금융사 37곳서 40건 침해…유출 51만건
AI로 해킹 진입장벽 낮아져 보안망 흔들
할인·무료 혜택에 개인정보 쉽게 제공
주요국 중 거부율 최저…2차 피해 우려
유출 책임 기업에…"개인 책임" 20% 불과
AI로 해킹 진입장벽 낮아져 보안망 흔들
할인·무료 혜택에 개인정보 쉽게 제공
주요국 중 거부율 최저…2차 피해 우려
유출 책임 기업에…"개인 책임" 20% 불과
|
이처럼 피해 규모가 갈수록 커지는 배경에는 개인정보 취급과 관련해 금융소비자들의 안일한 태도도 영향을 미친 것으로 분석됐다. 할인이나 무료 혜택을 받기 위해서 개인정보를 제공할 수 있다는 인식이 주요국 중에선 가장 높게 나타나고 있기 때문이다.
11일 아시아투데이가 창간 21주년을 맞아 국제사회조사프로그램(ISSP)의 '디지털 사회' 자료를 분석한 결과에 따르면 '할인이나 무료 상품을 받기 위해 개인정보를 제공할 것'이라는 질문에 반대 응답한 비율이 50.7%에 그치는 것으로 나타났다.
성균관대 서베이리서치센터의 한국종합사회조사(KGSS)가 참여한 이번 조사는 한국과 일본·대만·미국·캐나다·독일·프랑스·핀란드·이스라엘 등 9개국을 비교했다. 한국 조사는 지난해 4~6월 1211명을 대상으로 면접 방식으로 진행했다.
조사 결과는 9개국 중 가장 낮은 수치로, 일본(78.6%)과 대만(79.7%), 프랑스(79.3%) 등과는 30%포인트 가량 벌어져 있었다. 즉, 한국 소비자들이 개인정보 제공에 대한 문턱이 가장 낮다는 의미다.
반면 개인정보 유출 책임과 관련해서는 '이용자 스스로도 책임이 있다'고 한 답변은 20.4%에 불과해 조사국 중 가장 낮았다. 개인정보 보호에 가장 큰 책임은 '온라인 기업에 있다'고 대답한 답변은 50.9%로, 일본(57.8%)에 이어 조사국 중 두 번째로 높았다.
개인정보 유출이 발생할 경우 이에 대한 책임은 기업에게 묻는 대신, 기업이 제공하는 할인 등의 혜택 앞에서는 정보 제공에 대해 상대적으로 열려있는 이중적인 태도를 보이고 있다고 전문가들은 진단했다.
여기에는 반복된 대형 유출 피해 경험이 깔려 있다고 봤다. 2025년 SK텔레콤에서 가입자 2324만여명의 유심정보 등이 유출돼, 개인정보보호위원회가 같은 해 8월 역대 최대 규모인 1348억원의 과징금을 부과했다. 같은해 11월에는 쿠팡에서 약 3755만명의 이름과 이메일, 전화번호, 배송지 주소 등 개인정보가 노출됐고, 이에 개인정보보호위원회는 올해 6월 6246억원의 과징금을 부과했다. 역대 최대 규모다. 전문가들은 개인이 아무리 조심해도 정보 유출을 막을 수 없다는 경험이 쌓이면서 책임을 기업에 돌리는 한편, 이미 유출된 정보에 대해서는 충분한 보상이라도 받자는 심리가 이용자들에게 작용했을 것이라고 분석했다.
이번 금융권 해킹 사고는 지금까지의 대규모 개인정보 유출 사태보다 더욱 심각하다는 지적이 나온다. 해킹 범죄에 AI가 악용되면서 기존 금융사들의 보안 체계가 뿌리부터 흔들리고 있기 때문이다. 지난 9월 30일 이후 이달 초까지 은행 4곳과 금융투자회사 5곳, 보험사 3곳, 저축은행 5곳 등 모두 37개 금융사에서 40건의 침해사고가 발생했고, 정보 유출 규모는 47만3000여건 수준이었다.
여기에 지난 7일에는 미래에셋증권에서도 해킹에 따른 추가 개인정보 유출 사고가 드러나면서 피해규모는 단순 합산 기준으로 51만2000여건까지 확대됐다. 금융사뿐만 아니라 전자금융업체와 온라인투자연계금융업체 등에서도 침해사고가 확인되고 있고, 일부 기업에서는 회사가 관리하는 자금까지 탈취되는 사고도 발생했다. 자금 탈취 규모는 약 10억원 수준이고, 개별 이용자의 자금손실은 아직 현실화되지 않은 것으로 파악되고 있다.
앞으로 AI를 악용한 추가 해킹 공격과 개인정보 침해사고, 이에 따른 이용자의 자금 손실 사고 등으로 이어질 수 있다는 우려가 커지고 있다.
금융당국은 "이번 해킹 공격의 양상이 보안관리가 철저한 핵심 시스템이 아니라, 영업과 상담 등 내부직원이 사용하는 웹·모바일 서비스의 외부접점 등 인력의 한계로 관리가 소홀한 부분을 집중 공략했다"면서 "금융보안원이 매일 10만~15만건의 전 금융권 대상 침해공격 의심 트래픽을 탐지 및 대응하는 등 광범위한 공격시도가 발생하고 있고, 고위험 취약점 발견도 증가하고 있다"고 밝혔다.
이번 개인정보 유출 사태가 앞서 나타났던 개인정보 유출 사고보다 심각한 이유는 AI를 악용하면서 해킹의 진입장벽을 낮추고 공격의 속도와 범위를 확대하면서 금융사들의 기존 보안체계가 흔들리고 있기 때문이다.
기존 해킹은 해커가 직접 금융회사 시스템 취약점을 찾아내고 공격방법을 설계해야 하지만, AI 에이전트는 취약점 탐색과 공격 경로 분석, 침투 시도까지 여러 작업을 자동화하면서 해킹에 필요한 전문성과 시간이 크게 줄었다. 고도의 해킹 능력을 갖춘 해커가 아니더라도 AI를 이용해 금융사를 침투할 수 있다는 얘기다.
더욱이 해킹에 대비한 방어 체계를 구축하는 속도가 더 늦다는 점도 우려되는 대목이다. 금융사는 취약점을 발견하면 보안 담당자가 이를 분석하고 적용해 대응체계를 강화하는데, AI 해킹은 여러 취약점을 동시에 탐색하고 공격도 자동화할 수 있어 금융사들의 보안 공백이 발생할 수 있다는 지적이다. 게다가 AI로 인한 금융범죄는 갈수록 지능화·정교화되면서 기존 이상거래탐지 체계만으로는 신속한 탐지와 차단이 역부족인 상황이다.
특히 이렇게 유출된 개인정보가 2차 피해로 이어질 수 있는 가능성도 높다. 다크웹이나 텔레그램 등 추적이 어려운 음성적 유통경로를 통해 유출정보가 거래되면서 보이스피싱이나 신종피싱 등 여러 금융범죄에 악용될 수 있기 때문이다.
예를 들어 해커가 이용자의 이름과 연락처, 주민번호 및 계좌 관련 정보를 획득했다고 가정하면 △은행 직원을 사칭한 보이스피싱 △실제 거래나 대출 상황을 언급하는 맞춤형 스미싱 △금융사 임직원 정보를 활용한 내부직원 사칭 △금융회사 고객센터를 사칭한 본인인증 유도와 같은 범죄 가능성이 높아진다. 과거의 무작위 문자 발송과 같은 허점이 많은 피싱과 달리 실제 금융사나 내부 직원으로 착각하게 하는 맞춤형 금융사기가 벌어질 수 있다는 얘기다.
