[단독]은행들 다 털리는데···AI 위협 대응할 정부 ‘센터’ 증원·추가예산 모두 무산 > 공지사항

[단독]은행들 다 털리는데···AI 위협 대응할 정부 ‘센터’ 증원·추가예산 모두 무산

페이지 정보

작성자 행복이이
댓글 0건 조회 0회 작성일 26-10-05 22:32

본문

인공지능(AI)을 활용한 사이버 공격 우려가 커지는 가운데 정부가 핵심 대응조직으로 신설한 한국인터넷진흥원(KISA) 취약점관리센터의 내년도 인력·예산 확충 계획이 모두 무산된 것으로 확인됐다. 정부는 센터를 40명 수준으로 구성하겠다고 밝혔지만 상근 전담인력은 13명에 그쳤다.
5일 과학기술정보방송통신위원회 소속 김남국 더불어민주당 의원실이 KISA로부터 제출받은 자료를 보면, KISA는 내년 취약점관리센터 인력 20명을 증원해달라고 요구했지만 재정경제부 검토 과정에서 한 명도 반영되지 않았다. 인력은 AI를 활용한 취약점 탐지·대응과 취약점 신고·조치·공개제도 운영 등에 투입될 계획이었다.
취약점관리센터는 AI를 활용한 사이버위협에 대응하기 위해 지난 5월 KISA 내에 신설된 조직이다. 취약점 탐지·분석부터 조치와 기업 기술지원, 정보 공유·전파까지 전 과정을 맡는다. 정부는 향후 KISA 침해대응체계를 AI 기반으로 전환하고, 센터가 확보한 취약점 데이터를 국내 AI 보안모델 개발에도 활용할 계획이다.
AI 위협 고도화로 취약점 탐지·분석 수요는 커지고 있지만 현재 센터 상근 인력은 13명에 그친다. 모두 신규 채용이 아닌 KISA 기존 조직에서 전환 배치됐다. 기존 업무를 병행하는 비상근 인력도 11명이다. 정부는 당초 기존 인력과 필요시 민간 전문가 등을 활용해 ‘1개 단 40명 수준’으로 구성한다고 밝혔지만 현재 상근·비상근을 모두 합쳐도 24명에 그친다.
추가 예산 확보도 불발됐다. KISA는 AI 해킹 자동화시스템 구축 등을 위해 내년도 신규 출연사업으로 170억원을 요구했지만 반영되지 않았고, 이후 기존 사업 증액 방식으로 두 차례 예산 확보를 시도했지만 모두 정부안에 담기지 않았다.
정부가 지난 5월 발표한 AI 사이버위협 대응 추진계획에는 보안 전문가들이 올해 말까지를 대응의 ‘골든타임’으로 지적했다는 내용이 담겼다. 하지만 정작 인력과 예산 지원이 뒷받침되지 않으면서 대응체계 구축에도 차질이 생길 수 있다는 지적이 나온다.
김남국 의원은 “AI 기반 해킹 위협이 커지는 상황에서 취약점관리센터의 인력과 예산이 충분히 뒷받침되는지 점검할 필요가 있다”며 “AI가 찾아낸 취약점을 실제 대응으로 연결할 수 있도록 국회 심의 과정에서 관련 인력과 예산을 살펴볼 것”이라고 말했다.
금융권 전반을 뒤흔든 대규모 해킹 사태로 금융보안의 방향을 둘러싼 논의가 불붙고 있다. 은행의 내부 업무망과 외부 인터넷망을 분리해 놓고도 정보가 새 나간 만큼 인공지능(AI) 해킹 공격을 AI 기술로 방어할 수 있도록 ‘망분리 완화’에 속도를 내야 한다는 주장도 제기된다.
5일 금융감독원·금융보안원은 신한은행 등 피해 금융사를 대상으로 현장 조사를 이어가고 있다. 금융당국은 전 금융권에 보안점검 체크리스트를 배포했으며, 은행과 카드사는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 긴급 자체점검을 마쳐야 한다.
이번 해킹은 AI가 활용된 공격이긴 하지만 새로운 수법은 아니라는 평가다. 공격은 은행 전산망의 ‘정문’이 아닌 상대적으로 감시가 덜한 ‘뒷문’에 집중됐다.
2만5727건이 유출된 신한은행에서는 대출모집인용 서비스가 통로가 됐다. 같은 공격을 받고도 우리은행·NH농협은행에서는 정보 유출이 확인되지 않았다. 우리은행은 업무시스템 접속에 아이디·비밀번호 외에 생체인증을 추가로 요구하고, 농협은행은 대출모집인에게 내부 시스템 접속 경로를 열어두지 않은 것으로 알려졌다. 이상근 고려대 정보보호대학원 교수는 “이번 사건은 기존 공격 기법의 ‘자동화’에 가깝다”며 “예전이라면 (시차를 두고) 띄엄띄엄 벌어졌을 사건인데, 이제는 누구나 도구를 설치하기만 하면 국내 금융권 전체를 한 번에 훑을 수 있어 속도가 훨씬 빨라졌다”고 말했다.
