침해사고AI 초안

### 금융·통신 3천만 명 개인정보 노출, '보안 관리 공백'이 부른 연쇄 참사

금융당국의 보안점검에서 555개 GA·대부업체 중 23.4%가 중대 취약점을 드러냈고, 동시에 부산은행·KT 등 대형 금융통신사가 AI 크리덴셜 스터핑 공격으로 3천만 명 이상의 개인정보를 노출했다. 전문가들은 이들 침해사고의 공통원인으로 '내부 접근권한 관리 부재'와 '보안정책의 형식화'를 지적하며, 규제당국의 행정처분 강화만으로는 불충분하다고 경고했다.

금융·비금융 할 것 없이 '보안 대비 미흡'

올해 10월 발생한 연쇄 침해사고는 한국 금융·통신 생태계의 심각한 보안 공백을 드러냈다. 부산은행, KT, 교회 등이 AI 기반 크리덴셜 스터핑 공격으로 동시 침해되어 3천만 명 이상의 개인정보가 노출된 것이다. 같은 시기 새마을금고는 파라미터 변조 공격으로 400명 고객정보가 탈취되기도 했다.

더 우려스러운 것은 금융감독당국이 실시한 GA·대부업체 555개사 보안점검 결과다. 130개사(23.4%)가 보안패치 미적용, 24시간 관제 체계 미구축 등 중대 보안 취약점을 드러냈으며, 약 10만 건의 개인정보 유출 침해사고가 확인됐다.

특히 주목할 점은 이들 기업이 '알면서도 하지 않은' 경우가 상당하다는 점이다. 보안패치는 기술적으로 가장 기본적이고 비용 효율적인 대응책이지만, 5곳 중 1곳이 이를 실행하지 않았다. 24시간 관제는 현대적 정보보호의 필수 요소인데, 이것이 구축되지 않은 기업들은 침해 발생 후 대응 속도가 현저히 느릴 수밖에 없다.

2026년 금융·IoT 연쇄 해킹, '내부권한 관리'가 핵심

더욱 심각한 사건은 2026년 10월 발생한 금융권·IoT 연쇄 해킹 사태다. 금융권 해킹으로 계좌정보·개인식별정보가 대량 유출되었고, 스마트가전 해킹으로 인한 화재 참사까지 발생했다.

이 사건의 가장 큰 문제점으로 지적된 것이 '내부 접근권한 관리 미흡'과 '암호화 정책 부재'다.

내부 직원의 계정이나 시스템 접근권한이 제대로 관리되지 않으면, 악의적 내부자나 계정 탈취 공격자가 핵심 데이터에 직접 접근할 수 있다. 또한 암호화 정책이 없으면 데이터가 탈취되더라도 해석 불가능한 상태로 보호될 기회가 사라진다. 이는 단순한 '보안 소홀'이 아니라 조직 전체의 정보보호 체계 부재를 의미한다.

공통패턴 분석: '형식적 보안'의 종말

세 가지 침해사고를 관통하는 공통 패턴이 있다.

첫째, 기본 보안의 부재다. 보안패치 미적용, 암호화 정책 없음, 접근권한 관리 미흡—이들은 모두 ISMS(Information Security Management System) 인증을 받은 기업이라면 마땅히 갖춰야 할 기초 통제(Basic Control)다.

둘째, 신기술 공격에 대한 방어 불준비다. AI 기반 크리덴셜 스터핑 공격, 파라미터 변조 공격은 이미 2023년부터 보안 위협으로 보고되어 온 기법이다. 그럼에도 대형 금융기관들조차 이를 막지 못했다는 것은 위협 인텔리전스와 보안 인식의 부족을 의미한다.

셋째, 규제와 현실의 괴리다. 금융감독당국이 규제를 강화해도 현장에서는 형식적 준수에 그치는 경우가 많다. ISMS 인증, 정보보호 관리체계 구축이 '체크리스트'로 전락하고 있는 것이다.