사진=AI 생성 이미지
사진=AI 생성 이미지
기업을 노린 해킹이 개인정보 유출을 넘어 실제 금전 피해로 이어진 사례가 나왔다. 마스킹 처리된 법인카드 정보가 유출된 뒤 수백만원대 실결제가 이뤄졌다. 기업 업무 시스템에 침투해 결제 데이터를 조작하고 결제 기능까지 악용하는 해킹이 현실화하고 있다.

○내부 시스템 침투 비상

국내 스타트업 A사 대표는 9일 한국경제신문과 만나 “신한카드의 법인카드에서 지난달 27일 400만원대 비정상 결제가 발생했다”며 “스타트업의 법인카드와 지출을 관리하는 핀테크 플랫폼 ‘고위드’에서 발생한 해킹 사고가 원인인 것으로 확인됐다”고 밝혔다.

고위드는 스타트업 3000여 곳에 법인카드 발급과 지출 관리 서비스를 제공하는 기업 간 거래(B2B) 핀테크 기업이다. A사는 고위드를 통해 업무용 소프트웨어인 구글 워크스페이스(GWS)를 구독하며 매달 약 40만원을 지불한다. 하지만 사고 당일 평소보다 10배 이상 많은 300만~400만원대 결제 시도가 잇따랐다. 10차례 넘게 결제가 실패한 끝에 약 400만원이 실제 승인됐다.

고위드는 이후 해킹 사실을 파악하고 비정상 결제 금액을 전액 취소하는 등 피해 복구에 나섰다. 고위드에서 유출된 정보에는 마스킹 처리된 카드번호와 카드사 정보, GWS 청구 내역과 단가, 담당자 이름, 전화번호 등이 포함됐다.

○AI가 키우는 해킹 위협

핵심은 카드번호가 마스킹된 상태로 유출됐는데도 실제 결제가 이뤄졌다는 점이다. 고위드 관계자는 “카드 유효기간과 카드보안코드(CVC) 정보를 보관하지 않아 유출된 정보만으로는 결제가 불가능하다”고 주장했다. 하지만 피해 기업에서 등록된 법인카드로 비정상 결제가 승인된 만큼 공격자가 어떤 경로로 결제 시스템에 접근했는지 규명하는 게 과제로 꼽힌다. 고위드 측은 정확한 사고 원인을 조사하고 재발 방지 대책을 마련하겠다는 방침이다.

보안 업계에선 공격자가 AI를 활용해 응용프로그램인터페이스(API)의 취약점을 분석한 뒤, 비인가 접근과 관리자 계정을 악용한 방식이 유력하다고 지목했다. 이를 통해 고객사 정보에 접근하고, 구독료 청구 데이터를 조작해 기존에 등록된 결제수단으로 비정상 결제를 시도한 것으로 추정되고 있다.

API는 서로 다른 소프트웨어와 시스템이 데이터를 주고받도록 연결하는 통로다. 기업들이 회계·인사·결제·고객관리 서비스를 연동하면서 활용이 늘고 있지만, 인증이나 접근 권한 관리가 허술하면 외부 공격자가 내부 시스템에 침투하는 통로가 될 수 있다. AI를 활용해 정상적인 서비스 요청으로 위장한 뒤 데이터를 조회하거나 변경하는 게 가능하다.

특히 관리자 계정 탈취는 심각한 문제라고 업계는 전했다. 고객정보 조회부터 결제 설정 변경, 데이터 수정까지 폭넓은 권한을 가진 만큼 공격자가 관리자 권한을 확보하면 정상적인 업무 절차를 가장해 시스템을 조작할 수 있다. 보안 시스템이 이를 비정상 행위로 감지하지 못할 가능성도 있다.

전문가들은 기업 보안의 범위를 개인정보 보호에서 업무 시스템 전반으로 확대해야 한다고 강조했다. 임종인 고려대 정보보호대학원 명예교수는 “AI 등장 후 기업의 업무 시스템에 침투해 관리자 권한을 장악하는 식의 피해 사례가 늘고 있다”며 “관리자 계정에 다중인증(MFA)을 적용하고 업무에 필요한 최소한의 권한만 부여하는 방법, 사용내역 암호화 등을 고려해야 한다”고 말했다.

스타트업 업계는 더 불안해하는 분위기다. A사처럼 외부 플랫폼에 법인카드와 소프트웨어 구독을 맡기는 경우가 대부분이어서다. 구독하는 서비스의 보안 수준이 기업의 금전적 피해와 직결될 수 있다는 우려가 나온다.

정지은 기자 jeong@hankyung.com