(해킹 사태 1년)②AI가 해킹 속도 바꾼다…산업 전반 확산

통신 넘어 금융·플랫폼·공공까지…사이버 위협 전방위 확대"AI는 속도의 문제"…취약점 결합 공격 현실화 가능성기본 보안 미흡 여전…인센티브 중심 정책 전환 필요

[뉴스토마토 이지은 기자] SK텔레콤(017670)으로 촉발된 통신 3사의 보안 우려는 전 산업으로 확산되는 양상입니다. 쿠팡을 비롯해 롯데카드, 예스24, 공공기관 등 업종을 넘나들며 보안 사고가 이어지고 있습니다. 지난해 사이버 침해사고가 역대 최대 수준을 기록한 가운데, 인공지능(AI)을 활용한 공격 가능성까지 제기되며 해킹 속도와 범위가 동시에 확대되고 있다는 분석입니다. 산업 전반의 위험 노출이 커진 상황에서 전문가들은 보안 대응 체계 전환이 필요하다고 지적합니다.

 

22일 과학기술정보통신부와 한국인터넷진흥원(KISA)의 2025년 사이버 위협 동향 및 2026년 전망에 따르면 지난해 사이버 침해사고 신고 건수는 2383건으로 전년 대비 26.3% 증가했습니다. 역대 최대 수준입니다. 문제는 침해 범위입니다. 통신을 넘어 금융, 플랫폼, 유통, 공공 행정망 등 국민 생활과 밀접한 핵심 인프라 전반으로 확산되고 있습니다.

 

국회입법조사처는 2025년 사이버 침해사고 유형 분석 및 제도 개선 과제 보고서에서 최근 사고가 해킹 기술 자체의 고도화보다 암호화 미흡, 계정관리 부실 등 기본적인 보안관리 실패에서 비롯된 구조적 문제라는 분석도 제시했습니다. 실제 오픈소스와 저가형 사물인터넷(IoT)을 활용한 공급망 공격이 다수 발견됐고, 악성코드에 감염된 상태로 유통되는 사례도 확인됐습니다.

 

통신사 해킹 사례 역시 같은 맥락으로 해석됩니다. SK텔레콤은 인증 체계, KT(030200)는 네트워크 접점, LG유플러스(032640)는 식별 구조에서 각각 취약점이 드러났지만, 공통적으로는 관리 미흡이 사고의 배경으로 지목됩니다. 결국 기술적 취약점 이전에 기본적인 보안관리 체계의 한계가 드러난 것으로 볼 수 있습니다.

 

인공지능 해킹방어대회 본선 경기에서 화이트해커 참가자들이 문제를 풀고 있다. (사진=뉴시스)

 

이 같은 흐름에 AI 결합 가능성까지 더해지며 위협은 더 커지고 있습니다. 앤트로픽의 미토스와 오픈AI의 GPT-5.4사이버 등 자율형 AI가 공격 경로를 설계하고 코드 생성까지 수행할 수 있다는 점이 부각되고 있습니다. AI가 단순 보조 도구를 넘어 취약점 탐색과 공격 자동화에 활용될 수 있는 환경이 만들어지고 있다는 의미입니다. 최근에는 비공개로 운영 중이었지만, 주요 외신들은 제한된 기업에만 제공되던 미토스 프리뷰 버전에 대한 비인가 접근이 확인됐다고 보도하기도 했습니다.

 

김용대 카이스트 교수는 "AI는 새로운 공격을 만들어내기보다 기존 취약점을 활용하는 속도를 빠르게 만드는 역할에 가깝다"며 "취약점이 공개되면 이를 악용한 공격 코드가 더 빠르게 만들어질 수 있다"고 설명했습니다. 공격 방식 자체보다 공격과 대응 간 '속도 경쟁'이 핵심 변수로 떠오르고 있다는 분석입니다.

 

AI 위협이 부각되고 있지만, 전문가들은 여전히 기본적인 보안관리가 핵심이라고 지적합니다. 김 교수는 "운영체제 업데이트나 보안 패치가 제대로 이뤄지지 않는 환경에서 발생하는 공격이 여전히 많다"며 "새로운 공격 기법 이전에 기존 취약점 대응이 더 중요하다"고 강조했습니다.

 

김휘강 고려대 정보보호대학원 교수도 "과거에는 보안관리자가 알려진 취약점을 놓치지 않고 대응하면 일정 수준의 보안을 유지할 수 있었지만, 이제는 그 방식만으로는 한계가 있다"며 "알려지지 않은 취약점까지 빠르게 탐지·악용되는 환경으로 변화하고 있다"고 설명했습니다.

 

AI 로고. (사진=뉴스토마토)

 

공격 환경이 변화하면서 정책 방향 전환 필요성도 커지고 있습니다. 김휘강 교수는 "AI가 해킹에 활용되는 상황은 이제 변수가 아니라 전제 조건"이라며 "기업이 AI 기반 보안 대응을 도입할 수 있도록 정책적 인센티브를 강화할 필요가 있다"고 강조했습니다.

 

김승주 고려대 정보보호대학원 교수도 현행 제도의 한계를 지적합니다. 김 교수는 "보안은 사고 이후 강화됐다가 시간이 지나면 다시 느슨해지는 패턴이 반복된다"며 "징벌적 과징금만으로는 기업의 보안 투자를 유도하기 어렵다"고 말했습니다. 이어 "실질적인 효과를 내려면 기업이 체감할 수 있는 인센티브가 함께 마련돼야 한다"고 덧붙였습니다. 

 

이지은 기자 [e-mail]

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.