인공지능(AI)이 허용되지 않은 경로로 인터넷에 접속하자 오픈AI가 최첨단 AI 모델의 훈련을 11일간 중단했던 것으로 드러났다. AI가 스스로 문제를 해결하는 능력이 높아질수록 인간의 통제를 벗어날 위험도 커지면서 오픈AI는 외부 인터넷과 연결되지 않은 환경에서 훈련을 이어가기로 했다. 오픈AI는 지난달 20일 내부 연구용 AI 모델이 시스템 설정의 허점을 이용해 외부 인터넷에 접근했다고 23일(현지시간) 밝혔다. 회사는 즉시 훈련과 성능 평가를 중단하고 보안 체계를 강화한 뒤 이달 1일 훈련을 재개했다. 향후 AI가 시행착오를 거쳐 능력을 높이는 ‘강화학습’ 과정에서는 인터넷 대신 미리 저장한 웹페이지를 활용한다. 인터넷 이용법은 익히되 외부 시스템에는 직접 접근하지 못하도록 한 것이다. 인터넷을 차단해도 AI의 행동을 완전히 통제하기 어렵다는 사실도 확인됐다. 연구진이 서로 격리된 AI 모델들에 통신 방법을 찾아보도록 하자, 이들은 컴퓨터의 데이터 처리 속도 차이를 신호로 활용해 메시지를 주고받았다. 인터넷이나 공유 파일 없이도 정보를 전달할 방법을 찾아낸 것이다. AI는 보안 점검 과정에서 웹 데이터 압축 기술인 ‘브로틀리’의 취약점도 발견했다. 외부 공격자가 악성 명령을 실행하는 데 악용할 수 있는 결함으로, 개발진은 보안 업데이트를 배포했다. 안전성 검증은 아직 끝나지 않았다. AI 안전성 평가기관 METR과 레드우드리서치는 지난 22일 AI의 행동 수백 건이 감시망에서 누락될 수 있다는 점검 결과를 공개했다. 오픈AI는 문제를 수정했다고 밝혔지만 두 기관은 개선된 시스템을 추가 검증하지 않았다고 설명했다.

인공지능(AI)이 발견한 보안 취약점 하나에 세계 각국이 선제적으로 웹사이트를 멈춰 세울 만큼 큰 파장이 일었다. 전 세계 웹사이트의 75% 이상에서 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되자 해킹 비상에 미국, 유럽, 우리나라 정부 등은 사이버 보안 대응에 나섰다. 국내에 PHP를 사용하는 인터넷 서버는 약 11만개에 달한다. AI가 이번 취약점을 발견했고 실제 해킹에 악용하는 시도까지 확인되면서, AI가 전 세계 사이버 보안 질서를 뒤흔드는 변수로 떠올랐다. 월스트리트저널(WSJ)·로이터통신 등은 21일(현지시간) 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’ 개발진이 두 건의 치명적인 보안 취약점을 수정한 새 버전을 이날 긴급 공개했다고 보도했다. PHP는 인터넷 홈페이지가 작동하도록 만드는 프로그래밍 언어다. 사용자가 검색창에 특정어를 입력하면 PHP가 데이터베이스에서 해당 정보를 찾아오고 홈페이지에서 검색 결과를 보여 준다. 따라서 해커가 이번에 발견된 PHP의 취약점을 악용하면 별도 로그인이나 인증 절차 없이 중간에서 임의로 악성코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다. 이 취약점은 국제 보안 취약점 평가 체계(CVSS) 4.0을 기준으로, 10점 만점에 9.2점이다. 이는 가장 높은 단계인 ‘치명적’ 등급이다. 특히 사용 프로그래밍 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있어 광범위한 사이버 공격으로 퍼질 수 있다. 이번 사태는 AI가 사이버 보안의 공격과 방어 양쪽을 동시에 바꾸고 있다는 점에서 새로운 보안 위기로 주목받고 있다. 사이버 보안업체 캘리프의 라이언 오스틴 연구원은 지난 8월 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 PHP 소스코드를 점검하던 중 이번 취약점을 찾아냈다. 오픈AI도 오픈소스 소프트웨어의 보안 취약점을 찾아 수정하도록 지원하는 활동의 하나로 이번 점검을 도왔다. 해당 결함은 수년간 PHP 소스코드에 존재했지만 그동안 실제 위험성이 충분히 밝혀지지 않았다. AI는 결함을 찾고 이를 악용한 공격이 소규모 시스템에서 불과 몇 초 만에 가능하다는 사실까지 확인했다. 구글 산하 보안업체 위즈의 공동창업자 아미 루트와트는 “지금까지 AI로 찾아낸 취약점 가운데 가장 심각한 것”이라고 평가했다. 다행히 AI가 결함을 찾아내고 방어 능력을 높인 것이지만, 역설적으로 해커들이 취약점을 분석하고 공격 도구를 만드는 시간과 비용을 줄이는 데 이용될 수도 있다. 실제 아마존은 자체 위협 탐지 시스템 ‘매드팟’(MadPot)을 통해 취약점 공개 나흘 전부터 공격 시도가 있었다고 확인했다. 특히 ‘PHP 개발·유지·보수’를 지원하는 비영리 단체인 PHP 재단은 패치 배포업체 ‘체인가드’가 일반인의 다운로드 시점인 공식 배포 시간보다 6시간 이상 일찍 패치가 적용된 이미지를 공개했다고 지적했다. 해당 이미지를 통해 해커들이 기존 코드와 패치의 수정된 코드를 비교해 어떤 부분에 보안 문제가 있었는지 알아내고 이를 공격방법으로 전환할 수 있었다는 것이다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 정오부터 PHP의 보안 취약점에 대응해 민간 분야 사이버 위기 경보를 ‘관심’에서 ‘주의’로 격상했다. 이에 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계가 가동됐다. 삼성전자는 일부 PHP 기반 웹사이트의 접속을 차단하고 보안 패치를 적용했으며, SK그룹은 계열사별 점검과 패치에 나섰다. 포스코그룹도 긴급대응반을 구성했다.

인공지능(AI)이 발견한 보안 취약점 하나에 세계 각국이 선제적으로 웹사이트를 멈춰 세울 만큼 큰 파장이 일었다. 전 세계 웹사이트의 75% 이상에서 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점이 발견되자 해킹 비상에 미국, 유럽은 물론 우리나라 정부도 사이버 보안 대응에 나섰다. 국내에 PHP를 사용하는 인터넷 서버는 약 11만개에 달한다. 이번 취약점이 AI를 통해 발견되고 실제 악용 시도까지 확인되면서, AI가 전 세계 사이버 보안 질서를 뒤흔드는 변수로 떠올랐다. 월스트리트저널(WSJ)·로이터통신 등은 21일(현지시간) 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 ‘PHP’ 개발진이 두 건의 치명적인 보안 취약점을 수정한 새 버전을 이날 긴급 공개했다고 보도했다. PHP는 인터넷 홈페이지가 작동하도록 만드는 프로그래밍 언어다. 사용자가 검색창에 특정어를 입력하면 PHP가 데이터베이스에서 해당 정보를 찾아오고 홈페이지에서 검색 결과를 보여주는 역할을 한다. 해커가 PHP의 취약점을 악용하면 별도 로그인이나 인증 절차 없이 중간에서 임의로 악성코드를 실행하거나 시스템을 장악할 수 있는 것으로 알려졌다. 이 취약점은 국제 보안 취약점 평가 체계(CVSS) 4.0을 기준으로, 10점 만점에 9.2점이다. 이는 가장 높은 단계인 ‘치명적’ 등급이다. 특히 사용 언어를 확인할 수 있는 웹사이트의 약 75%가 PHP를 사용하고 있어 광범위한 사이버 공격으로 퍼질 수 있다. 이번 사태는 AI가 사이버 보안의 공격과 방어 양쪽을 동시에 바꾸고 있다는 점에서 새로운 보안 위기로 주목받고 있다. 우선 사이버 보안업체 캘리프는 오픈AI의 모델 ‘GPT-5.6 솔(Sol)’을 이용해 PHP의 취약점을 찾아냈다. 과거에도 해당 결함은 잠재적인 문제로 지적됐지만, AI를 통해 심각성을 구체적으로 밝혀낸 것으로 전해졌다. AI가 인간이 놓쳤던 결함을 찾아내 방어 능력을 높인 것이지만, 역설적으로 해커들이 취약점을 분석하고 공격 도구를 만드는 시간과 비용을 줄이는 데 이용될 수도 있다. 실제 아마존은 자체 위협 탐지 시스템 ‘매드팟(MadPot)’을 통해 취약점이 공개되기 나흘 전부터 공격 시도가 있었음을 확인했다고 밝혔다. PHP의 보안 취약점 패치가 공식 발표 전에 공개되면서 해킹 위험이 더 커졌다는 지적도 나온다. PHP 개발과 유지·보수를 지원하는 비영리 단체인 PHP 재단은 이날 패치 배포업체 ‘체인가드’가 공식 배포 예정 시각보다 6시간 이상 일찍 패치가 적용된 이미지를 공개했다고 밝혔다. PHP 재단 개발진이 보안 결함을 고친 뒤에 패치를 공개하려고 했지만 이런 계획이 무산되면서 공격자들이 기존 코드와 패치 코드를 비교해 취약점을 파악할 시간을 벌었다는 뜻이다. 세계 각국은 선제적 ‘오프라인 전환’을 권고하며 대응에 나섰다. 미국 당국은 소셜미디어 엑스(X)를 통해 “PHP를 사용하는 모든 기관과 기업은 즉각적인 업데이트에 나서고 불가능하다면 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환하라”고 공지했다. 네덜란드와 핀란드 등 일부 유럽 국가 정부 기관은 예방 차원에서 웹사이트 운영을 중단했으며 유럽과 일본, 호주 등의 사이버 보안 당국도 긴급 업데이트를 권고했다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과, 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 정오부터 PHP의 보안 취약점에 대응해 민간 분야 사이버 위기 경보를 ‘관심’에서 ‘주의’로 격상했다. 이에 따라 침해 대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계가 본격 가동됐다.

