한 달에 40여 곳, 업종도 규모도 가리지 않았다
직장인 김모 씨는 건설사와 꽃 배달업체에서 잇달아 개인정보 침해 안내를 받았습니다. GS건설 아파트 커뮤니티 예약관리시스템이 뚫려 거주민 이메일과 주소, 회원번호, 거주 유형, 세대주 여부까지 새어 나갔고, 꽃 배달업체에서는 배송지 주소와 휴대전화 번호가 유출됐습니다.
10월 한 달 동안 유출 신고를 한 기업과 기관은 최소 40여 곳으로 집계됩니다. 커피전문점과 건설사, 중소 배달업체까지 규모와 업종을 가리지 않았습니다. 할리스는 클라우드 기반 멤버십 시스템이 뚫리면서 가입자 정보 276만 건이 유출됐다고 신고했습니다.
위탁 서버의 빈틈을 노렸다
공통점은 외부 침입자가 서비스 플랫폼과 연계된 서버나 위탁업체 시스템의 취약점을 찾아 반복적으로 공격했다는 점입니다. 자체 보안이 탄탄해도 협력사 쪽 문이 열려 있으면 소용이 없습니다. 경계가 무너진 곳은 대부분 관리 소홀이 아니라 구조적 사각지대였습니다.
속도도 문제입니다. AI를 활용하면 취약점 탐색과 자동화 공격이 훨씬 빨라집니다. 바이낸스 해킹 사고에서 20분 만에 8조 원대 피해가 발생한 사례는 탐지 속도가 곧 피해 규모를 좌우한다는 점을 보여줍니다.
쪼개고, 확인하고, 실시간으로 본다
전문가들이 공통적으로 꼽는 첫 단계는 개인정보 암호화와 비식별화 점검입니다. 여기에 관리자 계정 탈취를 막기 위한 접근 권한 분산과 범위 통제, 지문 등 다중 인증 체계가 뒤따라야 합니다.
가상자산 거래소도 예외가 아닙니다. 블록체인 자체는 안전해도 거래소가 별도 시스템을 운영하는 만큼 직원 계정 탈취나 서버 취약점을 통한 서명 기능 호출 경로가 공격 대상이 됩니다. 지난해 업비트에서 핫월렛을 거쳐 가상자산이 탈취된 사건이 대표적입니다.
임종인 고려대 정보보호대학원 명예교수는 정부가 6개월 내 개발 가능한 한국형 보안 플랫폼을 보급할 필요가 있다고 제안했습니다. 결국 관건은 사고가 난 뒤의 대응이 아니라, 이상 징후를 실시간으로 잡아내는 체계를 갖추는 데 있습니다.