침해사고AI 초안

### 금융·종교기관 동시 피습, 설계결함·AI 공격이 빚은 '보안 붕괴'

2024년 10월 금융권과 종교기관을 타격한 대규모 침해사고가 단순 기술적 결함이 아닌 제도적 허점과 첨단 공격 기법의 동시다발적 결합임이 드러났다. CI 설계결함, ISMS-P 인증기관 침해, AI 기반 크리덴셜 스터핑 공격이 맞물려 3천만 명 이상의 민감정보가 노출되며 금융감독당국과 기업들의 근본적 대응을 촉구하고 있다.

1. 200건 침해사건이 폭로한 '건너뛸 수 없는' CI 제도 결함

부산은행, KT 등이 동시에 피습당한 최근 사건들은 금융권 보안의 최후 방어선으로 불리는 카드정보(CI) 제도의 구조적 문제를 적나라하게 드러냈다.

CI는 개인식별정보를 암호화해 저장하는 제도로, 설계상 변경이 불가능하도록 운영 중이다. 그러나 이번 사건에서 확인된 것은 이 '불변성'이 오히려 해킹 피해 발생 후 대응 불가능이라는 역설이다. 한 번 유출되면 개인의 생涯 금융활동이 위험에 노출되지만, 제도적으로 재발급 메커니즘이 없다는 뜻이다.

더욱 심각한 것은 ISMS-P 인증기관 자체가 중국발 ARTEX와 AI 크리덴셜 스터핑 공격의 타깃이 되었다는 점이다. 보안 인증을 심사·평가하는 기관이 침해당하면서 "누가 보안의 보안을 담당하는가"라는 근본적 질문이 제기된다. 200건 이상의 연쇄 침해사건은 이 인증체계의 신뢰도 붕괴를 의미한다.

2. '2차 피해의 시대' 연 AI 크리덴셜 스터핑 공격

대형교회의 신자정보 대량 유출 사건에서 노출된 종교·신념, 주민등록번호, 계좌번호 등은 단순 개인정보를 넘어 신원도용과 금융사기의 완벽한 구성 요소다.

이번 공격의 기술적 특징은 AI 기반 크리덴셜 스터핑의 대규모 적용이다. 과거에는 단순 반복 로그인 시도였다면, 이제는 기계학습을 통해 사용자 행동 패턴을 모방하고, 보안 질문 답변을 학습해 정상 접근처럼 위장한다. 이를 통해 적은 탐지율로 높은 성공률을 기록한다.

금융권 AI 공격 사례에서 확인된 것처럼, 단순 계정 접근을 넘어 실제 거래 승인까지 통과하는 고도의 공격이 이루어지고 있다. 3천만 명의 정보는 이미 다크웹 판매 단계에 접어들 것으로 추정되며, 2차 피해는 향후 수개월~수년에 걸쳐 확산될 가능성이 높다.

3. 공통 패턴 분석: '인증' vs '침입' 간 속도 격차

두 사건의 공통점은 보안 정책과 실제 위협 사이의 시간 격차다.

CI 제도: 2005년 이후 거의 변경 없음 vs. 공격 수법은 AI·머신러닝 기반으로 진화
ISMS-P 인증: 연 1~2회 심사 vs. 지속적인 제로데이 익스플로잇 활용 공격
기업 내부 접근통제: ID/PW 기반 vs. AI 크리덴셜 스터핑이 이를 무력화

특히 인증기관이 침해당하는 악순환으로 인해 신규 기업들의 인증 취득 및 유지까지 타격을 입히고 있다. 이는 보안 생태계 전체의 신뢰도를 훼손하는 '메타 리스크'다.

4. 금융기관·종교기관의 즉시 대응방안

금융기관:
- 다중인증(MFA) 필수화 + 위험기반 인증(Risk-based Authentication) 도입
- CI 시스템 재설계: 변경 가능한 대체 식별자 개발 시급
- 비정상 거래 탐지 AI 고도화 (정상 패턴 학습 기반)

종교·공공기관:
- 민감정보(종교·신념)에 대한 접근 권한 최소화
- 신자정보 암호화 저장 및 정기 접근 감시
- 직원 대상 소셜엔지니어링 훈련 강화

정부·감독당국:
- ISMS-P 심사 주기 단축 및 자동 모니터링 시스템 도입
- CI 제도 근본 개선 특별 TF 구성
- 인증기관 침해 발생 시 긴급 공시 의무화

📋 CPPG·ISMS-P 연계 학습 포인트

항목	학습 내용	시험 연관성
인증기관 침해	ISMS-P 인증기관 자체가 해킹당할 경우 대응 절차	ISMS-P 운영기관 역할·책임 문제
크리덴셜 스터핑	단순 ID/PW 탈취가 아닌 머신러닝 기반 행동 모방 공격	위험기반 인증(RBA) 기술 필요성
CI 변경불가 설계	개인식별정보의 '영구성' vs. '변경 불가능성'의 모순