이번 사태가 금융권 망분리 논쟁으로 번진 이유도 여기에 있다. 망분리는 금융사의 업무용 내부망을 인터넷과 물리적으로 떼어 놓아 외부 침입이 내부로 번지지 못하게 하는 조치다. 2013년 사이버테러를 계기로 도입됐다. 망분리는 외부 인터넷을 통한 침입이 내부 핵심 전산망으로 번지는 것을 막는 데 효과적이지만 이번 공격처럼 외부에 열어둔 별도 시스템을 통해 개인정보에 접근하는 공격까지 막아주는 것은 아니다. ‘망만 끊어 놓으면 안전하다’는 패러다임이 한계를 드러냈다고 지적되는 대목이다.
무엇보다도 공격자는 AI로 취약점 탐색을 빠르게 자동화하는데, 방어자인 금융권은 망분리에 묶여 최신 AI를 쓰지 못하는 비대칭성이 문제로 꼽힌다.
이번 공격에 활용된 것으로 알려진 중국어 기반의 AI 침투테스트 도구 ‘아르텍스(ARTEX)’도 원래는 방어자가 자기 시스템의 취약점을 공격자보다 먼저 찾아내도록 돕는 도구다. 곽진 아주대 사이버보안학과 교수는 “AI 도구는 공격자가 쓰면 공격 도구가, 방어자가 쓰면 방어 도구가 된다”고 말했다.
금융당국은 지난 5월부터 보안 목적으로는 생성형 AI 등을 쓸 수 있도록 망분리 규제를 긴급 완화했고, 현재 금융사 10곳이 1차 테스트에 참여하고 있다.
다만 현재 망분리가 핵심 전산망을 보호하는 이점도 분명한 만큼, 기본적인 보안 통제를 강화하면서 망분리 규제 완화는 신중히 이뤄져야 한다는 지적도 나온다. 최경진 가천대 법학과 교수(개인정보전문가협회장)는 “망분리 완화는 기존 계획대로 가되, 보안 능력 강화와 반드시 같이 가야 한다”며 “외부 AI는 보안 능력을 높이는 여러 도구 중 하나”라고 말했다.
아이디(ID)와 비밀번호 방식의 금융사 인증 수단이 다른 웹사이트에서 무작위 대입으로 고객의 추가 정보를 탈취하는 우회 해킹에 취약하다는 금융보안원 경고가 지난해 나왔던 것으로 파악됐다.
4일 금융권에 따르면 금보원은 비대면 금융서비스의 각종 인증 절차를 우회한 해킹 공격 가능성을 분석한 ‘공격자 관점의 인증 우회 취약점 프로파일링’ 보고서를 지난해 3월 발간했다.
모의해킹 전문가로 구성된 금보원 내 금융권 특화 레드팀이 모의 해킹을 실험해 분석한 결과다.
금보원의 분석 결과, 가장 기본적인 형태의 아이디·비밀번호 인증 수단은 구현이 쉽고 사용자 편의성이 높지만 ‘크리덴셜 스터핑’ 공격에 취약한 것으로 드러났다. 크리덴셜 스터핑 공격이란 해커가 아이디와 비밀번호 등 고객 정보를 확보한 뒤 다른 웹사이트나 앱의 로그인 창에 무작위 대입(스터핑)을 통해 고객의 또 다른 정보를 빼가는 수법이다.
2만5000여명의 고객 정보가 유출된 신한은행이 이러한 해킹 수법에 당한 것으로 알려졌다. 신한은행의 모바일 웹사이트 내 대출모집인 전용 서비스에서 고객의 일부 정보를 빼간 뒤, 이를 다른 사이트에서 무작위로 대입하며 고객의 주민번호(66건), 개인 식별 코드인 연계정보(97건) 등 여타 정보까지 가로채 갔다. 이 과정에서 인공지능(AI) 기술도 동원된 것으로 전해진다.
금융권 인증 및 서비스 절차는 ‘인증정보(아이디·비밀번호) 획득-외부 인증기관 요청-검증-응답-서비스 요청’ 단계로 이뤄지는데, 인증 단계의 출발점인 인증정보 획득 단계에서 정보가 유출된 것이다. 또한 신한은행을 비롯한 은행권 및 2금융권에 대한 공격이 공동인증 절차를 거치지 않아도 되는 서비스·시스템을 대상으로 이뤄져 간편 서비스가 ‘취약 고리’가 됐다는 지적도 나온다.
금보원은 보고서에서 “하나의 인증 우회 취약점이 발생하면 나비효과처럼 다른 인증 절차에도 영향을 미칠 수 있다”며 “안전한 인증 절차를 구현하기 위해 설계-개발-유지보수 등 모든 단계에서 인증 우회 취약점에 대응해야 한다”고 밝혔다.
이억원 금융위원장은 이날 정부서울청사에서 전 금융권 긴급 점검회의를 주재하며 “외부에 노출된 정보기술(IT) 자산과 서비스를 빠짐없이 파악하고 보안 취약점, 인증·접근통제 및 침해 활동 탐지체계 등을 전면 재점검하라”고 지시했다.

댓글목록

등록된 댓글이 없습니다.

[단독]은행들 다 털리는데···AI 위협 대응할 정부 ‘센터’ 증원·추가예산 모두 무산 > 공지사항

공지사항

페이지 정보

본문

댓글목록

회원로그인