전 세계 웹사이트의 70% 이상이 사용하는 프로그래밍 언어 PHP에 치명적인 보안 취약점이 확인되면서 전 세계 웹사이트 보안에 비상이 걸렸다. 각국 정부와 보안기관이 대책에 나선 가운데 과학기술정보통신부와 한국인터넷진흥원(KISA)도 긴급 대응에 나섰다. 전 세계 웹사이트 70% 이상 사용하는 언어에 자체 취약점PHP는 웹사이트 서버용 프로그래밍 언어로, 웹사이트의 로그인·게시판·쇼핑몰 주문조회 등의 기능을 구현하는 데 쓰인다. 1995년 공개된 오픈소스 언어로, 웹 기술 분석업체 W3Techs에 따르면 사용된 프로그래밍 언어를 식별할 수 있는 웹사이트의 약 70~75%가 PHP를 사용한다. 전체 웹사이트의 약 43%에서 쓰이는 워드프레스 역시 PHP를 기반으로 작동한다. 이용자가 웹사이트에서 요청한 작업을 서버에서 처리하고 그 결과를 웹브라우저로 보내주는 역할을 한다. 이용자의 컴퓨터나 스마트폰이 아닌 웹사이트 운영 서버에서 실행되는 것이 특징이다. 예를 들어 온라인 쇼핑몰에서 주문 내역을 조회하면 서버가 PHP로 작성된 프로그램을 실행해 데이터베이스에서 해당 정보를 찾아 이용자에게 보여준다. 게시판에 글을 쓰거나 댓글을 불러오는 기능도 이런 방식으로 구현된다. 이번 보안 취약점의 파급력이 큰 것도 이처럼 수많은 웹사이트가 보편적으로 사용하는 기능이 PHP에 의존하고 있기 때문이다. 이번 취약점은 개별 사이트의 코딩 실수가 아니라 PHP 자체의 내부 처리 과정에 내재한 것으로 전해졌다. 로그인이나 인증 없이 외부에서 서버를 장악할 수 있는 취약점 2건이 확인된 것이다. 패치 나오기 전 결함 알려져…“공조 깨졌다” 전 세계적인 파급력뿐만 아니라 결함이 발견되고 패치가 나오기까지의 과정도 논란이 되고 있다. 연합뉴스와 PHP 재단에 따르면 이 결함은 2024년 독일 ‘소버린 테크 펀드’(STF)의 지원으로 진행된 보안 감사에서 처음 포착됐다. 당시 개발진은 메모리 부족(OOM) 상황을 처리하는 과정에서 생길 수 있는 결함을 확인하고 수정 방안을 논의했다. 그러나 만장일치 합의로 결정하는 구조 탓에 결론을 내지 못했고, 기존 라이브러리와의 호환성이 깨질 수 있다는 우려와 성능 저하 논란까지 겹치면서 패치는 보류됐다. 특히 이 결함이 실제 원격 코드 실행(RCE) 공격으로 이어질 수 있다는 점을 당시로선 입증하지 못한 것도 작용했다. 그러나 지난 8월 인공지능(AI)을 활용해 같은 결함을 찾아내면서 상황이 달라졌다. 잠재적 버그 정도로 여겨졌던 결함이 AI 분석을 통해 실제 시스템 침투 경로로 이용 가능하다는 점이 확인된 것이다. 미국 보안업체 캘리프(Calif) 연구진은 오픈AI의 ‘GPT-5.6 솔’로 PHP 코드를 분석했고, 오픈AI 보안팀도 별도 연구에서 같은 결함을 찾아냈다. 이 결함은 8월 11일 PHP 재단에 신고됐다. PHP 재단은 신고를 받은 뒤 두 달여 검증 작업을 거쳐 21일 공식 보안 업데이트를 배포했다. 재단은 대응이 늦어진 원인으로 거버넌스의 한계와 자원 부족을 인정하고 보안 체계를 손보겠다고 밝혔다. 이 과정에서 또 다른 논란도 불거졌다. 일부 패치 배포업체가 공식 배포 예정 시간보다 약 6시간 앞서서 패치가 적용된 이미지를 기습 공개한 것이다. 재단은 공식 성명을 통해 “체인가드가 일방적으로 엠바고를 깼다”며 “공조 공개를 위해 수많은 주체가 수 주 동안 기울인 노력을 무시한 행위”라고 강력히 비판했다. 패치가 예정보다 일찍 공개되면 해커 등 공격자들이 패치 코드를 역분석해 공격 도구를 개발할 수 있게 된다. 정식 업데이트가 제공되지 않는 상황에서 해커들에게 먼저 코드를 분석할 수 있는 6시간을 제공함으로써, 이용자들이 눈 뜨고 당할 수도 있는 위험을 초래한 셈이다. 사실 공식 패치 배포 전부터 연이어 정보 유출이 있었다. PHP 개발진은 당초 22일에 패치를 배포하려 했으나 지난 20일 온라인에서 취약점 ID 등이 유포되면서 배포 일정을 하루 앞당겼다. 여기에 다른 보안업체 ‘캘리프’가 실수로 취약점 공격 시연 영상을 올렸다가 삭제하면서 해커들의 공격 도구 개발이 가속됐다고 재단은 지적했다. 이런 상황에서 체인가드의 기습적인 패치 공개가 이어지면서 ‘시간차 방어망’이 무너졌다는 평가가 나온다. AI로 빨라진 해킹 공격·방어…현장 적용 늦는 고질적 문제도 특히 AI 도구의 발전으로 패치 코드를 역분석해 공격 도구를 만드는 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서 이와 같은 공조 실패는 더욱 뼈아프다는 지적이 나온다. 이 문제를 최초로 발견한 타이 두옹 캘리프 최고경영자(CEO)는 “어떤 사람이 패치를 가져다가 AI를 돌려보고, 이를 악용하는 스크립트를 게시할 수도 있다”면서 “그러면 대혼란이 일어날 것”이라고 우려했다. 이런 비판에 댄 로랜크 체인가드 CEO는 “현장에서 실제 취약점 공격이 이뤄지고 있다는 징후를 여러 보안업체가 확인했다”면서 “실제 공격 증거가 포착됐을 때 패치를 배포하도록 한 공조 취약점 공개 가이드라인에 따라 출시 결정을 내렸다”고 해명했다. 다만 “내 결정으로 더 큰 압박을 받게 된 PHP 재단과 관리자들에게 미안하다”고 덧붙였다. 공조가 무너진 것과 별개로 이미 보안업계에서 AI를 활용해 공격과 방어 양쪽에서 속도 경쟁이 붙고 있다. 보안업계에서는 이번 사태가 AI로 인해 사이버보안에서 공격과 방어 양쪽이 속도 경쟁이 본격화한 대표적 사례로 보고 있다. 과거에 보안 분석은 사람이 직접 코드를 살펴보거나 정적 분석 도구에 기대는 방식이었다. 그러나 이제는 대형언어모델(LLM) 기반의 AI 에이전트가 방대한 코드에서 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해 내는 수준까지 왔다. 이런 도구가 공격자 손에 들어가면 막기 더욱 어려워진다. 오픈AI도 분석 결과를 공개하면서 고성능 추론 모델이 취약점을 빨리 찾아내는 만큼 공격자가 악성 도구를 만드는 기간도 크게 줄일 수도 있다고 경고했다. 이번에는 연구진이 공격자보다 먼저 결함을 찾아내 패치 작업을 할 시간을 벌었다. 그러나 방어하는 쪽이 앞으로도 늘 한발 앞설 거라는 보장이 없으며 이번에도 이미 취약점을 파고든 공격이 없었으리라는 법이 없다. AI를 활용한 취약점 신고가 쏟아지면서 오픈소스 진영의 검증 부담도 커졌다. PHP 재단에 따르면 지난 7월 이후 AI 등을 이용해 접수된 허위·중복 신고 100여건을 걸러내느라 유지보수 인력이 대거 투입됐다. 패치가 나와도 현장 적용이 늦어지는 것은 고질적이면서도 더욱 큰 문제다. 기업이나 기관이 기존 시스템과의 호환성을 이유로 업데이트를 미루면 취약점은 그대로 남을 수밖에 없기 때문이다. 결국 방어하는 쪽이 아무리 빨리 결함을 찾아내더라도 보완 패치 업데이트가 늦으면 공격자는 오히려 알려진 결함을 파고들 수 있다. 한국인터넷진흥원(KISA)은 ‘PHP’에서 취약점이 발견됐다며 보안 업데이트를 권고했다. 특히 PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다고 강조했다. 미 국가안보국(NSA)은 소셜미디어 엑스(X)에서 “즉각적인 업데이트가 불가능하다면, 취약점이 완전히 해결될 때까지 해당 시스템을 오프라인 상태로 전환할 것을 권고한다”고 밝혔다. 과학기술정보통신부와 KISA는 21일 밤 사이버 위협정보 분석·공유 시스템(C-TAS) 회원사와 정보보호 최고책임자(CISO) 신고 의무 기업을 대상으로 PHP 취약점에 대한 보안 조치를 취할 것을 요청했다. C-TAS는 KISA가 운영하는 사이버 위협정보 분석·공유 시스템으로, 약 5900개 참여 기업과 기관이 사이버 위협 정보를 공유하는 체계다. 정보통신망법에 따라 정보보호 업무를 총괄하는 정보보호 최고책임자(CISO)를 지정해 과기정통부에 신고해야 하는 의무 기업은 현재 약 3만곳에 이른다. 정부는 사이버 위협 정보를 안내하는 포털인 ‘KISA 보호나라’를 통해서도 PHP 취약점에 대한 보안 업데이트와 패치 적용을 권고하는 공지를 했다.

