"AI해킹 빙산의 일각…SW이력관리·파편화된 소통 채널 통합해야"

기업 자산 전수조사해 위험 점검 나서야
화이트해커 활용해 보안 생태계 강화

국내 통신사가 뚫린 데 이어 금융사까지 해킹 공격에 무방비로 노출되면서 국가 차원의 전방위 대응이 시급하다는 지적이 나온다. 인공지능(AI) 발달로 동시다발적인 공격이 지속적으로 이뤄질 수 있는 데다 수법도 다양화되면서 지금까지의 파편화된 대응은 한계에 봉착했다는 것이다. AI 해킹 전문가들은 "현재 알려진 공격은 빙산의 일각일 뿐"이라면서 "정부는 기업 IT자산을 전수조사해 위험을 점검하고, 사이버위협정보를 적극 공유하는 채널을 강화해야 한다"고 조언했다.

이상근 고려대 교수는 "해킹당한 기업을 보면 허술했던 외부 업무 시스템을 방치하거나 웹사이트에 대한 소프트웨어(SW) 패치가 이미 나왔지만 적용하지 않은 경우가 많다"라며 "기업 IT자산에 대한 전수조사로 취약한 자산에 대한 관리를 강화하는 게 최우선적으로 이뤄져야 한다"고 말했다. SW의 경우 외산이 많아 제3자에게 정보를 제공받기 때문에 어떤 취약점을 갖고 있는지 기업이 구체적으로 파악이 안된 경우가 상당수며, SW취약점이 발견됐을 때 이를 경고하는 조기경보시스템을 사전에 갖춰야 한다는 설명이다.

이 교수는 사이버침해사고가 발생했을 때 즉각적인 공유 체계가 발동해야 한다고 강조했다. 동일한 수법이 영역을 달리해 자행되고 있지만 정보 공유가 안되다보니 기업이 침해를 인지하기까지도 시간이 지체될 수밖에 없다는 것이다. 그는 "사이버위협정보를 공유하면 피해가 확산하는 것을 줄일 수 있다"면서 "국가 인프라인 통신망에 대한 보안 강화도 정부 차원에서 이뤄져야 한다"고 말했다.

정부가 나서 국가 인프라인 통신망 보안 강화해야

국내 최고 화이트해커가 설립한 보안업체 티오리 박세준 대표는 "해킹사고가 터지면 과학기술정보통신부·국가정보원·한국인터넷진흥원(KISA)을 비롯해 금융권이 각 기관별로 대응에 나서는데 국가 차원에서 정보와 소통채널을 통합해 신속히 대응하는 것이 시급하다"면서 "공공은 물론 기업이 사이버공격 양상과 패턴에 대한 정보를 많이 보유할수록 방어에 유리한데 KISA의 인력은 부족하고 파편화된 대응채널이 각각 움직이다 보니 대응이 늦어지는 것"이라고 지적했다.

과거에는 사이버공격이 산업별로 방식을 달리해 이뤄졌지만 최근에는 AI도구와 에이전트의 급속한 발달로 산업과 분야를 가리지 않고 동시다발적으로 이뤄지고 있다. 박 대표는 "기업은 침해정보를 공유하면 회사 기밀 정보를 노출시킬 수 있다는 우려가 있지만 권한을 가진 기관이 이에 대한 우려를 불식시키고 교통정리해 민관이 협력할 수 있는 체계를 만들어야 한다"면서 "AI 해킹 쓰나미가 몰려오는데 방어 패러다임을 바꾸지 않으면 향후에는 통제할 수 없는 상황에 놓일 것"이라고 경고했다.

박 대표는 화이트해커 생태계를 키우는 것도 해법이라고 봤다. "해외에서는 구글 크롬 등 취약점을 발견하고 제보하면 연봉에 상응하는 보상을 해준다"고 언급한 박 대표는 "우리나라는 화이트해커가 보안 취약점을 발견해 제보해도 인센티브는커녕 방어적인 태도를 보이는 경우가 많다"고 토로했다. 화이트해커가 양성되고, 이들이 국가 보안 생태계 강화에 기여할 수 있는 분위기와 문화를 만드는 것이 중요하다는 설명이다.

