[배종찬의 보안 빅데이터] 빈번한 해킹으로 ‘공유재산’이 되어버린 ‘개인정보’

최근 개인정보 유출 사례의 핵심은 수법의 다양화와 비대면 채널의 취약성
크리덴셜스터핑 및 금융 및 투자 사기 연계형 유출 사례가 급증

[보안뉴스= 배종찬 인사이트케이 연구소장] 디지털 대전환 시대를 살아가는 현대인에게 개인정보는 단순한 식별 수단을 넘어 자산이자 신분 그 자체로 여겨진다. 하지만 최근 연이어 들려오는 대규모 유출 소식들은 우리의 신분 지도가 얼마나 허물어지기 쉬운 모래성인지 여실히 보여준다.

빅데이터 분석 서비스 썸트렌드(SomeTrend)가 지난 6월 20일부터 7월 19일까지 한 달간 개인정보유출을 키워드로 연관어를 분석한 결과는 현재 우리가 마주한 보안 위기의 민낯을 고스란히 투영하고 있다. 이 데이터에 따르면 기업, 서비스, 홈페이지, 금융, 투자, 사기, 가짜, 인증, 채널, 신뢰 등의 단어가 촘촘하게 연결되어 분포한다. 단순한 기술적 해킹 문제를 넘어 유출된 데이터가 일상적인 사기와 범죄로 이어지는 거대한 악순환의 고리를 형성하고 있다.

최근 발생하는 개인정보 유출 사례의 핵심은 수법의 다양화와 비대면 채널의 취약성으로 요약할 수 있다. 과거에는 대기업의 중앙 서버를 해킹해 대규모 데이터베이스를 통째로 탈취하는 방식이 주를 이루었으나, 최근에는 교묘하게 위장된 가짜 홈페이지와 사설 인증 채널을 활용한 스피어 피싱 및 사회공학적 기법이 기승을 부리고 있다.

특히 유명 자산운용사나 금융기관을 사칭한 가짜 모바일 앱이나 채널을 개설하여 투자 정보를 제공하겠다며 접근한 뒤, 이름과 주민등록번호 및 계좌번호를 수집하는 금융 및 투자 사기 연계형 유출 사례가 급증한 것으로 나타났다. 이와 더불어 보안이 상대적으로 취약한 중소형 쇼핑몰이나 알뜰폰 가입 사이트, 혹은 학원 및 교육 서비스 홈페이지 등 생활 밀착형 서비스 사이트들이 타깃이 되어 회원 정보가 탈취되는 사고도 끊이지 않고 발생한다.

해커들은 이미 다른 곳에서 유출된 아이디와 비밀번호 데이터를 무작위로 대입해 정상적인 서비스 사이트에 로그인한 뒤 피해자의 금융 자산이나 포인트를 탈취하는 방식으로 2차 피해를 확산시키고 있다. 기업들이 매년 천문학적인 비용을 보안 시스템 구축에 쏟아붓고 있음에도 불구하고 유출 사고가 멈추지 않는 이유는 공격과 방어 방식의 구조적 비대칭성에서 찾을 수 있다.

수비수 역할을 하는 기업은 수많은 시스템 성벽을 모두 지켜야 하지만, 공격자는 단 하나의 취약점만 찾아내면 목적을 달성할 수 있다. 또한 다크웹 등에서 거래되는 개인정보가 더 이상 파편화된 상태로 존재하지 않고 상업적으로 결합한다는 점도 문제다. 여러 경로에서 유출된 데이터가 고도로 정제되고 결합하면서 특정 개인에 대한 완벽한 프로필이 만들어지게 된다. 정교해진 데이터는 또 다른 기업의 서비스나 인증 절차를 우회하는 마스터키로 사용되므로, 개별 기업이 각자 진행하는 단편적인 방어 노력만으로는 거대한 유출의 흐름을 막기에 역부족이다.

대규모 유출의 반복으로 인해 내 정보는 이미 모두의 정보라는 자조 섞인 목소리가 당연하게 받아들여지는 환경이 조성되었다. 개인정보가 더 이상 개인만의 은밀한 정보가 되지 못하는 사태는 단순한 프라이버시 침해를 넘어 사회적 신뢰를 근본적으로 흔드는 국가적 위기 상태를 초래한다. 가장 먼저 유출된 정보를 기반으로 한 맞춤형 2차 사기가 극도로 고도화된다. 해커가 피해자의 이름, 직장, 최근 관심사, 금융 거래 내역까지 알고 접근한다면 그 어떤 대상을 막론하고 속아 넘어갈 수밖에 없다. 최근 정교해진 딥페이크 기술과 결합하여 지인 사기나 정밀 타깃형 보이스피싱으로 이어지며 사회적 전반의 불신을 키운다.

빅데이터 연관어가 경고하듯 피해자가 양산되고 사기 수법이 일상 속으로 고도화되는 지금, 정부와 기업은 방어선의 패러다임을 완전히 바꾸어야 한다. 데이터가 흐르는 모든 통로를 의심하고 철저히 통제할 때 비로소 우리는 진정한 의미의 디지털 영토와 개인의 안전을 지켜낼 수 있을 것이다.

글_ 배종찬 인사이트케이 연구소장

연세대 정치외교학과를 졸업하고 서울대 국제대학원에서 석사 학위를 받았다. 고려대 행정학과 박사과정을 수료했다. 이 외에 미국, 일본, 홍콩 등에서 연구 경험을 가지고 있다. 주된 관심은 정치 시사와 경제정책인데 특히 대통령 지지율과 국정 리더십, 글로벌 경제 분석 그리고 AI 인공지능 및 블록체인 보안 이슈다. 한국교육개발원·국가경영전략연구원·한길리서치에서 근무하고 리서치앤리서치 본부장을 거친 데이터 분석 전문가다. 현재 인사이트케이 연구소장을 맡아 심층 리서치뿐 아니라 빅데이터·유튜브까지 업무영역을 확대하고 있다.

[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다