전 세계 웹사이트에서 널리 쓰이는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견되면서 국내에도 비상이 걸렸다. 국내에서 취약한 버전을 사용하는 것으로 추정되는 서버가 약 11만건에 달하는 데다, 취약점을 악용할 수 있는 공격 코드까지 빠르게 퍼지고 있다. 정부는 주요 기업에 긴급 보안 조치를 요청하고 중소기업 지원 방안도 검토하고 있다. 22일 보안업계에 따르면 PHP 개발진은 지난 21일(현지시간) 외부 공격자가 별도의 인증 절차 없이 서버에서 임의의 코드를 실행할 수 있는 취약점 2건을 수정한 보안 업데이트를 배포했다. ‘PHP2Shell’로 불리는 이번 취약점은 위험도 평가에서 10점 만점에 9.2점을 받았다. PHP는 웹사이트의 로그인과 게시판, 결제 등의 기능을 구현하는 데 쓰이는 프로그래밍 언어다. 전 세계 웹사이트의 약 70~75%가 PHP를 사용하는 것으로 추정된다. 국내에서도 상당수 웹사이트가 위험에 노출됐을 가능성이 있다. 안랩에 따르면 인터넷에 공개된 서버 정보를 분석한 결과, 취약한 PHP 버전을 사용하는 것으로 추정되는 국내 서버가 약 11만건으로 집계됐다. 세계에서 여섯 번째로 많은 규모다. 국내 홈페이지와 게시판 제작에 널리 활용되는 그누보드와 라이믹스도 PHP를 기반으로 한다. 다만 11만건은 보안 패치 배포 이전에 파악한 추정치로, 실제 공격에 취약한 서버나 피해 규모와는 차이가 있다. 취약점이 공개된 이후 공격 관련 코드도 빠르게 확산하고 있다. 안랩 시큐리티 인텔리전스 센터(ASEC)가 코드 공유 플랫폼 깃허브의 관련 저장소 100개를 분석한 결과, 99개가 이번 취약점과 관련된 것으로 나타났다. 대부분 하루 사이 생성됐으며, 이 가운데 36개는 취약점을 이용한 공격 가능성을 보여주는 개념증명(PoC) 및 재현용 저장소였다. 실제 작동 여부가 확인되지 않은 코드도 있지만, 해외 보안업체 워치타워는 해당 취약점을 악용한 공격 시도를 관측했다고 밝혔다. 보안 패치가 공개되는 과정에서도 논란이 불거졌다. PHP 재단에 따르면 보안업체 체인가드는 공식 배포 예정 시각보다 약 6시간 먼저 수정된 코드를 공개했다. 공격자들이 수정 전후의 코드를 비교해 취약점을 악용할 방법을 찾아낼 수 있도록 했다는 비판이 제기됐다. 체인가드 측은 이미 실제 공격 징후가 포착돼 조기 공개했다고 해명했다. 이번 결함은 2024년 보안 감사에서도 일부 징후가 확인됐지만, 기존 프로그램과의 호환성 문제와 개발진의 의사결정 지연 등으로 수정되지 않았던 것으로 드러났다. 인공지능(AI)이 취약점 발견에 활용됐다는 점도 주목된다. 미국 보안업체 캘리프 연구진은 오픈AI의 AI 모델을 활용해 기존에 알려진 결함이 실제 서버 공격으로 이어질 수 있다는 사실을 확인했다. AI가 보안 취약점을 찾아내는 데 걸리는 시간을 줄이는 동시에 공격자가 이를 악용하는 속도도 높일 수 있다는 우려가 나온다. 정부도 대응에 나섰다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 이날 사이버 위협정보 분석·공유 시스템(C-TAS) 참여 기업과 정보보호 최고책임자(CISO) 신고 의무 기업에 보안 조치를 안내했다. PHP를 사용하는 기업과 기관에는 최신 보안 버전으로 업데이트할 것을 권고하고, 자체 보안 인력이 부족한 중소기업에 대한 긴급 패치 지원도 검토하고 있다.

9개월 만에 작년 공격 시도 육박위협 탐지·예방 맡는 금융보안원 금융사들에 연회비 930억원 받아“보안효과에 의문… 책임 강화해야” 금융권을 겨냥한 해킹 시도가 올해 9개월 만에 4000만건을 넘어섰다. 지난해 연간 건수에 육박하는 규모다. 최근 인공지능(AI)을 활용한 개인정보 유출 사고까지 잇따르면서 개별 금융사의 보안 관리와 함께 금융권 공동 보안관제를 맡는 금융보안원의 대응 역량도 점검해야 한다는 지적이 나온다. 박상혁 더불어민주당 의원실이 15일 금융보안원에서 받은 자료에 따르면 올해 1~9월 금융권 해킹 시도는 4298만 9474건으로 집계됐다. 2022년 연간 183만 5668건의 23.4배다. 2024년 6782만 6211건에서 지난해 4471만 9269건으로 줄었지만, 올해는 9개월 만에 지난해 연간 수치의 96.1%에 달했다. AI를 악용한 공격 수법도 정교해지고 있어 대응 부담은 커지고 있다. 해킹 공격은 업권을 가리지 않았다. 금융투자업권이 984만 5368건으로 가장 많았고 보험 937만 227건, 카드 627만 5337건, 중소서민금융(카드 제외) 562만 4202건, 은행 474만 6050건 순이었다. 공격 주체에 대해 금융보안원은 “인터넷주소(IP) 국가정보 변경과 우회접속 등으로 식별이 불가하다”고 답했다. 해킹 시도가 실제 침입이나 정보 유출을 뜻하는 것은 아니다. 다만 한 번의 침입도 대규모 피해로 이어질 수 있어 위협을 미리 찾아 차단하는 능력이 중요하다. 금융사들이 연회비를 내고 공동 보안관제를 받는 이유다. 올해 금융보안원이 금융사들로부터 받은 연회비는 930억 4550만원으로 지난해보다 14.5%, 2022년보다 51.8% 늘었다. 은행은 한 곳당 약 18억 4000만원, 금융 유관기관은 6억 5000만원, 증권사는 4억 1000만원을 부담한다. 연회비는 인건비와 사업비 등에 쓰인다. 황석진 동국대 국제정보보호대학원 교수는 “금융보안원이 상당한 연회비를 받고 있지만 실제 유출 사고가 발생하면서 비용만큼의 실질적인 보안 효과가 나타나는지에 대해선 의문”이라며 “성과 평가와 책임 체계를 강화해야 한다”고 지적했다. 박 의원은 “인력 보강과 통합 관제 시스템 강화 등 금융보안원의 대응 역량을 끌어올려야 한다”고 말했다.

경상북도의회 연규식 의원(포항)은 ‘제366회 경상북도의회 정례회 제3차 본회의 5분 자유발언’을 통해 최근 급증하고 있는 인공지능(AI)을 악용한 허위·과장 광고의 위험성을 지적하고, 도민의 건강과 재산을 보호하기 위한 경상북도 차원의 선제적인 대응을 촉구했다. 연 의원은 “생성형 AI 기술의 발전으로 실제 사람과 구별하기 어려운 가상의 의사나 전문가를 만들어내는 것이 가능해졌으며, 이러한 기술이 건강식품과 의약품, 화장품 등의 허위·과장 광고에 악용되고 있다”고 지적했다. 실제로 한국소비자원이 약 5개월간 온라인 광고를 모니터링한 결과, 부당광고 의심 사례 2214건 가운데 AI를 악용한 허위·과장 광고가 1600건으로 전체의 약 72%에 달하는 것으로 나타났다. 또한 65세 이상 고령자의 인터넷 이용률이 2024년 기준 약 77%에 달하고, 특히 경북의 경우 2025년 소비자상담이 약 2만건으로 전년 대비 17.5% 증가했으며, 전체 소비자상담과 60세 이상 소비자상담 모두 건강식품 관련 상담이 가장 높은 비중을 차지한 것을 언급하며 고령층의 AI 가짜 전문가 피해 가능성에 우려를 표했다. 연 의원은 “건강식품 관련 소비자 상담이 모두 AI 허위광고 피해를 의미하는 것은 아니지만, AI 기술로 정교하게 조작된 가짜 전문가를 앞세운 광고가 확산될 경우 단순한 경제적 손실을 넘어 도민의 건강과 생명까지 심각하게 위협할 수 있다”고 강력히 경고했다. 이어 지난 5월 ‘화장품법’, ‘약사법’, ‘식품 등의 표시·광고에 관한 법률’이 개정되어 AI를 악용한 부당광고 규제가 법적으로 강화되고, 오는 11월 관련 제도 시행을 앞두고 있는 만큼 경상북도 차원의 선제적이고 실효성 있는 대응을 촉구했다. 이를 위해 연 의원은 ▲경상북도 소비자행복센터 중심의 AI 허위·과장 광고 모니터링 강화 ▲의심 사례 발생 시 관계기관과의 신속한 연계 체계 구축 ▲경로당 및 노인복지관 등을 활용한 정보 취약계층(고령층) 맞춤형 피해 예방 교육 확대 ▲신고부터 상담, 피해 구제로 이어지는 종합 대응 시스템 마련을 구체적인 대책으로 제안했다. 끝으로 “급속도로 발전하는 AI 기술 자체를 막을 수는 없지만, 이를 악용해 선량한 도민을 기만하고 건강을 해치는 범죄 행위까지 방관해서는 결코 안 된다”며, “신기술이 도민을 속이는 속도보다 행정이 도민을 보호하고 지켜내는 속도가 더 빨라야 한다”고 거듭 강조했다.

