[강남視角] 50달러 해킹에 흔들리는 보안
해커 한 명이 인공지능(AI) 에이전트를 앞세워 100곳이 넘는 기업 웹사이트를 뚫었다. 미국·캐나다·일본 등의 전자상거래 사이트 1200여곳이 공격 대상이었다. 해커가 중국어로 입력한 지시문은 100자도 채 되지 않았다. 취약점을 찾아 침입하는 작업은 대부분 AI가 맡았다. 침입에 성공한 건당 AI 사용 비용은 약 50달러. 전체로 따져봐도 5000달러, 우리 돈 660만원 정도에 불과했다.
중남미 금융기관 400곳 이상을 노린 공격에서는 AI가 분업까지 했다. 그록이 정보를 수집하고, 클로드가 공격 방법을 찾았다. 특정 모델이 요청을 거부하면 다른 모델로 넘겼다. AI 하나가 아니라 여러 AI를 조합해 공격에 나선 것이다.
해킹이 언제부터 이렇게 값싸졌을까. 과거에도 자동화된 공격은 있었지만, 전문인력과 시간이 필요한 만큼 표적을 고르는 데도 계산이 따랐다. 돈이 될 만한 대형 기업이나 플랫폼이 우선이었다. 그런데 AI가 공격에 드는 수고를 덜어주면서 셈법이 달라지고 있다. 굳이 큰 기업이 아니어도 된다. 작은 쇼핑몰이나 병원, 제조업체도 손쉬운 표적이 될 수 있다. 수백, 수천곳을 훑다가 허술한 곳을 골라내면 그만이다.
우리 기업들의 처지는 어떨까. 최근 몇 년간 금융과 통신, 플랫폼, 유통, 게임 등 산업 전 분야는 물론이고 공공기관까지 해킹 사고가 잇따랐다. 안 털린 곳이 없다는 자조적인 한탄까지 나올 정도로 해킹은 그야말로 일상화됐다.
사고가 터지면 어김없이 보안투자 확대 약속이 따랐다. 인력을 늘리고 최신 장비를 도입하며 시스템의 전수 점검을 약속했다. 틀린 처방은 아니다. 다만 그런다고 안전해졌다고 자신할 수 없다는 점이 문제다.
기업의 전산망은 갈수록 복잡해진다. 오래된 서버와 클라우드, 직원 계정에 협력업체의 접속 경로까지 얽혀 있다. 업무를 대신하는 AI 에이전트도 그 안으로 들어오고 있다. 수많은 접속 경로 가운데 하나만 허술해도 사고는 터진다. 공격자는 허점 하나를 찾으면 되지만 기업은 그 많은 곳을 지켜야 한다. 아무리 보안예산을 늘려도 안심하기 어려운 이유다.
완벽하게 막기 어렵다면 기업이 할 일은 무엇일까. 계정 하나가 뚫렸다고 고객정보 전체가 노출되고, 서버 한 대가 공격받았다고 회사 업무가 마비돼서는 곤란하다. 접근권한을 나누고 피해가 다른 시스템으로 번지지 않도록 막아야 한다. 침해를 빨리 알아채고 핵심 서비스를 복구하는 능력도 필요하다. 보안업계가 말하는 '사이버 회복탄력성'이다.
문제는 공격 속도다. AI가 밤낮없이 취약점을 찾는데 사람이 일일이 접속 기록을 뒤져 대응하기는 어렵다. 방어에도 AI를 쓸 수밖에 없다. 그런데 여기서 묘한 상황이 이어진다. 공격을 막으려고 들인 AI도 믿고 맡길 수만은 없다는 것이다. AI를 막기 위해 AI를 쓰고, 그 AI마저 감시해야 하는 시대가 와버린 셈이다. 결국 어디까지 권한을 줄 것인지, 어떤 행동에는 사람의 승인을 받도록 할 것인지 정하는 일이 중요해졌다.
이제 사이버 공격은 기업이 운 나쁘게 당하는 돌발 사고가 아니라 언제든 맞닥뜨릴 수 있는 경영 위험이 됐다. 보안에 막대한 돈을 쏟아붓고도 사고가 반복되는 현실을 생각하면 더 많은 투자가 능사는 아닐 것이다. 어떤 위험을 우선 막아야 하고, 어디까지 통제할 수 있으며, 무엇을 반드시 지켜야 하는지부터 따져야 한다.
해커에게 50달러는 수많은 공격을 시도하는 데 드는 작은 비용일 뿐이다. 하지만 기업에는 단 한 번의 침입이 막대한 손실로 돌아올 수 있다. 공격자는 실패하면 다른 표적을 찾으면 그만이지만, 기업은 한 번의 실패로 고객의 신뢰와 사업 기반을 잃을 수도 있다. 공격의 문턱은 낮아졌지만 실패의 대가는 결코 가벼워지지 않았다. 이것이 AI 시대 기업들이 마주한 새로운 보안의 현실이다.
