알림 한 통에 벌어지는 일상의 보안 붕괴
최근 스마트폰 알림을 받고 웃는 사람이 많지 않습니다. 과거엔 대형 통신사나 금융권이 주요 타깃이었던 개인정보 유출이 이제 OTT, 의료, 미용, 전자결제 등 일상 속 모든 서비스로 번지고 있기 때문인데요. 특히 티빙에서 발생한 약 3,954만 개의 계정 정보 유출은 국내 OTT 역사상 최대 규모로 기록되었고, 쿠팡의 3,000만 건 이상 계정 정보 유출, 힐링페이퍼의 22만 명 상담 및 시술 정보 유출까지 잇따라 발생했습니다.
유출되는 정보의 성격도 예전과 다릅니다. 단순한 이름이나 연락처를 넘어 카드번호와 승인번호, 나아가 미용 상담 내용과 시술 이력 같은 민감한 정보까지 노출되고 있죠. 이렇게 구체적인 개인 정보가 흘러들어가면 공격자는 신뢰도 높은 스미싱이나 피싱을 만들어 2차 범죄에 활용할 수 있습니다. 사실 이용자 입장에서는 어느 서비스가 안전한지 판단하기가 점점 어려워지고 있습니다.
공격의 문은 어떻게 열렸나
이런 사고가 잇따르는 데는 기술 환경의 변화가 큰 몫을 합니다. 클라우드 전환과 API 확대로 인해 해커가 노릴 수 있는 접점이 폭발적으로 늘어났고, 외부 협력사와 연결된 공급망까지 공격 대상이 되었기 때문인데요. 여기에 생성형 AI가 확산되면서 기술 수준이 낮은 공격자들도 정교한 침입을 시도할 수 있게 되었습니다.
과학기술정보통신부는 티빙 사고의 핵심 원인으로 접속키 관리 부실을 지목했습니다. 기본적인 보안 관리 소홀이 결국 역대 최대 규모의 피해로 이어진 셈이죠. 기업들이 ISMS-P 인증 취득에 그치는 형식적 대응에 안주하고 있다는 지적이 나오는 이유입니다. 반대로 일부 기업은 AI를 활용해 개발 단계부터 취약점을 찾는 선제적 방어에 나서고 있지만, 아직은 예외에 가까운 수준입니다.
대응은 이제 선제적이어야 합니다
사고가 난 뒤 보상하고 재발 방지를 약속하는 방식으로는 더 이상 소비자의 불신을 지우기 어렵습니다. 기업은 외부 협력사까지 포함한 공급망 전체의 보안성을 점검하고, AI 기반 방어 체계를 구축해 개발 단계부터 문제를 찾아내야 합니다. 특히 전문 인력을 확보해 보안 정책을 지속적으로 업데이트하는 노력이 필수적이죠.
이용자 역시 방심할 수 없는 상황입니다. 이름이나 이용 서비스를 정확히 아는 메시지라도 출처를 반드시 확인해야 하며, 백신과 방화벽 같은 기본 수칙은 물론 서비스별 다른 비밀번호와 다단계 인증을 설정하는 습관이 필요합니다. 당연히 개인정보 유출이 반복되는 환경에서는 아무도 안전지대에 있지 않다는 인식부터 가져야 할 것입니다.