[이코노미스트 원태영 기자] 생성형 인공지능(AI) 기술이 급격히 고도화되면서 사이버 보안 전선이 송두리째 흔들리고 있다. 해커들이 악의적으로 개조된 AI를 무기 삼아 공격 비용을 크게 낮추고 공격 주기를 분·초 단위로 단축하는 동안, 방어의 최전선에 선 기업들은 사후 징벌적 과징금과 경직된 보안 인증 규제라는 이중고에 짓눌려 있다. AI 활용 해킹이 국가 기간망과 금융권을 위협하는 비상 상황에서 정부 정책이 실질적인 방어 역량 강화가 아닌 ‘처벌과 서류 점검’에 머물러 있다는 지적이 나온다.

철옹성 시중은행마저 비상

사이버 범죄 생태계의 판도를 바꾼 것은 생성형 AI의 등장이다. 다크웹에서는 보안 필터링이 제거된 공격 전용 대규모 언어모델(LLM)인 ‘웜GPT’(WormGPT)와 ‘사기GPT’(FraudGPT) 등이 월 수십달러 수준의 구독형 서비스로 거래되고 있다. 고도의 코딩 능력이 없는 비전문가도 자연어 프롬프트 몇 줄로 악성코드를 제작하고 타깃 맞춤형 공격을 설계할 수 있는 시대가 열렸다.

가장 치명적인 변화는 공격의 정교화와 속도다. 과거 해커 조직이 특정 기업 임직원을 속이기 위해 수주에 걸쳐 조직도와 업무 메일 패턴을 분석하던 ‘스피어 피싱’(표적형 피싱)은 이제 AI가 수초 만에 수만 건씩 자동으로 생성해 낸다. 실제 ▲기업의 공문 양식 ▲내부 결재 서식 ▲실무자의 어투까지 완벽하게 모사해 기존 스팸 차단 필터를 무력화한다.

AI 기반 공격의 위력은 이미 국내 최고 수준의 방어 체계를 갖춘 금융권에서도 감지되고 있다. 최근 주요 시중은행들은 비인가 외부 IP로부터 AI 봇을 활용한 대규모 크리덴셜 스터핑(Credential Stuffing·탈취된 계정 정보를 무차별 대입하는 기법) 및 API 취약점 탐색 징후를 연이어 포착하고 긴급 대응에 나섰다.

금융위원회·금융감독원은 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 점검 결과를 발표했다. 이에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사다. 성명, 연락처, 주민등록번호, 이메일 주소 등 현재까지 확인된 금융사 정보 유출 규모는 약 10만건이다.

당국은 “현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인 중”이라며 “사고 발생 금융사 수는 이보다 더 확대될 수 있다”고 밝혔다.

문제는 방어 인력의 한계다. 보안관제센터(SOC)에 하루 수십만 건씩 쏟아지는 경보 중 AI가 생성한 지능형 위협 패킷을 정밀 식별해 내는 작업은 극심한 피로를 유발하는 것으로 알려졌다.

머신러닝 기반 보안 솔루션이 도입되고는 있으나 오탐을 걸러내고 차단 정책을 확정하는 최종 단계는 여전히 인간의 몫이다. 24시간 교대 근무와 만성적인 인력난 속에 공격의 진화 속도를 방어 인력의 인지 속도가 따라가지 못하는 병목 현상이 발생하고 있다.

‘털린 기업엔 과징금 폭탄’…능동적 방어 막는 처벌의 역설

공격자의 무기는 재래식 소총에서 극초음속 미사일로 진화했지만, 정부의 대응 기조는 여전히 ‘사후 징벌적 과징금’에 머물러 있다는 지적이 나온다.

개인정보보호위원회는 개인정보 유출 사고에 대한 기업의 책임을 대폭 묻기 위해 과징금 산정 기준을 ‘위반 관련 매출액’에서 ‘기업 전체 매출액의 최대 3%’로 확대한 데 이어, 최근에는 징벌적 성격의 과징금 특례까지 도입하며 법 제도를 한층 강화했다. 

특히 고의나 중과실로 3년 내 위반을 반복하거나 1000만명 이상의 대규모 유출 피해를 일으킨 경우, 전체 매출액의 최대 10%까지 과징금을 가중 부과할 수 있도록 상한선을 대폭 끌어올렸다.

규제 수위가 글로벌 최고 수준으로 높아지면서, 보안 방어선이 뚫려 유출 사고를 낸 기업들은 단순한 이미지 실추를 넘어 기업의 존폐를 위협할 만한 천문학적인 과징금 리스크를 마주하게 됐다.

산업계에서는 이러한 사후 규제 일변도의 정책이 오히려 기업의 보안 체질을 약화시킨다고 입을 모은다. 고도의 국가 배후 해킹 조직이나 최첨단 AI 공격 도구를 동원한 침투는 현존하는 어떤 글로벌 솔루션으로도 100% 원천 차단을 확신하기 어렵다. 그럼에도 침해 사고가 발생하면 피해 기업을 잠재적 범죄자로 간주해 징벌적 과징금부터 부과하는 구조가 고착화됐다는 지적이다.

재계 관계자는 “은행에 무장 강도가 침입해 금고가 털렸는데 수사당국이 범인을 쫓는 대신 ‘문단속을 완벽히 하지 않았다’며 은행에 영업이익을 몰수하는 수준의 벌금을 물리는 것과 다르지 않다”며 “결과 책임만을 묻는 징벌적 정책은 사고 발생 시 신속한 신고와 정보 공유를 위축시키고 기업이 어떻게든 사고를 내부적으로 은폐하려는 유인만 키울 뿐”이라고 밝혔다.

