그래픽=신재민 편집위원


인공지능(AI)이라는 새 문물이 해킹의 판도를 바꾸고 있다. AI가 취약점을 찾고 공격하는 과정을 자동화하면서 해킹의 문턱이 낮아졌다. 금융권과 공기업, 대학에서 보안 사고가 꼬리를 무는 가운데 개별 기업을 넘어 국가 전체가 표적이 되고 있다는 우려가 크다.

25일 정부와 보안업계에 따르면 PHP 개발진은 지난 21일 밤 11시(한국시각) 인증 없이 서버를 장악할 수 있는 취약점 2건을 고친 긴급 패치를 내놨다. PHP는 전 세계 웹사이트 10곳 중 7곳꼴로 쓰는 개발 언어다. 10년 넘게 숨어 있던 이 결함은 AI를 활용한 보안 연구진이 찾아냈다. 정부는 이튿날 민간 사이버위기 경보를 '관심'에서 '주의'로 올렸다.



김용대 KAIST 교수는 동행미디어 시대와의 통화에서 사람이라면 찾기 힘들었을 수십 년 묵은 오픈소스 취약점이 AI로 한꺼번에 드러나고 있다고 말했다. 그는 이를 그동안 쌓인 '보안 부채'라고 표현했다. 패치도 쉽지 않다. 김 교수는 "PHP에 의존해 만든 서비스라면 서버를 내려 매출 손실을 감수하든지, 그대로 두고 공격당할 위험을 떠안든지 둘 중 하나"라고 말했다.

공격자는 이미 AI를 쓰고 있다. 지난달 30일 신한은행 고객 2만5000여 명의 정보 유출이 확인된 뒤 2주 만에 피해가금융사 16곳, 10만건으로 불어났다. 은행 웹서버에서는 AI 침투 도구의 흔적이 나왔다. 박세준 티오리 대표는 "AI 공격 도구가 취약점들을 자동으로 찾아내고 공격까지 전 자동화가 되면서 훨씬 더 피해가 커지는 상황"이라고 말했다. 그는 "비용이 너무 적기 때문에 공격자 입장에서는 안 할 이유가 없다"고 설명했다.

공공기관과 대학, 항공사도 예외가 아니었다. 한국전력 직원 2만4000여 명의 개인정보가 외부 웹페이지에 노출됐다. 연세대에서는 약 1만 명의 정보가 유출됐다. 대한항공·아시아나항공 고객 예약정보는 협력사를 거쳐 새 나갔다.



국가 배후 세력이 개입할 가능성도 제기됐다. 해외 보안업체 사이퍼마는 북한 라자루스와 연계됐을 가능성이 있는 조직이 PHP 취약점으로 한국 정부·금융기관을 노리는 정황을 포착했다. 박 대표는 "북한만 하고 있는 것은 아니다. 여러 곳에서 공격자들이 준비하고 있는 것 같다"고 말했다.

이상중 한국인터넷진흥원(KISA) 원장은 지난 23일 국정감사에서 PHP 취약 버전 사용 현황을 파악하지 못했다고 답했다. KISA에는 현행 규정상 민간 시스템을 스캐닝할 권한도 없다. 허락 없이 민간 서버의 취약점을 점검(스캐닝)하면 정보통신망법이 금지한 무단 침입에 해당할 소지가 있어서다. 김 교수는 "해커는 우리나라를 마음대로 스캐닝하고 취약점을 찾아 공격하는데 정부는 모의 해킹조차 못 한다"고 말했다.

배경훈 부총리 겸 과학기술정보통신부 장관은 같은 자리에서 범부처 종합대책과 조직 개편을 검토하고 있다고 밝혔다. 사이버안보청 신설론도 다시 고개를 들었다.

공격과 방어의 격차는 당분간 더 벌어질 전망이다. 고학수 전 개인정보보호위원장은 "공격적으로 쓰이는 AI는 이미 순식간에 빠르게 활용되는데 방어용으로 쓰이는 것은 훨씬 더딜 것"이라며 "당분간 AI 도구를 이용한 해킹 공격이 훨씬 많이 나타날 것"이라고 내다봤다. 박 대표는 공격자들이 AI로 공격 규모를 늘리는 만큼 방어자도 AI를 적극 활용해 취약점을 찾고 고치는 속도를 높여야 한다고 주장했다. 권헌영 고려대 사이버보안정책센터장는 정부가 태스크포스(TF)를 꾸려 영세 업체부터 서둘러 지원해야 한다고 주문했다.

전문가들은 조직 개편이 간판 교체에 그쳐서는 안 된다고 입을 모은다. 김 교수는 "기존 기관의 고유 기능은 그대로 두되 여러 기관에 걸친 공통 업무를 책임지는 미국 사이버보안·인프라보안국(CISA) 같은 조직이 필요하다. 기관을 단순히 합친다고 해결될 문제는 아니다"고 말했다.