특히 AI를 활용해 해킹 수법이 진화하면서 기존 탐지 기법이 한계에 다다랐다. 기존 보안 체계는 알려진 악성 코드나 공격 패턴을 데이터베이스에 저장해 일치하는 공격을 차단했다. 하지만 AI는 공격에 실패하면 강화학습을 통해 실시간으로 다른 경로를 찾고 사람처럼 행동을 조정할 수 있어 기존 체계로는 탐지가 어렵다. 곽진 아주대 사이버보안학과 교수는 "AI를 활용하면 공격 속도가 빨라져 마구잡이 공격이 가능해질 수 있다"며 "기존 탐지 방식으로는 차단이 어려울 수 있다"고 했다. 공격표면도 외부 접점이 있는 모든 취약점으로 넓어졌다. 핵심서비스 시스템이나 고객용 앱을 넘어 직원·협력사용 업무 지원 시스템, 임시 테스트 서버, 사용이 끝났지만 외부 접속이 가능한 웹사이트 등 관리가 소홀하기 쉬운 시스템도 침투 경로가 될 수 있다.

AI 해킹쓰나미, 방어 패러다임 바꿔야

전문가들은 특히 외부와 연결되는 접점인 응용 프로그램 인터페이스(API)를 통한 해킹에 주목했다. API는 인증이나 접근 권한 검증이 부실하면 공격자가 내부 정보에 접근하는 경로로 악용될 수 있다. 곽 교수는 기업 내 보안팀이 파악하지 못한 '섀도 API'가 취약점이 될 수 있다고 지적했다. 곽 교수는 "API는 외부에서 내부로 들어오는 접점이 발생하는 대표적인 공격 포인트"라며 "조직에서 사용자들이 임의로 설치하는 앱과 소프트웨어 등 정식으로 자산으로 파악하지 못한 것들이 공격통로가 될 수 있다"고 설명했다.

기존 웹 공격 기법인 SQL 인젝션도 AI가 대량으로 시도할 수 있다. 외부 입력값을 검증하지 않아 공격자가 삽입한 명령이 내부 데이터베이스에 질의하는 구문과 결합하면서 공격자의 의도대로 정보를 조회하거나 조작하도록 만드는 방식이다. 양봉열 로그프레소 대표는 "개발자의 의도와 달리 공격자가 집어넣은 구문이 의도치 않게 실행돼 공격이 이뤄질 수 있다"며 "기존 웹 해킹 기법들을 사람의 개입 없이 대량 수행할 수 있다"고 우려했다.

전문가들은 해결책으로 접근권한을 시간단위로 쪼개거나 일회성으로 부여하는 '제로트러스트'를 강조했다. 모두가 해커일 수 있다는 관점으로 권한 인증의 편리함을 줄이는 대신 이상 징후를 즉시 차단하는 강도 높은 접근법이다. 이를 위해 핵심 시스템에 적용하던 보안 강도를 비중요시스템에 적용해야 한다는 목소리도 나온다. 핵심 시스템에 보안 역량을 집중하더라도 비중요 업무 시스템의 로그 수집과 감시가 빠져있다면 공격을 놓칠 수 있어서다. 양 대표는 "웹 API 호출 자체에 대한 로그들을 수집해 모니터링하는 체계가 구축이 안된 기관들도 많다"며 "비중요시스템의 웹서버나 자산에 대해서도 로그를 수집하고 저장해야 한다"고 짚었다.

사이버공격 이후에도 피해를 최소화할 수 있는 '복원력'을 기르기 위해서는 피해를 최소화하는 보안 시스템 설계가 필요하다는 분석이다. 양 대표는 "특정 보안 시스템이 뚫려도 더 중요한 정보까지 유출되지 않도록 내부 구획을 나누고 경비하는 '마이크로세그멘테이션'이 필요하다"며 "공격 피해가 발생하더라도 최소화할 수 있는 보안 아키텍처를 구성해야 한다"고 덧붙였다.

서소정 기자 ssj@asiae.co.kr
이은서 기자 libro@asiae.co.kr