AI 악용 개인정보 탈취 사건, 기업이 점검할 접근 권한과 대응 체계

공격자의 이력보다 중요한 질문

최근 보도에 따르면 AI를 이용해 개인정보 820만 건을 탈취하고 금전을 요구한 일당이 검거됐다. 요구한 금액은 3억 6천만 원으로 전해졌다. 독학으로 해킹을 익힌 개인이 범행에 나섰다는 점도 주목받았다. 다만 이 사건을 이해하는 데 중요한 질문은 공격자가 전문가였는지보다, 개인정보에 접근하는 통제 장치가 어떤 역할을 했는지다.

분석의 초점은 AI가 공격에 필요한 지식과 작업 시간을 줄일 가능성에 있다. 일반적으로 생성형 AI는 코드 설명이나 오류 수정에 활용될 수 있어 기술 학습을 도울 수 있다. 그렇다고 누구나 AI만으로 모든 시스템을 침해할 수 있다는 뜻은 아니다. 실제 피해는 시스템의 취약점, 접근 권한, 탐지와 대응 수준 등 여러 조건에 영향을 받는다.

따라서 이번 사건만으로 AI가 기존 보안을 무력화했다고 결론 내리기는 어렵다. AI가 구체적으로 어떤 작업을 도왔는지, 어떤 경로로 정보에 접근했는지는 알려진 사실과 구분해 살펴야 한다. 기업 입장에서는 공격자의 경력에 기대어 위험을 낮게 평가하기보다, 외부인이 정보를 가져갈 수 있는 조건이 남아 있는지 확인하는 계기로 삼을 수 있다.

기업은 데이터가 모이는 지점을 보라

기업이 먼저 확인할 것은 개인정보를 어디에 얼마나 모아 두고 있는지다. 일반적인 보안 관리 관점에서 업무에 필요하지 않은 정보까지 보관하면 사고 때 노출될 범위도 커질 수 있다. 운영 데이터뿐 아니라 내려받은 파일, 시험용 데이터, 오래된 백업에도 개인정보가 남아 있는지 살펴야 한다. 수집과 보관을 줄이는 판단도 보안의 일부다.

다음은 한 계정이나 한 기능으로 접근할 수 있는 정보의 범위다. 담당 업무에 비해 넓은 조회 권한이나 대량 내려받기 기능은 침해가 발생했을 때 피해를 키울 수 있다. 권한이 실제 업무와 맞는지, 예외적으로 부여한 권한이 계속 남아 있는지 점검할 필요가 있다. 승인 절차가 문서에만 존재하지 않고 실제 이용 과정에서 작동하는지도 중요하다.

탐지 역시 로그인 성공 여부만 확인하는 데서 끝나서는 부족할 수 있다. 평소와 다른 대량 조회나 반복적인 자료 추출을 알아챌 수 있는지 살펴보는 편이 좋다. 이는 이번 사건의 수법을 특정하는 설명이 아니라 일반적인 점검 방향이다. 경보가 발생했을 때 누가 확인하고 어떤 기준으로 접근을 제한할지까지 정해져 있어야 탐지가 대응으로 이어진다.

협박 대응과 이용자 안내를 함께 준비해야

금전을 요구하는 협박이 결합하면 기업은 기술 복구 외에도 여러 판단을 동시에 해야 한다. 이런 상황에 대비해 보안 담당자와 경영진, 개인정보 담당자 사이의 연락 체계를 준비할 필요가 있다. 협박 내용과 접속 기록 등 관련 자료를 보존하고 피해 범위를 확인하는 절차도 중요하다. 요구에 응할지만 고민하다 사실 확인과 대응이 늦어지지 않도록 해야 한다.

개인이 확인할 것은 자신이 이용하는 서비스의 공식 사고 안내다. 안내가 나왔다면 어떤 정보가 영향을 받았는지, 이용자에게 필요한 조치가 무엇인지 구체적으로 읽는 것이 도움이 된다. 유출을 빌미로 도착한 연락은 공식 고객센터 등 별도 경로로 확인하는 편이 좋다. 이번 보도만으로 자신의 정보가 포함됐다고 판단하거나 모든 계정을 해지할 근거는 없다.

전망의 관점에서는 AI 악용 가능성이 커질수록 기업의 설명 능력도 보안 신뢰를 좌우할 수 있다. 어떤 정보를 보관했고 누가 접근할 수 있었는지 파악하지 못하면 피해 안내도 늦어질 수 있기 때문이다. 이용자는 막연한 안전 선언보다 확인된 영향과 후속 조치를 필요로 한다. 데이터 관리와 사고 대응을 함께 점검하는 것이 기업이 지금 할 수 있는 준비다.