[현장너머]'AI 해킹' 시대, 망분리 완화서 소외된 중소·영세사

"앞으로 인공지능(AI)을 이용한 금융권 해킹은 늘어날 수밖에 없다. 값비싼 보안 장비와 인력을 갖추기 어려운 중소·영세 금융회사일수록 외부 AI로 취약점을 찾아 대응할 수 있게 망분리 규제를 보다 과감히 풀어야 한다."

얼마 전 만난 금융권 관계자의 말이다. 망분리 규제 완화가 대형사에서 2금융권으로 확대되고 있지만 정작 AI 방어가 가장 절실한 중소·영세사는 소외돼 있다는 얘기다. 한국은 금융회사의 내부망과 외부망을 분리해 보안 사고를 차단해왔지만 AI의 등장으로 규제 방향을 틀고 있다.

최근 전자지급결제대행(PG)사를 노린 해킹 사고는 '약한 고리'의 위험을 드러냈다. 토스페이먼츠, 코엠페이먼츠 등 PG사 공격으로 신용카드 정보 등 결제정보 수만 건이 유출됐다. 대형 금융사만 방어벽을 높인다고 해결될 일이 아니다. 금융사와 PG사, 가맹점이 촘촘히 연결된 만큼 한 곳의 취약점이 금융 생태계 전체를 위협하는 침투 경로가 될 수 있다.

AI는 공격과 방어의 셈법도 바꿨다. 상당한 기술력을 요구하던 취약점 탐색과 공격 코드 작성의 문턱이 크게 낮아졌다. 이번 PG사 해킹을 검사 중인 금융당국도 해커가 AI를 활용했다는 데 무게를 두고 있다. 공격자는 AI로 무장하는데 방어 체계가 기존 규제에 묶여 있다면 승부는 기울 수밖에 없다.

금융당국은 지난 5월 보안 목적의 AI 활용에 망분리 예외를 허용했다. 2금융권과 전자금융업자로 규제 완화 대상을 확대하고 있지만 기준을 자산 10조원에서 2조원 이상으로 낮췄을 뿐, 여전히 '덩치'가 중요한 잣대다.

이제는 자산보다 '위험과 연결성'을 봐야 한다. 민감한 데이터를 얼마나 다루는지, 외부 시스템과 얼마나 연결되는지, API를 통해 데이터가 얼마나 오가는지를 함께 따져야 한다. 회사는 작아도 금융망의 길목에 있다면 해커 입장에선 대형 금융사의 개인 정보까지 탈취할 수 있는 매력적인 표적이 된다.

중소·영세사에 안전장치 없이 규제를 풀자는 게 아니다. 자체 보안 역량이 부족하다면 외부 AI를 안전하게 활용할 인프라를 마련하면 된다. 금융보안원처럼 전문성을 갖춘 기관이 통제된 환경에서 중소형사의 금융 시스템을 구동하는 프로그램을 외부 AI로 분석해 해커가 파고들 틈을 미리 찾아 막는 '공동 방패'를 구축하는 것도 방법이다. 망분리 완화 대상이 아닌 금융사도 이런 방식으로 외부 AI를 보안에 활용할 수 있도록 금융당국이 규제를 손볼 필요가 있다.

AI 시대에 해킹 가능성을 원천 봉쇄하겠다는 접근만으로는 위협에 대응하기 어렵다. 해커보다 먼저 취약점을 찾고 침입을 빠르게 탐지해 피해 확산을 막는 능력이 중요하다. 'AI는 AI로 막는다'는 금융당국의 원칙 역시 해커가 노리는 약한 고리, 즉 AI 방어가 가장 절실한 곳부터 닿아야 한다.

권해영 기자 roguehy@asiae.co.kr