[데스크 칼럼] AI 해킹 시대의 자화상
타이밍이 기가 막혔다. 연휴 때여서 낯선 사람을 수상하게 쳐다보는 사람이 없었다. 그것도 한적한 뒷문으로 들어갔다. 행색 역시 절도범이나 강도 같지 않았다. 유니폼을 입고 출입증을 찍고 들어오는 회사원의 모습이었다. 건물 내에선 CCTV를 의식해 수상하게 움직이지 않았다. 돈 되는 물건을 순식간에 쓸어 담지 않고 일반 직원 걸음걸이로 표가 나지 않는 서류만 들고나왔다.

지난달 말 시중은행에서 연쇄적으로 발생한 해킹 사고가 딱 이랬다. 완전범죄를 꿈꾼 해킹범의 술수에 은행 보안망은 농락당했다. 취약시간대에 쪽문 같은 외부 업체 연결망을 이용했다. 융단폭격 하듯 정보를 빼가는 여느 해킹범과 달리 눈에 안 띄게 정보를 야금야금 가져갔다. 정상적인 정보 수집처럼 보이려는 의도였다. 은행들이 사건 발생 후 60시간이 지나서야 이상 징후를 감지한 이유다.

알아차리기 힘든 정보 유출

해킹을 감쪽같이 만든 건 인공지능(AI)이다. 공격 대상의 약점을 찾고 정보를 빼내가는 데 AI가 핵심 역할을 수행했다. 누구나 쓸 수 있는 중국산 오픈소스가 해킹 기술 장벽을 낮추고 고비용 문제를 해결했다.

이 때문에 누구나 해킹 사정권에 들게 됐다. 여태껏 금융권에서 공격 대상은 은행과 카드사 정도였다. 도둑 입장에서 가장 돈이 되는 부잣집이기 때문이다. 보험사와 캐피털사 보안망이 탁월해 안 뚫린 게 아니다. 돈과 사람을 써 어렵게 침투해봐야 건지는 게 적어 해킹 대상에서 빠져 있었을 뿐이다. 2009년 디도스 공격이 그랬고 2014년 악성코드 침투 때도 마찬가지였다.

이제는 달라졌다. AI 때문에 해킹 가성비를 생각할 필요가 없어졌다. 본전 생각에 한 번에 가능한 한 많은 자산과 정보를 들고나오지 않아도 된다. AI 도움을 받아 언제라도 작은 빈틈을 찾아 다시 들어갈 수 있어서다. 좁고 깊게 침투하는 형태에서 넓고 얕게 치고 빠지는 방식으로 해킹 양상이 달라진 것이다. 신한은행으로 시작된 해킹 희생양이 2주 만에 16개 금융회사로 늘어난 게 그 방증이다.

AI 해킹 막을 시스템 있나

누구나 해킹 공격을 받을 수 있는 시대로 변했지만 우리의 현주소는 어떤가. 해킹은 약삭빨라졌지만 해킹에 대응하는 사고와 제도 틀은 수십 년째 그대로다. 금융회사는 여전히 당국 보안 점검만 통과하면 할 일을 다했다고 여긴다. 당국은 정보가 유출된 곳을 몰아세우기 하면 된다고 생각한다. 은행장을 불러 질타하고 제대로 안 하면 과징금 폭탄을 매기겠다고 엄포를 놓는 풍경은 매번 반복된다.

‘AI는 AI로 막아야 한다’는 구호만 외칠 뿐 현실화는 요원하다. AI 해킹을 차단할 방어망을 구축하려면 일개 기업과 금융회사를 닦달할 게 아니라 국가적으로 대응할 시스템을 갖춰야 한다. 그러려면 무엇보다 국가 차원의 정보 보안을 총괄할 기관이 필요하다. 보안 컨트롤타워는 고사하고 정부 부처와 공공기관 사이트조차 기본 백신이 깔려 있지 않는 곳이 허다하니 상황이 여간 심각한 게 아니다.

AI 해킹 시대에 안전지대는 없다. 다음 공격 대상이 금융회사가 아니라 정부 사이트, 전력망, 통신망이 되면 어찌 될까. 감쪽같은 북한발 AI 공격을 알아차리지도 못할 것 같다는 불길한 생각이 든다.