채찍만 휘두르는 정부, 세액공제 등 당근도 필요

사후 처벌 공포에 기업의 보안 투자는 실질적 위협 방어가 아닌 ‘면피용 규제 준수’로 왜곡되고 있다는 지적이 나온다. 과징금 감경을 받기 위해 대형 로펌의 법률 자문료와 서류 작성 용역비에 큰 비용을 쓰면서도, 정작 신종 위협을 실시간 탐지하는 차세대 보안 솔루션 도입 예산은 뒤로 밀리는 기현상이 벌어지고 있다는 것이다.

실제로 김재섭 국민의힘 의원이 금융감독원에서 받은 ‘금융권 정보보호 예산 및 인력 현황’에 따르면 지난해 ▲국민 ▲신한 ▲하나 ▲우리 ▲농협 등 5대 은행이 정보보호에 쓴 돈은 2144억원으로 조사됐다. 2024년(2197억원)보다 2.4% 감소한 규모다.

같은 기간 5대 은행 당기순이익(연결기준)은 15조1500억원에서 15조8049억원으로 늘었지만 정보보호 투자액은 줄어든 것이다. 순이익 대비 정보보호 투자액 비율은 계속 하락하고 있다. 2021년 1.51%이던 이 비율은 2024년 1.45%로 떨어진 뒤 지난해 1.36%로 내려간 것으로 나타났다.

전문가들은 정책의 중심축을 ‘사후 처벌’에서 ‘선제적 예방 및 투자 유인’으로 전면 전환해야 한다고 강조한다. 기업이 과징금을 방어하기 위한 서류 작업에서 벗어나, 자체적인 AI 방패를 두를 수 있도록 정책적 지원책이 뒷받침돼야 한다는 것이다.

산업계가 꼽는 최우선 과제는 세액공제 확대다. ▲차세대 AI 보안 인프라 구축 ▲확장탐지 및 대응 ▲보안 오케스트레이션·자동화(SOAR) 기술 도입 및 인력 채용 비용 등을 세액공제 대상에 포함해야 한다는 요구다. 기업 최고경영진과 이사회가 보안을 단순 비용이 아닌 기업 경쟁력을 지키는 자산으로 인식하도록 제도적 유인을 제공해야 한다는 취지다.

이와 관련해 지난해 국회 과학기술정보방송통신위원회 소속 이해민 조국혁신당 의원은 ‘조세특례제한법 일부개정안’(이하 정보보호 세액공제법)을 대표 발의하기도 했다. 정보보호 세액공제법은 기업이 ▲정보보호 시스템 설비 투자 ▲보안 컨설팅 및 보험 가입 ▲정보보호 전문인력을 채용하는 경우 소득세 또는 법인세를 감면해주는 내용을 담고 있다. 

개정안에 따르면 중소기업은 정보보호 인력을 신규 채용하는 경우 1인당 최대 1000만원까지 세액공제를 받을 수 있으며, 보안 설비 투자에 대해서는 최대 25% 까지 공제 혜택이 주어진다. 중견기업과 대기업도 혜택을 받을 수 있다. 중소에서 중견으로 전환된 지 3년 이내인 기업은 20%, 기존 중견기업 및 대기업은 15%가 적용된다. 개정안은 정보보호 투자를 강제하는 것이 아닌 인센티브를 통해 자발적인 투자를 유도하고자 했다. 하지만 현재 국회에서 계류 중이다. 

위정현 중앙대 경영학과 교수는 정부의 징벌적 과징금 방침에 대해 “정부 기관조차 해킹에 뚫리는 현실에서 피해 기업에 매출 10% 규모의 과징금을 물리는 것은 근본적인 해결책이 될 수 없다”고 비판했다.

위 교수는 “생성형 AI를 악용한 해외 해커들의 공격 기법이 급속도로 고도화되는 반면, 국내 기업들의 IT 보안 인프라와 방어 역량은 이를 따라가지 못하고 있다”며 “기업들이 고의로 손을 놓은 것이 아닌 만큼 대비할 시간을 주고, 해킹 방지 연구개발(R&D) 투자에 대한 세액공제 등 세제 혜택을 지원해 자발적인 보안 투자를 유도해야 한다”고 강조했다.

이원태 국민대 특임교수는 “AI 시대에 완벽한 방어가 어렵다는 점은 이해하지만 ‘과도한 과징금’에만 논의가 집중되면 고객정보 보호에 대한 기업의 책임과 예방투자 유인이 약해질 수 있다”며 “완벽한 방어의 한계와 합리적 보안조치 이행 여부는 구분해야 하며, 실제 예방 노력과 관리 소홀, 사고 후 대응을 살펴 개별 과징금의 적정성을 판단해야 한다”고 짚었다.

이어 “정부는 통제된 AI 보안 점검, 화이트해커의 취약점 신고·조치, 기업 간 위협정보 공유 및 중소기업의 진단·수정 연계 지원을 강화해야 한다”면서 “기업 역시 형식적인 점검 여부나 보고서 양에 매몰되지 말고, 현장 인력에 권한과 자원을 부여해 실제 약점을 고치고 핵심 서비스 복구 시간을 단축하는 데 집중해야 한다”고 덧붙였다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지