금융권을 겨냥한 해킹 시도가 올해 9개월 만에 4000만건을 넘어섰다. 지난해 연간 건수에 육박하는 규모다. 최근 인공지능(AI)을 활용한 개인정보 유출 사고까지 잇따르면서 개별 금융사의 보안 관리와 함께 금융권 공동 보안관제를 맡는 금융보안원의 대응 역량도 점검해야 한다는 지적이 나온다. 박상혁 더불어민주당 의원실이 15일 금융보안원에서 받은 자료에 따르면 올해 1~9월 금융권 해킹 시도는 4298만 9474건으로 집계됐다. 2022년 연간 183만 5668건의 23.4배다. 2024년 6782만 6211건에서 지난해 4471만 9269건으로 줄었지만, 올해는 9개월 만에 지난해 연간 수치의 96.1%에 달했다. AI를 악용한 공격 수법도 정교해지고 있어 대응 부담은 커지고 있다. 해킹 공격은 업권을 가리지 않았다. 금융투자업권이 984만 5368건으로 가장 많았고 보험 937만 227건, 카드 627만 5337건, 중소서민금융(카드 제외) 562만 4202건, 은행 474만 6050건 순이었다. 공격 주체에 대해 금융보안원은 “인터넷주소(IP) 국가정보 변경과 우회접속 등으로 식별이 불가하다”고 답했다. 해킹 시도가 실제 침입이나 정보 유출을 뜻하는 것은 아니다. 다만 한 번의 침입도 대규모 피해로 이어질 수 있어 위협을 미리 찾아 차단하는 능력이 중요하다. 금융사들이 연회비를 내고 공동 보안관제를 받는 이유다. 올해 금융보안원이 금융사들로부터 받은 연회비는 930억 4550만원으로 지난해보다 14.5%, 2022년보다 51.8% 늘었다. 은행은 한 곳당 약 18억 4000만원, 금융 유관기관은 6억 5000만원, 증권사는 4억 1000만원을 부담한다. 연회비는 인건비와 사업비 등에 쓰인다. 황석진 동국대 국제정보보호대학원 교수는 “금융보안원이 상당한 연회비를 받고 있지만 실제 유출 사고가 발생하면서 비용만큼의 실질적인 보안 효과가 나타나는지에 대해선 의문”이라며 “성과 평가와 책임 체계를 강화해야 한다”고 지적했다. 박 의원은 “인력 보강과 통합 관제 시스템 강화 등 금융보안원의 대응 역량을 끌어올려야 한다”고 말했다.

DB저축은행 등 5곳 추가 신고취약점 평가는 연  2회로 강화 지난달 발생한 ‘금융권 연쇄 해킹’ 피해 회사가 상호금융, 가상자산사업자 등을 포함해 총 16곳으로 늘었다. 현재까지 확인된 정보 유출은 성명, 연락처, 주민등록번호, 이메일 주소 등 약 10만건이다. 금융위원회는 14일 신진창 사무처장 주재로 금감원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등과 ‘제2차 긴급 상황대응회의’를 열고 이같이 밝혔다. 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다. 계좌 비밀번호나 카드번호 등 부정결제에 직접 악용될 수 있는 정보의 유출은 확인되지 않았다. 금융회사들이 피해 여부를 점검하고 있어 사고 회사는 더 늘어날 수 있다. 당국은 추가 피해가 동일 주체의 공격인지, 인공지능(AI)을 활용했는지 조사하고 있다. 금융위 관계자는 “침해 경로와 공격 방식을 신속히 파악하고 있다”고 말했다. 당국이 해킹사고 직후 555개 금융회사를 점검한 결과 130곳이 보안에 미흡한 점이 있다고 보고했다. 주로 보안 프로그램 업데이트와 해킹 감시체계의 보완이 필요한 것으로 나타났다. 상대적으로 보안 역량이 약한 전자금융업체와 온라인투자연계금융업체에서 미흡한 사례가 많았다. 금융당국은 전산시스템과 외부의 연결 지점을 점검하고, 취약점 평가를 연 1회에서 2회로 늘릴 계획이다. 금융회사가 발견한 위협 정보도 금융보안원을 통해 전 금융권에 신속히 공유하도록 한다. 자체적인 보안 대응 여력을 갖추기 어려운 중소형 금융회사도 공동 보안관제 시스템 구축을 검토한다.

지난달 발생한 ‘금융권 연쇄 해킹’ 피해 회사가 상호금융, 가상자산사업자 등을 포함해 총 16곳으로 늘었다. 현재까지 확인된 정보 유출은 성명, 연락처, 주민등록번호, 이메일 주소 등 약 10만건이다. 금융위원회는 14일 신진창 사무처장 주재로 금감원, 금융보안원, 과학기술정보통신부, 행정안전부, 경찰청 등과 ‘제2차 긴급 상황대응회의’를 열고 이같이 밝혔다. 기존에 알려진 신한·KB국민·하나·BNK부산은행, 예가람·웰컴·OK저축은행, 현대캐피탈, 새마을금고중앙회, 피에프씨테크놀로지스(PFCT)·모우다 외에 5곳이 추가로 보고됐다. DB저축은행과 산은캐피탈, 브라이트픽스가 침해 사고를 신고했으며, 가상자산업권에서는 고팍스 운영사인 스트리미와 프라뱅에서 사고가 발생한 것으로 파악됐다. 계좌 비밀번호나 카드번호 등 부정결제에 직접 악용될 수 있는 정보의 유출은 확인되지 않았다. 금융회사들이 피해 여부를 점검하고 있어 사고 회사는 더 늘어날 수 있다. 당국은 추가 피해가 동일 주체의 공격인지, 인공지능(AI)을 활용했는지 조사하고 있다. 금융위 관계자는 “침해 경로와 공격 방식을 신속히 파악하고 있다”고 말했다. 당국이 해킹사고 직후 555개 금융회사를 점검한 결과 130곳이 보안에 미흡한 점이 있다고 보고했다. 주로 보안 프로그램 업데이트와 해킹 감시체계의 보완이 필요한 것으로 나타났다. 상대적으로 보안 역량이 약한 전자금융업체와 온라인투자연계금융업체에서 미흡한 사례가 많았다. 금융당국은 전산시스템과 외부의 연결 지점을 점검하고, 취약점 평가를 연 1회에서 2회로 늘릴 계획이다. 금융회사가 발견한 위협 정보도 금융보안원을 통해 전 금융권에 신속히 공유하도록 한다. 자체적인 보안 대응 여력을 갖추기 어려운 중소형 금융회사도 공동 보안관제 시스템 구축을 검토한다. 신 처장은 “보안관제 체계와 최고경영자(CEO)·이사회의 책임 등 보안체계 전반을 재점검하고 근본적인 제도 개선에 나서겠다”고 말했다.

