기사의 이해를 돕기 위해 AI를 활용해 제작한 이미지.
금융권 해킹 사태의 주범으로 꼽히는 ‘인공지능(AI) 해킹’과 관련된 보안 허점이 대기업이나 공공기관에도 광범위하게 퍼져 있는 것으로 파악됐다. 영세한 공공기관은 물론 대기업의 업무용 시스템을 구축하는 협력사까지 내부망에서 관리돼야 할 지점들이 외부로 노출돼 있었다. 보안 전문가들은 이 같은 허점들이 AI를 활용한 대규모 자동화 공격 대상이 될 가능성이 크다며 은행권을 넘어 산업 전 분야로 해킹 피해가 확대될 수 있다고 경고했다.
정부는 금융권 해킹 사태에 AI가 이용됐을 가능성을 공개적으로 인정했다. 이억원 금융위원장은 4일 ‘전 금융권 긴급 점검회의’를 열고 “AI를 활용한 해킹 공격의 가능성도 배제할 수 없다”며 “아무리 견고한 보안체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안체계의 취약점이 될 수 있다”고 밝혔다. 이어 “AI 공격은 AI로 방어하는 보안체계 마련도 서둘러야 한다”고 덧붙였다. 금융 당국에 따르면 이번 대규모 해킹 공격에서 동일한 공격자의 인터넷주소(IP)도 여러 곳에서 발견됐다. AI를 활용해 대량의 공격을 퍼부은 것으로 해석된다. 과학기술정보통신부 24시간 비상대응체계를 가동하고, 민간 기업 2만8000곳에 보안점검을 권고했다. 이재명 대통령도 관련 보고를 받고 철저한 조사와 대책 마련을 지시했다.
국민일보가 금융권 해킹 사태 직후 한국인터넷진흥원(KISA)의 화이트해커 양성 프로그램 ‘화이트햇스쿨’ 출신 위협분석그룹 ‘다크넷즈’와 한국 소재 IP로 검색된 약 3600만개의 포트(Port)를 전수 조사한 결과, 관리자 페이지 등 내부망 접속을 시도할 수 있는 지점이 최소 6441개에 달하는 것으로 파악됐다. 포트는 인터넷에서 특정 서버 내 서비스로 들어가는 일종의 출입구로, 내부망에서만 안전하게 관리돼야 하는 서비스들이 외부에서 접근 가능하게 노출된 것이다. 물론 이러한 노출 자체가 개인정보 유출을 의미하는 것은 아니다. 하지만 이번 금융권 해킹 사태에서 보듯 ‘크리덴셜 스터핑’(계정 대입 공격) 등 무차별 공격을 당하는 ‘타깃’이 될 가능성은 높다.
취재팀은 취약지점 탐지에 AI를 활용했다. IP검색엔진 ‘쇼단’을 활용해 외부에 공개돼 누구나 접속 가능한 전체 한국 서버·장비를 검색했다. 쇼단은 인터넷에 연결된 서버·장비가 외부에 열려 있다면 이를 조회할 수 있는 검색 사이트다. 방대한 검색 결과 중 관리자 페이지나 내부 데이터베이스(DB)로 접속할 수 있는 경로가 포함된 취약지점을 분류·분석하는 작업은 AI의 도움을 받았다. AI의 빠른 분석으로 단 하루 만에 6000여개의 노출 지점을 찾을 수 있었다. AI 해커들 역시 이만큼 쉽고 빠르게 공격 지점을 찾을 수 있다는 의미이기도 하다.
조사 결과 영세한 공공기관들의 내부망으로 향하는 길목이 여럿 발견됐다. 한 지방자치단체 산하 시설관리공단은 직원들의 메일 송수신 포트(서버가 외부와 통신하는 출입구)와 원격 접속용 VPN 포트 등 여러 개의 업무용 서비스가 노출돼 있었다. 지방 공공기관으로 분류되는 문화재단의 메일 로그인 화면도 쉽게 찾을 수 있었다.
해커들은 이미 다크웹 등에 방대하게 유출돼 있는 개인정보들을 입력하는 방식으로 이런 관문을 공격한다. 특히 AI를 활용해 여러 정보를 빠르게 대규모로 입력해 해킹 성공 가능성을 키우는 식이다. 대부분 내부망은 추가 인증이나 접속 제한을 두지 않기 때문에 직원의 아이디와 비밀번호만으로 접속이 가능하다. 이번 금융권 대규모 해킹 사태에서도 유사한 수법이 사용됐을 가능성이 제기되고 있다.
