피싱·정보유출·AI 추론까지 보안 위협 확산

국가정보원과 경찰청, 한국인터넷진흥원, 금융보안원, 민관 합동분석협의체는 지난 30일 국가배후 해킹조직에 대비한 공동 권고문을 냈다. 공격자는 채용 제안·이력서·기부 문의로 위장한 메일에 블로그나 깃허브, 해킹된 정상 사이트 링크를 넣고 있다. 언론사·병원·소규모 웹사이트에 악성 스크립트를 숨기는 워터링홀 공격도 확인됐다. 감염 시 브라우저 계정과 비밀번호, 문서·사진·메신저 대화가 유출되고 내부망으로 피해가 번질 수 있다.

중소벤처기업부의 ‘모두의 창업’에서는 지난 6월 합격자 5000명의 이메일 주소와 심사평, 200자 이내 창업 아이디어 요약이 유출됐다. 홍보용 프로필 API에 비공개 정보와 이를 복호화할 암호화 키가 함께 노출됐고, 외부 세력이 웹 크롤링으로 정보를 수집했다. 해당 API에는 국내 IP 39개가 접근을 시도했다. 중기부는 1000여 명에게 영업비밀 원본 증명과 아이디어 임치를 무상 지원하고 API 정보 최소화, 로그 기록, 크롤링 차단과 신규 암호화 솔루션 도입에 착수했다.

개인정보보호위원회는 지난 29일 KT 개인정보 유출 사고에 과징금 539억7900만원을 의결했다. 공격자는 유실된 펨토셀 인증서를 자체 제작 장비에 심어 KT 내부망에 접속했고, 1만6647명의 휴대전화번호·IMSI·IMEI를 빼냈다. 368명은 약 2억4000만원의 무단 소액결제 피해를 입었다. 인증서 유효기간이 10년이었고 접속 IP와 셀 ID 통제가 미흡해 2024년 10월부터 2025년 9월까지 침입이 탐지되지 않았다. 감염 서버 미신고와 일부 로그 삭제 정황도 확인됐다.

AI 확산에 맞춘 보안 대응도 본격화하고 있다. S2W는 다크웹·텔레그램·해킹 포럼에서 수집한 LLM 공격 기법과 ‘OWASP Top 10 for LLM’을 활용해 모델·프롬프트·데이터·에이전트별 취약점을 진단하며, 국내 대형 금융사 사업을 수주했다. 가트너는 2029년까지 개인정보 침해의 중심이 직접적인 데이터 유출에서 AI가 건강 상태와 행동 패턴 등을 만들어내는 추론 위험으로 이동할 것으로 전망했다. 대응책으로 프라이버시 중심 설계, 차등 프라이버시와 합성 데이터, 수집 최소화, 간접 악용 탐지, 사람의 검증을 제시했다.