주택가부터 농장까지 일상생활 곳곳에 자리 잡은 폐쇄회로(CC)TV가 현대전의 새로운 정보 수집 수단으로 악용되고 있다는 지적이 나왔다. 미국 월스트리트저널(WSJ)은 지난 11일(현지시간) 정보기관, 사이버 보안 전문가, 군 관계자, 해커들과의 인터뷰를 바탕으로 “일상의 보안 기기들이 전쟁의 도구로 변모하고 있다”고 전했다. 보도에 따르면 각국 정보기관들은 인터넷에 연결된 카메라 가운데 보안이 취약한 기기를 찾아내 비밀번호를 대량으로 대입하는 방식으로 무단 접속을 시도하고 있다. 올해 초 미국과 이스라엘이 이란을 폭격하던 무렵, 이스라엘 북부의 한 양계장 농부는 닭들을 살피려 CCTV 영상을 볼 수 있는 앱을 켰다가 설정 언어가 아랍어로 바뀐 것을 확인했다. 신고를 받은 이스라엘 국가사이버국은 해커들이 CCTV를 장악한 것으로 파악했다. 당시 해커들이 지켜본 것은 농장에 있는 닭이 아니라 농장 인근 레바논 국경에서 활동하는 이스라엘 보안군의 움직임이었다. 이에 이스라엘 당국은 군사 활동이 찍히지 않도록 CCTV의 촬영 각도를 바꾸고 보안을 강화했다. 영국 파이낸셜타임스(FT)에 따르면 이스라엘도 알리 하메네이 이란 전 최고지도자를 암살하기 위한 정보를 수집하는 데 이란의 교통 카메라 해킹을 활용한 것으로 알려졌다. 이스라엘이 해킹한 카메라는 하메네이 전 최고지도자를 지키던 경호원과 운전기사의 주차 위치까지 보여줬고 이는 암살 성공으로 이어졌다. 이후 이란과 연계된 해킹 세력은 이스라엘의 웹캠과 보안 카메라 수백 대를 해킹하며 보복에 나섰다. 이스라엘 당국에 따르면 올 한 해 동안 이란과 연계된 해킹 그룹은 국가 안보에 즉각적인 위협이 되는 주요 보안 카메라 250여 대를 해킹했다. 여기에는 도로에 설치된 차량 번호판 인식 카메라와 군인이 집결하는 장소 인근의 보안 카메라도 포함됐다. “러시아, 미사일 조준 정확도 높이려 웹캠 해킹”실제 전장에서도 CCTV나 웹캠 등을 동원한 정보전이 활발하게 이뤄지고 있는 것으로 나타났다. WSJ에 따르면 우크라이나군을 지원하는 국제 해커 그룹 ‘팀 원피스트’는 러시아의 침공 전쟁이 시작된 2022년 말 러시아가 점령한 크림반도의 카메라에 접근해 러시아의 군용 헬기 등 군사 자산을 추적했다. 해당 해커 그룹은 러시아군 헬기 이동 경로를 따라가 러시아 공군기지의 위치를 파악하고 이를 우크라이나군에 전달해 공격에 도움을 줬다. 러시아도 비슷한 방식을 사용한다. 우크라이나 보안국(SBU)은 2024년 1월 2일 러시아 정보기관이 우크라이나 수도 키이우 주택가의 웹캠 2대를 해킹해 방공망과 주요 기반시설을 감시했다고 밝혔다. 러시아가 해킹한 카메라에는 주민들이 동네 보안을 위해 직접 설치한 것도 포함돼 있었다. SBU는 당시 “러시아는 해킹한 영상으로 공격 목표를 찾고 미사일 공격을 준비·조준하는 데 활용했다”고 주장했다. 이에 우크라이나 당국은 안보 위험이 있는 카메라 약 4만 대를 파악해 보안을 강화하거나 차단했다. 미국·영국 등 정보·보안 기관은 공동 보고서에 따르면 러시아가 해킹을 시도한 카메라는 1만대 이상이었고, 여기에는 우크라이나뿐 아니라 루마니아와 폴란드 등 주변국의 카메라도 포함돼 있었다. “CCTV, 스파이보다 낫다”웹캠이나 CCTV 등 민간 카메라는 목표물을 담은 영상을 가까이에서 지속적으로 확보할 수 있다는 장점이 있다. 첩보원을 잠입시키거나 드론 등 무인 정찰기를 보내는 것보다 발각될 위험도 적다. 더불어 인공지능(AI)의 발달로 해킹한 웹캠과 CCTV 영상에서 유의미한 내용을 가려내는 시간도 크게 줄었다. 세계 각국 정보기관이 보안이 취약한 CCTV 등을 공격 표적을 찾는 ‘눈’으로 활용하는 배경이다. WSJ은 ‘스파이보다 낫다’(Better Than Spies)는 소제목과 함께 “해킹된 카메라는 과거 항공 정찰이나 지상 첩보원이 담당했던 표적 탐색, 피해 평가 및 기타 전투 정보 수집 역할을 대신하고 있다”며 “적절한 위치에 설치된 카메라에 침투하면 정보 분석가들은 표적에 더 가까이 접근할 수 있으며 노련한 첩보원을 침투시키는 것보다 위험도 적다”고 분석했다. 전문가들은 인터넷에 연결된 카메라 등은 내장된 보안 기능이 부족하고, 소프트웨어 업데이트나 지속적인 점검이 제대로 이뤄지지 않는 경우가 많다고 지적한다.

# 친근한 캠프 자원봉사자전화홍보에서 음성봇 비중 94%숨 고르기까지 사람 모방 ‘완벽’맞춤형 대화·현지 억양 구사# 교묘한 딥페이크 상대 후보경쟁자 목소리 비슷하게 베껴허위 유포·투표일 변경 주장현재로선 사실상 추적 불가 오는 11월 미국 중간선거를 앞두고 필라델피아 외곽의 은퇴자 주거 단지에 사는 60대 존슨 씨는 최근 한 통의 선거운동 전화를 받았다. 수화기 너머의 여성은 그의 이름을 친근하게 부르며 지역 의료 보험 공약을 막힘없이 설명했다. 중간중간 가벼운 웃음소리와 숨을 고르는 타이밍까지 완벽한 ‘인간’ 자원봉사자의 목소리였다. 하지만 이 전화의 정체는 후보 캠프가 도입한 대화형 생성 AI(인공지능) 음성 봇이었다. 올해 미 중간선거에서 가장 빠르게 진화한 기술은 단연 ‘AI 전화 선거운동’이다. 선거 테크 분석 기관 닷앤닷에 따르면 올해 미국 주 단위 선거 캠프가 수립한 전체 전화 홍보 계획 중 AI 음성 봇이 차지하는 비중은 94%에 달한다. 2021년 같은 지표가 12%에 불과했던 것과 비교하면 불과 몇 년 사이에 미 선거판의 소통 방식이 통째로 AI로 대체된 셈이다. 선거 캠프가 이 ‘유령 자원봉사자’들에 열광하는 이유는 압도적인 가성비 때문이다. AI 음성 봇을 도입하면 유권자 1인당 접촉 비용은 88% 줄어드는 반면 하루 통화 시도 용량은 4.2배나 늘어난다. 24시간 내내 전화를 돌릴 수 있는 AI 군단이 미국 선거판의 가장 바쁜 노동자가 된 배경이다. 최근 등장한 AI 음성 봇은 과거 로봇콜(자동 녹음 전화)의 어색한 기계음이나 녹음 재생 수준을 넘어 ‘초개인화·다국어 타깃팅’ 능력까지 갖췄다. AP통신에 따르면 최신 AI 음성 봇은 유권자 답변의 뉘앙스와 감정 상태를 실시간으로 파악해 맞춤형 대화를 이어간다. 히스패닉계 유권자가 밀집한 지역에서는 즉각 스페인어로 전환하고, 텍사스나 루이지애나 같은 남부 지역 유권자에게는 친근한 남부 사투리와 억양을 구사하는 식이다. 기술의 진화한 만큼 그림자도 짙다. AI 선거 홍보전에서 가장 큰 문제로 떠오른 것은 일명 ‘기만의 경계선’이다. 유권자는 진짜 사람과 대화하고 있다고 믿었다가 기계였음을 알게 되었을 때 깊은 배신감을 느낀다. 이는 유권자의 심각한 정치적 불신으로 이어질 수 있다. 특히 악의적인 세력이 상대 후보의 목소리를 교묘하게 변조해 허위 사실을 유포하는 ‘딥페이크 보이스 전쟁’의 위험성은 이미 현실이 됐다. 최근 뉴욕주에서는 브루스 블레이크먼 주지사 후보가 경쟁자인 민주당 캐시 호컬 현 주지사의 목소리를 AI로 합성한 43초짜리 광고를 내보냈다. 광고 속 호컬 주지사는 제약회사 광고를 패러디해 “앞으로 4년이 실제로 얼마나 비쌀지 생각하기 싫은 뉴욕 시민들을 위한 정치적 망상 알약”이라며 자신을 조롱한다. 결국 민주당이 주 선거관리위원회에 공식 진정을 제기하는 사태로까지 번졌다. 워싱턴포스트(WP)에 따르면 선거판의 막후를 장악한 정치 컨설턴트들은 빅테크 기업이 마련한 ‘정치적 악용 금지’ 가이드라인을 우회 알고리즘으로 무력화하고 있다. 또 규제가 미치지 않는 해외 서버를 통해 유권자 맞춤형 음성을 초단위로 대량 생산해 유포하는 실정이다. 만약 선거가 임박한 시점에 특정 후보의 목소리로 “투표 날짜가 변경됐다”거나 사생활 관련 허위 자백을 담은 AI 전화가 수백만명에게 동시에 걸려온다면, 이를 정정할 시간적 여유가 없어 선거 결과가 통째로 뒤바뀔 수 있다는 우려도 나온다. 대럴 웨스트 브루킹스 연구소 수석연구원은 “이제 유권자들은 수화기 너머의 목소리뿐 아니라, 그 목소리를 조종하는 알고리즘의 진실성까지 끊임없이 의심해야 하는 피곤한 시대를 살게 됐다”고 꼬집었다. 이에 따라 미국 정가와 관계 당국도 긴박하게 움직이고 있다. 연방통신위원회(FCC)가 허가받지 않은 기만적 AI 로보콜에 대한 제재를 강화한 가운데, 주정부 단위의 입법 움직임도 구체화되고 있다. 루이지애나주를 비롯한 미 전역의 핵심 승부처 주 의회들은 선거용 AI 음성 전화를 가동할 때 통화 시작 뒤 반드시 “이 목소리는 AI에 의해 생성된 음성입니다”라는 고지를 의무화하는 법안을 잇따라 통과시켰다. 그럼에도 기술의 확산 속도가 입법 속도를 앞지르는 현 상황은 명백한 한계로 지적된다. 전문가들은 규제를 피해 해외 서버나 다크웹으로 발송되는 음성 딥페이크는 추적이 사실상 불가능하다고 입을 모은다. 스콧 바브 뉴욕대 기술정책센터 소장은 “AI 생성 고지(라벨링) 법안의 미비는 단순한 규제 실패를 넘어 유권자가 마주하는 디지털 광장의 신뢰 자체를 붕괴시키는 결과를 초래할 것”이라고 경고했다. 결국 이번 중간선거는 AI가 선거 비용을 혁신적으로 낮춘 ‘민주화의 도구’인지, 아니면 유권자의 귀를 멀게 하는 ‘여론 조작의 흉기’인지를 가르는 거대한 시험대가 되고 있다.