한 국가기관의 스펨메일 차단 관리자 페이지가 노출된 경우도 있었다. 이 관리자 페이지가 뚫리면 악성 메일이 걸러지지 않은 채 기관 전 직원에게 전달될 수 있다. 한 국립대의 경우 DB 관리 서비스가 외부에서 확인됐다. 공격자가 로그인에 성공하면 내부 DB 전체를 확인할 수 있다.
대기업도 안전지대는 아니었다. 대기업의 IT 서비스를 만드는 외주업체나 협력사의 서비스가 노출된 경우도 여럿 확인됐다. 한 IT 개발업체 서버에서는 DB 관리 도구의 로그인 화면, 직원용 사내 사이트의 로그인 화면을 모두 찾을 수 있었다. 이 업체가 제작한 기업 ERP(전사적 자원관리) 사이트의 로그인 화면도 찾을 수 있었다. 개발업체의 관리 부실로 고객사인 대기업까지 해킹당할 수 있다는 우려가 나온다. 협력사를 통한 해킹은 이번 금융권 해킹에서도 주요 원인 중 하나로 지목되고 있다. 실제 대형 공기업인 한국전력공사는 이날 직원 2만4000여명의 이름과 전화번호 등 개인정보가 노출되는 사고가 발생했다고 밝혔다.
사이버 보안 전문기업 티오리의 박관순 정보보호최고책임자(CISO)는 “해커들이 금융권 해킹을 통해 찾은 ‘빈틈’을 다른 업계에서도 활용할 가능성이 크다”며 “해커들의 공격이 업계를 가리지 않고 전방위적으로 확산될 수 있다”고 말했다.
현실이 된 ‘AI해킹’…‘자동화’로 빠르게 빈틈 찾았다
시중은행 해킹사고 시중은행에 이어 저축은행과 캐피탈사 등 제2금융권까지 해킹 사고가 잇따르고 있는 4일 서초구 서울고속버스터미널에 개인정보가 유출된 신한·KB국민·하나 은행의 현금 자동 입출금기(ATM) 코너가 보이고 있다. 이병주 기자
5대 시중은행을 비롯해 금융권을 동시다발적으로 겨냥한 해킹은 인공지능(AI)을 활용한 공격이 현실화했다는 점에서 충격을 주고 있다. 그러나 이번에 활용된 공격 기법 자체는 고난도가 아닌 것으로 평가된다. 단지 인간 해커가 일일이 하기엔 시간이 오래 걸리던 기존 공격을 AI로 자동화해 빠르고 넓게 퍼부었다는 게 특징이다. 앞으로 AI가 기존에 알려지지 않았던 취약점까지 스스로 찾아내 공격하는 ‘지능화’ 단계로 나아가면 훨씬 더 큰 혼란이 예상된다.
권태경 한국정보보호학회 AI보안연구회 위원장은 4일 국민일보와의 통화에서 “이번 공격은 AI가 공격 자체를 지능화했다기보다, 기존 공격을 AI로 자동화해 빠르고 대규모로 수행한 것”이라고 진단했다. 이번 해킹 목표는 보안이 상대적으로 철저한 핵심 뱅킹 시스템이 아니라 대출 모집인 서비스, 외부 연계 홈페이지 등 주변부 시스템이었던 것으로 알려졌다. 기술적으로도 인증 절차를 우회하는 등 이미 잘 알려진 기초적인 수준으로 평가된다. 그럼에도 불구하고 AI의 대규모 공격에 취약한 지점이 드러났다.
대형 은행들이 기초적인 공격에도 뚫린 건 공격자가 보안이 약한 주변부 시스템을 노렸기 때문이다. 예컨대 한 은행에 취약점이 100개 있다면 은행은 상대적으로 보안 우선순위인 고객 계좌와 직결되는 90여개의 핵심 서비스를 집중적으로 방어한다. 당국의 점검도 이 영역에 집중된다. 반면 영업직원이 태블릿으로 고객정보를 조회하고 서명하는 시스템 등 10여개의 ‘변두리 서비스’는 상대적으로 보안 점검이 느슨할 수밖에 없다.
비유하자면 성벽의 ‘정문(핵심 시스템)’은 여전히 잘 막혀 있었지만, 수없이 많은 ‘쪽문(주변부 시스템)’을 AI가 부지런히 노크하다가 하나를 열어버린 꼴이다. 인간 해커가 일일이 하기엔 시간이 너무 오래 걸리던 일이었다. 권 위원장은 “은행들은 정문은 아주 튼튼하게 관리했지만, 주변부에 해당하는 쪽문은 ‘설마 여기로 들어오겠어’라는 생각에 상대적으로 소홀했다”며 “쪽문은 은행마다 있고, 공격자는 AI를 활용해 여러 은행의 쪽문을 동시에 두드려본 것”이라고 설명했다. 이어 “이런 시스템의 보안 기준이 코어 시스템의 기준을 준용하지 않게 돼 있었던 것 같다”고 지적했다.
