에 집중됐다. 이들 업체는 전담 보안인력 부재, 노후화된 시스템, 보안 투자 여력 부족 등 구조적 취약점을 안고 있어 AI 기반 공격의 표적이 되기 쉬웠다.

---

사례 2: 토스페이먼츠·29CM, 외부 연동 시스템이 '구멍'

토스페이먼츠는 제3자 플랫폼의 보안 취약점을 통해 API Secret Key가 유출되는 사고를 겪었다. API 키는 결제 시스템의 핵심 인증 수단으로, 유출 시 부정 결제나 추가 정보 탈취로 이어질 수 있어 파급력이 크다.

29CM의 경우 더욱 충격적이다. ISMS-P 인증 획득 불과 2개월 만에 약 16만 건의 고객 개인정보가 유출됐기 때문이다. 이는 인증 심사 시점의 보안 수준이 일시적 통과에 그쳤을 가능성을 시사한다. 두 사고 모두 외부 연동 시스템에 대한 보안 검증 미흡과 지속적 모니터링 체계 부재가 공통 원인으로 지목됐다.

---

공통 패턴: '연결 지점'이 가장 약한 고리

이번 상반기 사고들에서 드러난 공통 패턴은 명확하다.

• 공급망·외부 연동 취약점: 자사 시스템이 아닌 제3자 플랫폼이나 API 연동 구간에서 침해 발생
• 인증 ≠ 안전: ISMS-P 등 인증 획득이 보안의 종착점이 아닌 출발점임을 방증
• 중소기업 보안 사각지대: 보안 투자 여력이 부족한 중소업체가 AI 공격의 집중 타깃
• 모니터링 공백: 실시간 이상 탐지 체계 미비로 사고 인지 및 대응 지연

---

기업·기관 대응 방안

첫째, 외부 연동 시스템에 대한 정기적 보안 점검과 API 키 관리 정책을 강화해야 한다. 키 순환 주기 단축, 접근 권한 최소화 원칙 적용이 필수다.

둘째, ISMS-P 인증 이후에도 지속적인 보안 수준 유지를 위한 내부 감사 체계를 구축해야 한다. 인증은 특정 시점의 스냅샷에 불과하다.

셋째, 중소기업은 KISA의 보안 컨설팅, 클라우드 보안 서비스 등 정부 지원 사업을 적극 활용할 필요가 있다.

넷째, AI 기반 공격에 대응하기 위해 AI 기반 이상 탐지 솔루션 도입을 검토해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.9.4 외부자 보안]

외부 서비스 이용 시 보안 요구사항 정의, 계약서 반영, 지속적 보안 수준 점검이 필요하다. 이번 토스페이먼츠·29CM 사례는 "제3자 제공 및 외부 연동 시 위탁자의 관리·감독 책임"과 직결되며, 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한) 상 수탁자 관리·감독 의무 위반 여부가 쟁점이 될 수 있다.

---

백남정 기자 | 개인정보보호 전문