사이버 공간에 머물던 인공지능(AI)이 휴머노이드라는 신체를 얻은 ‘피지컬 AI 시대’로 접어들면서 로봇이 사람에게 위해를 가하거나 성범죄에 악용되는 일이 현실에서 나타났다. 이에 휴머노이드 범죄에 대한 안전장치 마련이 필요하다는 목소리가 높다. 또 책임 공방도 확대될 전망이다. 12일(현지시간) 미국 뉴욕포스트에 따르면 독일 쾰른 경찰은 전날 한 패스트푸드점 앞에서 휴머노이드 로봇이 10대 여성 청소년을 성추행하도록 조종한 혐의로 16세와 19세 남성 청소년을 검거했다고 밝혔다. 1.2m 크기에 마블의 인기 캐릭터인 ‘아이언맨’을 닮은 휴머노이드는 민소매 셔츠와 트레이닝복 바지를 입고 있었다. 휴머노이드는 당시 피해자의 신체를 만지고 몸을 밀착하며 성행위를 연상시키는 동작을 한 것으로 전해졌다. 두 청소년은 범죄 장면을 촬영해 소셜미디어(SNS)에서 생중계했다. 경찰은 로봇과 휴대전화를 모두 압수하고 성적 모욕 혐의로 수사에 착수했다. 이번 사건에 대해 일각에서는 로봇 조종자뿐만 아니라 휴머노이드 기술을 악용하지 못하도록 설계했어야 한다는 지적도 나온다. 지난달 18일에는 미국 캘리포니아 샌프란시스코에서 사상 최초로 사람 대 로봇 간에 격투 경기가 열렸다. 당시 캘리포니아주 체육위원회는 승인 없는 인간 대 로봇 격투기 경기는 경범죄라는 입장이었지만 주최 측은 ‘금지 규제는 없다’고 주장해 논란이 되기도 했다. 브래드 스미스 마이크로소프트(MS) 사장은 이날 BBC와의 인터뷰에서 “세탁기와 식료품점의 우유 한 팩이 AI보다 더 많은 안전 규정을 적용받고 있다”며 “도구이자 무기인 AI에 대한 규제를 오늘 당장 시작해야 한다”고 말했다. 이어 “기업이 AI가 통제를 벗어날 때 이를 멈추거나 속도를 늦출 수 있는 ‘비상 브레이크’, 흔히 ‘킬 스위치’라 불리는 장치를 갖춰야 한다”며 “독립적인 정부 평가 기관이 새로운 AI 기술을 심사하고 AI 제품 출시 전 외부 평가 기관의 승인이 필요한 시점을 정해야 한다”고 제안했다.

오는 11월 미국 중간선거를 앞두고 필라델피아 외곽의 은퇴자 주거 단지에 사는 60대 존슨 씨는 최근 한 통의 선거운동 전화를 받았다. 수화기 너머의 여성은 그의 이름을 친근하게 부르며 지역 의료 보험 공약을 막힘없이 설명했다. 중간중간 가벼운 웃음소리와 숨을 고르는 타이밍까지 완벽한 ‘인간’ 자원봉사자의 목소리였다. 하지만 이 전화의 정체는 후보 캠프가 도입한 대화형 생성 AI(인공지능) 음성 봇이었다. 올해 미 중간선거에서 가장 빠르게 진화한 기술은 단연 ‘AI 전화 선거운동’이다. 선거 테크 분석 기관 닷앤닷에 따르면 올해 미국 주 단위 선거 캠프가 수립한 전체 전화 홍보 계획 중 AI 음성 봇이 차지하는 비중은 94%에 달한다. 2021년 같은 지표가 12%에 불과했던 것과 비교하면 불과 몇 년 사이에 미 선거판의 소통 방식이 통째로 AI로 대체된 셈이다. 선거 캠프가 이 ‘유령 자원봉사자’들에 열광하는 이유는 압도적인 가성비 때문이다. AI 음성 봇을 도입하면 유권자 1인당 접촉 비용은 88% 줄어드는 반면 하루 통화 시도 용량은 4.2배나 늘어난다. 24시간 내내 전화를 돌릴 수 있는 AI 군단이 미국 선거판의 가장 바쁜 노동자가 된 배경이다. 최근 등장한 AI 음성 봇은 과거 로봇콜(자동 녹음 전화)의 어색한 기계음이나 녹음 재생 수준을 넘어 ‘초개인화·다국어 타깃팅’ 능력까지 갖췄다. AP통신에 따르면 최신 AI 음성 봇은 유권자 답변의 뉘앙스와 감정 상태를 실시간으로 파악해 맞춤형 대화를 이어간다. 히스패닉계 유권자가 밀집한 지역에서는 즉각 스페인어로 전환하고, 텍사스나 루이지애나 같은 남부 지역 유권자에게는 친근한 남부 사투리와 억양을 구사하는 식이다. 기술의 진화한 만큼 그림자도 짙다. AI 선거 홍보전에서 가장 큰 문제로 떠오른 것은 일명 ‘기만의 경계선’이다. 유권자는 진짜 사람과 대화하고 있다고 믿었다가 기계였음을 알게 되었을 때 깊은 배신감을 느낀다. 이는 유권자의 심각한 정치적 불신으로 이어질 수 있다. 특히 악의적인 세력이 상대 후보의 목소리를 교묘하게 변조해 허위 사실을 유포하는 ‘딥페이크 보이스 전쟁’의 위험성은 이미 현실이 됐다. 최근 뉴욕주에서는 브루스 블레이크먼 주지사 후보가 경쟁자인 민주당 캐시 호컬 현 주지사의 목소리를 AI로 합성한 43초짜리 광고를 내보냈다. 광고 속 호컬 주지사는 제약회사 광고를 패러디해 “앞으로 4년이 실제로 얼마나 비쌀지 생각하기 싫은 뉴욕 시민들을 위한 정치적 망상 알약”이라며 자신을 조롱한다. 결국 민주당이 주 선거관리위원회에 공식 진정을 제기하는 사태로까지 번졌다. 워싱턴포스트(WP)에 따르면 선거판의 막후를 장악한 정치 컨설턴트들은 빅테크 기업이 마련한 ‘정치적 악용 금지’ 가이드라인을 우회 알고리즘으로 무력화하고 있다. 또 규제가 미치지 않는 해외 서버를 통해 유권자 맞춤형 음성을 초단위로 대량 생산해 유포하는 실정이다. 만약 선거가 임박한 시점에 특정 후보의 목소리로 “투표 날짜가 변경됐다”거나 사생활 관련 허위 자백을 담은 AI 전화가 수백만명에게 동시에 걸려온다면, 이를 정정할 시간적 여유가 없어 선거 결과가 통째로 뒤바뀔 수 있다는 우려도 나온다. 대럴 웨스트 브루킹스 연구소 수석연구원은 “이제 유권자들은 수화기 너머의 목소리뿐 아니라, 그 목소리를 조종하는 알고리즘의 진실성까지 끊임없이 의심해야 하는 피곤한 시대를 살게 됐다”고 꼬집었다. 이에 따라 미국 정가와 관계 당국도 긴박하게 움직이고 있다. 연방통신위원회(FCC)가 허가받지 않은 기만적 AI 로보콜에 대한 제재를 강화한 가운데, 주정부 단위의 입법 움직임도 구체화되고 있다. 루이지애나주를 비롯한 미 전역의 핵심 승부처 주 의회들은 선거용 AI 음성 전화를 가동할 때 통화 시작 뒤 반드시 “이 목소리는 AI에 의해 생성된 음성입니다”라는 고지를 의무화하는 법안을 잇따라 통과시켰다. 그럼에도 기술의 확산 속도가 입법 속도를 앞지르는 현 상황은 명백한 한계로 지적된다. 전문가들은 규제를 피해 해외 서버나 다크웹으로 발송되는 음성 딥페이크는 추적이 사실상 불가능하다고 입을 모은다. 스콧 바브 뉴욕대 기술정책센터 소장은 “AI 생성 고지(라벨링) 법안의 미비는 단순한 규제 실패를 넘어 유권자가 마주하는 디지털 광장의 신뢰 자체를 붕괴시키는 결과를 초래할 것”이라고 경고했다. 결국 이번 중간선거는 AI가 선거 비용을 혁신적으로 낮춘 ‘민주화의 도구’인지, 아니면 유권자의 귀를 멀게 하는 ‘여론 조작의 흉기’인지를 가르는 거대한 시험대가 되고 있다.

