[보안칼럼] 인간중심 사이버보안의 몰락

무슨 일이 있었나

올가을 은행, 저축은행, 캐피탈사, 증권사, 가상자산 거래소까지 해킹 사고가 이어졌습니다. 금융당국이 10월 중순까지 확인한 피해 금융회사는 16곳입니다. 같은 공격자가 AI 도구로 대량 자동 공격을 한 흔적도 확인됐습니다.

꼭 알아야 할 숫자

• 침해 사고를 당한 금융회사: 16곳 (10월 중순 기준)
• 1년 전 한 카드사의 정보 유출: 약 300만 명
• 주요 은행이 침입을 알아채기까지: 짧게는 15시간, 길게는 68시간
• 첫 침투 조직이 다음 공격 조직에 접근 권한을 넘기는 데 걸리는 시간: 22초
• 공격자가 내부에서 들키지 않고 머무는 기간: 보통 2주 가까이

왜 사람 중심 보안이 한계에 왔나

피해 회사들은 대부분 보안 인증을 받고 장비도 갖췄습니다. 그래도 사고가 났습니다. 칼럼은 패치와 점검 중심의 방어가 20년 동안 임시방편에 머물렀다고 말합니다. 기술적 약점이 줄면 공격자는 사람이나 구조의 약점을 노립니다. 칼럼은 19세기 청나라가 기술 열세로 무너진 역사를 비유로 들어 이 문제를 설명합니다.

왜 중요한가

AI 덕분에 한 명의 개인도 큰 피해를 낼 수 있게 됐습니다. 칼럼은 같은 AI가 방어에도 쓰일 수 있다고 말합니다. 그래서 질문을 '패치를 다 했나'에서 '이미 들어온 공격자를 찾고 막을 수 있나'로 바꿔야 한다고 강조합니다. 보안 성적도 인증서 개수가 아니라 침입을 알아채고 막기까지 걸린 시간으로 따져야 합니다.

앞으로 지켜볼 점

• 금융당국이 공격자의 신원을 밝힐지
• 금융회사들이 내부 이상 행위를 얼마나 빨리 찾아내는 체계를 만들지
• 보안 투자를 줄인 은행들이 방향을 바꿀지
• 규제가 '무엇을 갖췄나'에서 '얼마나 빨리 대응했나'로 바뀔지