AI 악용 해킹 예방, 안 쓰는 계정 정리와 2단계 인증부터

AI 해킹 경고를 계정 관리의 문제로 읽기

최근 보도에 따르면 개인정보보호위원회는 AI를 악용한 해킹과 이에 따른 2차 피해에 주의를 당부했다. 개인에게는 사용하지 않는 계정 정리와 2단계 인증, 비밀번호 변경을 강조했고, 기업에도 정보보호 수칙 강화를 주문했다. 이번 당부에서 주목할 점은 새로운 기술의 위험과 함께 익숙한 보안 조치가 제시됐다는 사실이다. 독자가 당장 살펴볼 대상도 자신이 가진 계정이다.

보안 관점에서 보면 AI는 공격자가 속이는 문장을 만들거나 반복 작업을 수행하는 데 활용될 수 있다. 다만 이를 모든 해킹이 새로운 방식으로 바뀌었다는 뜻으로 받아들일 필요는 없다. 일반적으로 계정 탈취에는 비밀번호 재사용, 허술한 복구 절차, 방치된 접근 권한 같은 틈도 작용한다. 이번 예방 수칙은 이런 기본적인 빈틈부터 줄이라는 주문으로 해석할 수 있다.

오래된 계정은 삭제 전 연결 관계부터

개인에게 필요한 첫 단계는 자주 쓰는 서비스만 살피는 습관에서 벗어나는 일이다. 오래전에 가입한 쇼핑몰이나 커뮤니티에도 연락처와 이용 기록이 남아 있을 수 있다. 이메일의 가입 안내와 비밀번호 관리 도구를 확인하면 잊은 계정을 찾는 데 도움이 된다. 다만 계정을 없애기 전에는 보관할 자료와 남은 결제, 다른 서비스의 로그인에 연결돼 있는지부터 살펴보는 편이 좋다.

계속 사용할 계정에는 서로 다른 비밀번호를 설정하고 2단계 인증을 켜는 것이 기본이다. 특히 이메일은 다른 계정의 비밀번호를 재설정하는 통로가 될 수 있어 먼저 점검할 가치가 크다. 분석적으로 보면 계정의 중요도는 사용 빈도보다 다른 서비스에 미치는 영향으로 판단하는 편이 합리적이다. 인증 수단을 잃었을 때를 대비해 복구 방법과 복구 정보의 보관 상태도 함께 확인해야 한다.

기업은 계정 주인과 권한의 수명을 확인해야

기업에서는 직원 개인의 주의만 강조해서는 계정 관리의 빈틈을 줄이기 어렵다. 일반적인 점검 대상으로는 퇴사자 계정, 업무가 끝난 협력사의 접근 권한, 여러 사람이 함께 쓰는 관리자 계정이 있다. 누가 책임지는 계정인지, 어떤 자료에 접근할 수 있는지, 언제 권한을 거둘지 확인하는 절차가 필요하다. 사용하지 않는 계정을 정리하라는 원칙은 조직에도 같은 질문을 던진다.

2단계 인증 역시 도입 여부만으로 관리 수준을 판단하기는 어렵다. 중요한 계정에 실제로 적용됐는지, 예외로 남은 사용자는 없는지 살펴야 한다. 비밀번호를 바꿔도 기존 접속이나 연동 권한이 유지되는지는 서비스마다 다를 수 있다. 따라서 의심스러운 접근을 발견했을 때 접속을 종료하고 권한을 회수하는 절차까지 확인하는 것이 실무적으로 유용하다. 담당자와 연락 경로도 정해 둘 필요가 있다.

2차 피해에 대비하는 생활 속 확인 절차

2차 피해에 대한 경고는 정보가 새어 나간 뒤의 대응까지 생각하게 한다. 일반적으로 유출된 개인정보는 지인이나 기관을 사칭하는 연락의 재료가 될 수 있다. 이름과 이용 서비스가 정확하다는 이유만으로 메시지를 신뢰해서는 곤란하다. 인증번호나 송금을 요구받았다면 메시지 속 링크 대신 평소 이용하던 앱이나 직접 확인한 연락처로 사실을 확인하는 습관이 도움이 된다.

앞으로 AI가 공격 준비를 더 쉽게 만들 가능성은 있지만, 예방의 출발점까지 복잡해질 필요는 없다. 개인은 중요한 계정의 인증과 복구 설정을 확인하고, 기업은 남아 있는 계정과 권한의 책임자를 점검할 수 있다. 분석적으로 이번 당부의 실용적 의미는 보안을 한 번의 비밀번호 변경으로 끝내지 않는 데 있다. 가입과 이용, 권한 변경과 탈퇴까지 관리하는 습관이 예방의 바탕이 된다.