독일에서 로봇이 미성년자 성추행 사건에 연루돼 경찰에 압수되는 일이 벌어져 충격을 주고 있다. 13일(현지시간) 영국 데일리스타 등에 따르면 독일 쾰른에서 키 약 1.2m짜리 로봇이 16세 소녀의 신체 부위를 만지고 성적인 동작을 했다는 신고가 접수돼 경찰이 수사에 나섰다. 사건은 한밤중 쾰른 시내에 있는 패스트푸드점 앞에서 발생한 것으로 알려졌다. 로봇은 소녀에게 뒤쪽에서 접근해 신체 부위를 만지는 등 성적인 동작을 한 것으로 전해졌다. 경찰은 사건 이후 폭스바겐 차량 트렁크에서 해당 로봇을 발견해 압수했다. 로봇은 선글라스와 검은색 콧수염을 착용하고 흰색 민소매 셔츠와 금색 목걸이를 한 모습으로 발견됐다. 로봇 주인인 16세 남성과 함께 있던 19세 남성은 추행 장면을 찍어 소셜미디어(SNS)를 통해 스트리밍 방송을 한 것으로 경찰은 파악했다. SNS에는 해당 로봇이 쾰른 시내를 돌아다니며 성적인 의미로 해석될 수 있는 동작을 하는 영상도 퍼지고 있다. 경찰은 로봇과 이들의 휴대전화를 함께 압수해 당시 로봇이 어떻게 작동했는지, 누군가 의도적으로 로봇을 조종했는지 확인 중이라고 밝혔다. 한편 전문가들은 인공지능(AI)과 로봇 기술이 발전하면서 관련 기기의 해킹 위험도 커지고 있다고 경고한다. 해커가 로봇을 장악하면 카메라로 촬영한 영상을 이용해 소유자를 협박하거나 기기를 원격으로 조종해 물리적 피해를 일으킬 수 있다는 것이다. 글로벌 사이버 보안 기업 이셋(ESET)의 제이크 무어 보안 자문은 앞서 데일리스타에 로봇에 장착된 카메라로 촬영한 영상이 범죄자의 협박 수단으로 악용될 수 있다고 지적했다. 호주 디킨대학의 닉 패터슨 박사도 해커가 로봇의 연결 기능을 장악하면 팔과 다리 등 신체 부위를 조종해 피해를 유발할 수 있다고 경고했다.

지난달 금융권에 인공지능(AI)을 활용한 해킹 수법과 대응책이 공유됐지만 약 2주 뒤 주요 금융사들이 정보 유출 사고를 피하지 못한 것으로 나타났다. 외부 접속 시스템의 상시 점검 필요성까지 경고됐던 만큼 사전 대응이 도마 위에 오른 가운데, 시중은행들은 뒤늦게 보안 투자 확대에 나섰다. 11일 한창민 사회민주당 의원실이 금융보안원에서 제출받은 자료에 따르면, 금융보안원은 지난달 17일 ‘금융 AI 보안 위협 대응 세미나’에서 국내 금융사를 겨냥한 AI 에이전트 공격 사례와 대응책을 공유했다. 세미나에는 이후 해킹 피해를 본 KB국민·하나은행, 현대캐피탈, 웰컴저축은행 등의 관계자를 포함해 160여명이 참석했다. 신한은행은 금융지주 차원에서 참석했다. 당시 공격자는 중국 AI 모델 딥시크 기반의 AI 에이전트로 금융권 서버를 탐색한 뒤 단 하루 만에 보안 취약점을 악용해 악성프로그램을 설치했다. 해당 금융사는 공격자가 내부 서버까지 탐색한 뒤 추가 악성코드를 내려받기 직전 침입을 차단했다. 금융보안원은 “연 1~2회 진단으로는 잡히지 않는다”며 외부 노출 시스템의 상시 점검을 강조했다. 약 2주 뒤 발생한 은행권 해킹 역시 외부에 노출된 시스템의 취약점을 겨냥했다. 다만 세미나에서 공개된 공격은 보안패치가 이뤄지지 않은 외부 업체의 솔루션을 노렸고 이번에는 금융회사가 운영하는 외부 접속 업무 시스템이 대상이라는 차이점은 있다. 중국 AI 침투테스트 도구인 ‘아르텍스’와 딥시크 등 AI 모델이 활용된 것도 유사하다. 만약 세미나 이후 취약점을 점검했다면 개인정보 유출을 막을 수 있었다는 지적이 나오는 이유다. 오는 19일 5대 시중 은행장이 증인으로 채택된 금융감독원 국정감사에서는 금융사의 보완조치가 다뤄질 전망이다. 은행들은 뒤늦게 보안 투자와 AI 방어 체계 강화에 나섰다. KB국민은행은 내년 보안 예산을 1000억원 이상으로 늘리고, 신한은행은 업계 최고 수준의 예산 편성과 AI 보안관제센터 구축을 추진한다. 하나은행은 수백억원 규모의 보안 체계 구축과 AI 모의해킹을 추진하고, 우리은행은 예산 20% 이상 증액·인력 10% 이상 확충을 검토 중이다. NH농협은행도 투자를 확대하고 내년 하반기 AI 모의공격 점검에 나설 계획이다. 한편 금융권 연쇄 해킹 공격에 활용된 것으로 추정되는 아르텍스가 공개 개발을 중단했다. 아르텍스 개발자는 지난 8일 플랫폼 게시글에서 “도구의 잘못된 사용을 고려했다”고 밝혔다. 다만 이미 배포된 프로그램까지는 회수되지는 않는다.

금융보안원, AI 공격 사례·대응책 사전 공유국민·하나은행 등 피해 금융사도 세미나 참석외부 시스템 취약점 경고에도 정보유출 잇따라5대 은행 뒤늦게 보안 투자 확대…국감서 쟁점지난달 금융권에 인공지능(AI)을 활용한 해킹 수법과 대응책이 공유됐지만 약 2주 뒤 주요 금융사들이 정보 유출 사고를 피하지 못한 것으로 나타났다. 외부 접속 시스템의 상시 점검 필요성까지 경고됐던 만큼 사전 대응이 도마 위에 오른 가운데, 시중은행들은 뒤늦게 보안 투자 확대에 나섰다. 11일 한창민 사회민주당 의원실이 금융보안원에서 제출받은 자료에 따르면, 금융보안원은 지난달 17일 ‘금융 AI 보안 위협 대응 세미나’에서 국내 금융사를 겨냥한 AI 에이전트 공격 사례와 대응책을 공유했다. 세미나에는 이후 해킹 피해를 본 KB국민·하나은행, 현대캐피탈, 웰컴저축은행 등의 관계자를 포함해 160여명이 참석했다. 신한은행은 금융지주 차원에서 참석했다. 당시 공격자는 중국 AI 모델 딥시크 기반의 AI 에이전트로 금융권 서버를 탐색한 뒤 단 하루 만에 보안 취약점을 악용해 악성프로그램을 설치했다. 해당 금융사는 공격자가 내부 서버까지 탐색한 뒤 추가 악성코드를 내려받기 직전 침입을 차단했다. 금융보안원은 “연 1~2회 진단으로는 잡히지 않는다”며 외부 노출 시스템의 상시 점검을 강조했다. 약 2주 뒤 발생한 은행권 해킹 역시 외부에 노출된 시스템의 취약점을 겨냥했다. 다만 세미나에서 공개된 공격은 보안패치가 이뤄지지 않은 외부 업체의 솔루션을 노렸고 이번에는 금융회사가 운영하는 외부 접속 업무 시스템이 대상이라는 차이점은 있다. 중국 AI 침투테스트 도구인 ‘아르텍스’와 딥시크 등 AI 모델이 활용된 것도 유사하다. 만약 세미나 이후 취약점을 점검했다면 개인정보 유출을 막을 수 있었다는 지적이 나오는 이유다. 오는 19일 5대 시중 은행장이 증인으로 채택된 금융감독원 국정감사에서는 금융사의 보완조치가 다뤄질 전망이다. 은행들은 뒤늦게 보안 투자와 AI 방어 체계 강화에 나섰다. KB국민은행은 내년 보안 예산을 1000억원 이상으로 늘리고, 신한은행은 업계 최고 수준의 예산 편성과 AI 보안관제센터 구축을 추진한다. 하나은행은 수백억원 규모의 보안 체계 구축과 AI 모의해킹을 추진하고, 우리은행은 예산 20% 이상 증액·인력 10% 이상 확충을 검토 중이다. NH농협은행도 투자를 확대하고 내년 하반기 AI 모의공격 점검에 나설 계획이다. 한편 금융권 연쇄 해킹 공격에 활용된 것으로 추정되는 아르텍스가 공개 개발을 중단했다. 아르텍스 개발자는 지난 8일 플랫폼 게시글에서 “도구의 잘못된 사용을 고려했다”고 밝혔다. 다만 이미 배포된 프로그램까지는 회수되지는 않는다.