AI는 이 취약점 탐색의 속도와 규모를 완전히 바꿔놓았다. 과거 해커들이 소수의 중요 표적을 오래 파고들었다면, 지금은 AI를 활용해 전방위적으로 모든 취약점을 빠르게 전부 훑는 식이다. 사이버보안 전문기업 티오리의 박관순 정보보호최고책임자(CISO)는 “AI로 공격 비용이 확 떨어지면서 ‘아니면 말고’ 식으로 전방위적으로 전수 공격하는 게 공격자 입장에서 매우 쉬워졌다”고 분석했다.
업체들의 서비스 항목이 많아질수록 공격자가 노릴 수 있는 ‘쪽문’, 즉 공격 표면도 늘어난다. 특히 고객 조회 등 주변부 업무 시스템은 필요에 따라 빠르게 만들어졌다 사라지는 경우가 많아 핵심 시스템만큼 보안에 공을 들이기 어렵다. 김기윤 부경대 정보보호학과 교수는 “예전엔 서비스 1000개 중 10개가 뚫렸다면 이제는 1만개 중 50개가 뚫리는 식”이라며 “해킹 성공 비율은 낮아져도 공격 대상 자체가 늘면서 전체 피해 건수는 증가할 수 있다”고 말했다.
한번 AI 해킹에 노출되면 같은 수법이 동일 산업 내에서 빠르게 확산될 수 있다. 같은 업종의 기업들은 비슷한 프로그램과 시스템을 쓰는 경우가 많아 한 곳의 허점이 여러 곳의 약점이 될 수 있기 때문이다. 예컨대 병원들은 진료기록이나 의료 영상을 관리하는 데 비슷한 프로그램을 사용한다. 한 병원에서 프로그램을 뚫는 방법을 찾아내면 같은 프로그램을 쓰는 다른 병원도 같은 방식으로 공격할 수 있다는 얘기다. 이번에도 시중은행 여러 곳이 비슷한 시기에 해킹을 당했다.
금융 넘어 전 산업으로…AI ‘지능화’ 땐 재앙
더 큰 문제는 AI의 ‘지능화’다. 기존에 알려진 취약점을 빠르게 찾아내는 ‘자동화’ 수준을 넘어 아직 발견되지 않은 ‘제로데이’ 취약점을 찾아내 공격하는 수준에 이르는 것이다. 소현철 서강대 AI·SW 대학원 겸임교수는 “AI가 스스로 기존에 알려지지 않은 취약점까지 발견해 해킹 도구까지 만들어 공격하는 단계까지 되면 굉장히 위험해진다”고 우려했다.
이렇게 되면 여러 업종에서 동시다발적으로 해킹이 일어날 수 있다. 박 CISO는 “지금까지는 하나의 산업군에 공격이 집중됐다면, 앞으로는 고도화된 AI 에이전트가 각 산업에 맞게 공격 방식을 커스터마이징해서 여러 산업을 동시에 공격할 수 있다“며 “여러 업종의 수십만 개 업체를 동시에 공격하게 되는 것”이라고 경고했다.
전문가들은 방어에도 AI를 적극 활용해야 한다고 강조했다. 권 위원장은 “지능화된 공격이 들어오면 보안수준이 높은 정부기관도 공격을 피하기 어려울 것”이라며 “고성능 AI 모델 활용해 취약점을 먼저 찾아내고, 막는 방향으로 가야 한다”고 제언했다. 박 CISO도 “공격이 들어오기를 기다렸다가 AI로 방어하겠다고 하면 순서가 잘못된 것”이라며 “방어자도 공격자와 동일하게 AI를 활용해 스스로의 시스템을 먼저 공격해봐야 한다”고 말했다.
취약점이 제대로 고쳐졌는지 재확인할 인력과 투자도 뒷받침돼야 한다. 곽진 아주대 사이버보안학과 교수는 “발견한 취약점을 실제로 제거하고, 조치한 뒤 다시 발견되지 않는지까지 연결해서 봐야 사전 예방의 실효성이 담보될 것”이라고 말했다. 김 교수도 “재검증에 드는 비용과 이를 뒷받침할 보안 인력 투자가 필요하다”며 “특히 이에 전문적으로 대응하는 인재 양성이 필수적”이라고 강조했다.
테크이슈팀=양한주 기자 1week@kmib.co.kr, 김혜지 기자 heyji@kmib.co.kr, 김판 기자 pan@kmib.co.kr
댓글
0