인공지능(AI)의 사이버 공격 능력이 빠르게 커지면서 AI 기업들이 최신 모델의 강력한 기능을 보안 전문가에게 먼저 열어주고 있다. 위험한 기능을 모두 막아두기보다 공격자가 악용하기 전에 방어자가 같은 능력으로 취약점을 찾아내게 하겠다는 전략이다. 앤트로픽은 6일(현지시간) 보안 전문가를 대상으로 운영해온 프로그램을 확대한다고 밝혔다. 주요 소프트웨어·인프라 운영기관에 고성능 모델 ‘클로드 미토스’를 제공해 취약점을 찾게 한 ‘프로젝트 글래스윙’과, 검증된 보안팀에 오퍼스·소넷의 일부 제한을 풀어준 프로그램을 하나로 합친다. 접근권은 방어·레드팀·특수 등 3단계로 나눈다. 악성코드 분석부터 모의 침투, 전력·통신·금융망 같은 핵심 인프라 점검까지 허용 범위가 단계마다 다르다. 프랑스 미스트랄도 같은 날 비슷한 조치를 내놨다. 새 모델 ‘미스트랄 라지 4’를 오는 27일 오픈웨이트로 공개하기 전에 사이버보안 전문가와 정부기관에 먼저 제공한다. 이들에게는 일반 이용자보다 제한을 덜 건 모델을 제공해 공격·방어 능력을 시험하도록 한다. 오픈웨이트 모델은 공개되면 이용자가 직접 내려받아 자체 장비에서 돌릴 수 있어 개발사가 사용 방식을 계속 통제하기 어렵다. AI 기업들이 보안 전문가에게 제한을 풀어주는 것은 최신 모델의 사이버 능력이 그만큼 커졌기 때문이다. 앤트로픽이 오퍼스 5.5에 모의 공격 과제 50건을 맡긴 결과 일반 이용 환경에서는 모두 첫 단계에서 막혔다. 보안 전문가용 레드팀 권한을 주자 34건은 공격 절차를 끝까지 수행했다. 같은 모델이라도 어떤 작업을 허용하느냐에 따라 할 수 있는 일이 크게 달라지는 셈이다. 방어에 활용했을 때의 성과도 적지 않았다. 글래스윙 참여기관들은 지난 4~7월 AI로 최소 12만 9000건의 소프트웨어 취약점을 찾아냈다. 이 가운데 3만 3000건 이상은 고위험 또는 치명적 수준으로 분류됐다. 앤트로픽이 강한 사이버 기능을 검증된 보안조직에도 열어주려는 근거다. 최근 국내 금융권 공격에 활용된 것으로 지목된 중국산 보안 에이전트 ‘ARTEX’도 AI의 이런 양면성을 보여준다. ARTEX는 자체 AI 모델이 아니라 GPT·클로드·딥시크 등을 불러 시스템 탐색이나 응용프로그램인터페이스(API) 호출 같은 작업을 이어가는 도구다. 국내 보안업계는 새로운 해킹 기법이라기보다 기존 탐색·반복 조회 등에 AI 자동화가 더해진 형태로 보고 있다. 공격에 드는 시간과 인력을 줄여 기존 수법을 더 빠르게 반복할 수 있게 했다는 것이다. 다만 방어 쪽은 사정이 조금 다르다. 고성능 모델의 고급 기능은 누구나 바로 쓸 수 있는 게 아니다. 삼성전자·SK하이닉스·SK텔레콤 등 국내 기업도 기존 글래스윙 참여사로 알려져 있지만 최신 모델을 실제 보안 업무에 어디까지 활용하고 있는지는 공개되지 않았다. 앤트로픽도 기관과 사용 목적을 심사해 접근 수준을 달리한다. 지난 6월에는 미국 정부의 수출통제로 국내 참여 기업의 미토스 접근이 한때 막혔다가 이후 규제가 풀리기도 했다.

인공지능(AI)을 활용한 ‘금융권 연쇄 해킹’ 사고의 여파가 이어지는 가운데 서민금융 정책기관인 서민금융진흥원과 신용회복위원회도 지난 2일 유사한 해킹 공격을 받은 것으로 알려졌다. 이들 기관이 다루는 소득·부채·연체 정보가 유출되면 서민의 절박한 사정을 악용한 맞춤형 금융사기로 이어질 수 있어 보안 강화가 필요하다는 지적이 나온다. 7일 금융당국에 따르면 서금원과 신복위는 지난 2일 두 기관 홈페이지를 겨냥한 해킹 공격 인터넷주소(IP)와 은행권 해킹 공격에 사용된 IP가 동일하다는 점을 발견했다. 공격자는 비대면 상담용 챗봇에 대환대출·정책자금 등 익숙한 단어를 입력하며 취약점을 찾으려 한 것으로 알려졌다. 두 기관이 실시간으로 대응해 초기 단계에서 공격을 차단하면서 정보 유출 등 피해는 없었다. 서금원은 은행 대출이 어려운 저소득·저신용층에 햇살론 등 정책금융을 지원하고, 신복위는 빚을 갚기 어려운 채무자의 상환 부담을 줄이는 채무조정을 돕는 공공기관이다. 은행·저축은행·캐피탈 등에서 개인정보 유출을 일으킨 연쇄 공격이 서민의 재기를 돕는 ‘금융 안전망’까지 향한 것이다. 특히 두 기관은 정책대출과 채무조정 과정에서 신청자의 소득·부채·연체 여부 등을 확인한다. 관련 정보가 유출되면 ‘누가 얼마나 경제적으로 어려운지’까지 드러날 수 있어 개인의 경제적인 사정이 노출될 수 있다. 이런 정보가 유출되면 사기범이 ‘정부 지원 대출을 받을 수 있다’, ‘빚을 줄여 주겠다’며 접근해 급전이나 채무조정이 절실한 사람에게 추가 피해를 줄 가능성도 있다. 황석진 동국대 정보보호대학원 교수는 “단순히 개인 정보 유출을 넘어서 개인의 경제적 취약성을 이용한 맞춤형 보이스피싱으로 악용될 우려도 있다”며 “민간회사는 물론 공공기관에 대한 정보보안 시스템도 다시 점검해야 한다”고 말했다. 공격자가 개인정보를 빼내 거래하려 했을 가능성이 거론되지만 두 공공기관을 겨냥한 구체적인 목적은 확인되지 않았다. 보안업계 관계자는 “AI의 자동화 도구를 이용하면 전방위적으로 탐색한 뒤 취약점이 발견되는 기관부터 공격하는 방식이 가능하다”고 설명했다. 한편, 금융감독원은 AI를 악용한 해킹 공격이 본격화하기 앞서 시중은행 등에 이미 십여 차례 보안 강화를 주문했지만, 실제 피해를 막지는 못한 것으로 나타났다. 손명수 더불어민주당 의원실이 금감원에서 받은 자료에 따르면 금감원은 지난 8~9월 사이버 위협에 대비하라는 취지의 보안 권고문을 총 17차례 배포했다. 금감원은 권고문을 통해 “국가 배후 해킹조직에 의한 외부 노출 정보기술(IT) 자산 등에 대한 침해 시도가 확인됐다”며 금융회사에 보안 조치를 강화할 것을 주문했다. 실제 지난 9월 11일 KDB생명에서도 침해 시도가 발생했지만, 정보 유출로 이어지지는 않았다.

인공지능(AI)을 활용한 ‘금융권 연쇄 해킹’ 사고의 여파가 이어지는 가운데 서민금융 정책기관인 서민금융진흥원과 신용회복위원회도 지난 2일 유사한 해킹 공격을 받은 것으로 알려졌다. 이들 기관이 다루는 소득·부채·연체 정보가 유출되면 서민의 절박한 사정을 악용한 맞춤형 금융사기로 이어질 수 있어 보안 강화가 필요하다는 지적이 나온다. 7일 금융당국에 따르면 서금원과 신복위는 지난 2일 두 기관 홈페이지를 겨냥한 해킹 공격 인터넷주소(IP)와 은행권 해킹 공격에 사용된 IP가 동일하다는 점을 발견했다. 공격자는 비대면 상담용 챗봇에 대환대출·정책자금 등 익숙한 단어를 입력하며 취약점을 찾으려 한 것으로 알려졌다. 두 기관이 실시간으로 대응해 초기 단계에서 공격을 차단하면서 정보 유출 등 피해는 없었다. 서금원은 은행 대출이 어려운 저소득·저신용층에 햇살론 등 정책금융을 지원하고, 신복위는 빚을 갚기 어려운 채무자의 상환 부담을 줄이는 채무조정을 돕는 공공기관이다. 은행·저축은행·캐피탈 등에서 개인정보 유출을 일으킨 연쇄 공격이 서민의 재기를 돕는 ‘금융 안전망’까지 향한 것이다. 특히 두 기관은 정책대출과 채무조정 과정에서 신청자의 소득·부채·연체 여부 등을 확인한다. 관련 정보가 유출되면 ‘누가 얼마나 경제적으로 어려운지’까지 드러날 수 있어 개인의 경제적인 사정이 노출될 수 있다. 이런 정보가 유출되면 사기범이 ‘정부 지원 대출을 받을 수 있다’, ‘빚을 줄여 주겠다’며 접근해 급전이나 채무조정이 절실한 사람에게 추가 피해를 줄 가능성도 있다. 황석진 동국대 정보보호대학원 교수는 “단순히 개인 정보 유출을 넘어서 개인의 경제적 취약성을 이용한 맞춤형 보이스피싱으로 악용될 우려도 있다”며 “민간회사는 물론 공공기관에 대한 정보보안 시스템도 다시 점검해야 한다”고 말했다. 공격자가 개인정보를 빼내 거래하려 했을 가능성이 거론되지만 두 공공기관을 겨냥한 구체적인 목적은 확인되지 않았다. 보안업계 관계자는 “AI의 자동화 도구를 이용하면 전방위적으로 탐색한 뒤 취약점이 발견되는 기관부터 공격하는 방식이 가능하다”고 설명했다. 금융당국은 금융회사들의 긴급점검 결과도 분석하고 있다. 금감원은 전날 은행·카드업권의 결과를 보고받았으며, 나머지 업권은 8일까지 점검을 마쳐야 한다. 현재까지 추가 정보 유출은 확인되지 않았다. 은행권 개인정보 유출 피해자들은 집단소송 준비에 나섰다. 서초동의 한 로펌은 신한은행 피해자를 대상으로 손해배상 집단소송 원고를 모집하고 있다. 네이버에도 ‘신한은행 해킹 피해자 집단소송 카페’가 개설됐다. 운영자는 공지에서 “은행은 피해가 확인되면 전액 보상하겠다고 했지만 무엇을 피해로 볼 건지, 어떻게 신청하는 건지는 아직 아무 말이 없다”며 개설 배경을 밝혔다.