[보안칼럼] 인간중심 사이버보안의 몰락
올가을 국내 금융권에서 은행, 저축은행, 캐피탈사, 증권사, 가상자산 거래소까지 침해 사고가 계속 일어났다. 금융당국이 10월 중순까지 파악한 침해 금융회사는 16곳이다. 1년 전에는 한 카드사에서 약 300만 명의 정보가 새어 나갔다. 피해를 본 회사들은 대부분 보안 인증을 받았고, 장비를 갖췄으며, 정기적으로 점검도 받았다. 사고가 많아진 이유는 누군가 게을러서가 아니다. 사람이 직접 막는 보안 체계가 한계에 부딪혔다. 이 체계를 무너뜨린 쪽은 국가 해킹 부대나 큰 범죄 조직이 아니다. AI를 사용하는 누구나 가능한 일이다. 한 척의 증기선, 무너진 제국 1841년 1월, 광저우로 들어가는 주강 입구에서 영국 철제 증기선 네메시스호가 청나라 정크선 15척과 싸웠다. 네메시스호는 660톤에 대포 여섯 문을 실었고, 바람이나 물때를 기다리지 않고 원하는 때 원하는 방향으로 움직였다. 배 밑이 얕아 범선이 들어갈 수 없는 강도 거슬러 올라갔다. 그날 청나라 수군은 정크선 11척을 잃었고, 중국인들은 이 배를 '악마의 배'라고 불렀다. 청나라 군대가 게을러서 진 것은 아니다. 영국군 사령관도 그들이 "최대의 헌신으로" 싸웠다고 남겼다. 중국은 수천 년 동안 바람의 힘으로 움직이는 배를 가장 잘 만들어온 나라였다. 승패를 가른 것은 노력의 크기가 아니라 동력의 차이였다. 무너진 것은 수군만이 아니었다. 청나라는 결국 아편전쟁에서 패배했다. 난징조약으로 홍콩섬을 넘기고 항구들도 열었다. 이 일로 나중에 '굴욕의 세기'라 부르는 시기가 시작됐다. 70년 뒤, 2000년 넘게 이어진 황제 체제도 사라졌다. 한 척의 증기선이 만든 틈이 아편전쟁 패배로 이어졌고, 끝내 수천 년 이어온 제국이 무너졌다. AI라는 새로운 동력 지금 이런 일이 일어나고 있다. 금융당국이 여러 금융사에서 같은 공격자가 AI 도구로 대량 자동화 공격을 한 흔적을 확인했다. 해외 보안기업 분석에 따르면, 이 공격자는 서버 몇 대와 AI를 조합해 쓰는 개인이다. 그는 AI에게 훔친 금융정보를 어디서 팔 수 있는지도 물었다. 아직 신원이 밝혀지지 않아 더 조사해야 한다. 하지만 수백 대의 보안 장비와 전담 조직이 있는 금융회사들이 몇 주 안에 잇따라 침해된 것은 사실이다. 예전에는 한 나라의 핵심 기반을 흔들려면 국가 차원의 조직이 필요했다. 이제는 AI를 쓸 줄 아는 개인 한 명으로도 가능하다. 취약점을 찾는 속도도 달라졌다. 올봄에 '미토스 쇼크'를 일으킨 AI 모델은 한 달 만에 1만 개가 넘는 고위험 취약점을 찾았다. 웹사이트 4분의 3이 쓰는 PHP에서 10년 넘게 숨어 있던 결함도 AI가 찾아냈다. 패치가 나오기 나흘 전부터 이미 공격이 있었다. 한 글로벌 보안 보고서는 취약점이 악용되기까지 걸리는 평균 시간이 '마이너스 7일'이라고 했다. 패치보다 공격이 일주일 먼저 이뤄진다는 뜻이다. 최선 다하는 보안 관성 하지만 우리는 20년째 임시방편으로 대응하고 있다. 사고가 나면 점검을 더 자주 하고 체크리스트에 항목을 더한다. 1년 전에 대형 정보 유출을 겪은 카드사는 보안 시스템을 500대 넘게 운영하고 인증도 받은 회사였다. 그런데 사용하지 않던 서비스 엔진 하나가 패치 대상에서 빠졌고, 공격자는 그 틈을 노려 오랫동안 조금씩 데이터를 빼냈다. 그 회사의 보안책임자는 "사고는 기술을 비켜간다"고 말했다. 패치로 할 수 있는 만큼은 한다. 하지만 패치만으로는 원하는 결과를 내기 어렵다. 패치 중심 방어는 세 가지에 기대고 있다. 지켜야 할 자산을 모두 알아야 하고, 모든 취약점을 막아야 하며, 이 모든 일을 공격자보다 빨리 해야 한다. AI 시대에는 이 조건들이 한 번에 깨졌다. 미토스 같은 AI가 기술적 취약점을 아주 빠르게 막아도 문제는 끝나지 않는다. 기술적인 취약점이 줄어들면 공격자는 사람이나 구조의 약점을 노린다. 풍선의 한쪽을 누르면 다른 쪽이 부풀듯이 나타난다. 본인 확인이 없는 조회 서비스, 협력사와 함께 쓰는 서버, 탈취된 계정, 사람을 속이는 보이스피싱에는 막을 패치조차 없다. 신뢰하되 검증하라 산업혁명은 돛을 개선한 것이 아니라 동력 자체를 바꾼 일이다. 그 시작에는 믿음을 관찰과 검증으로 바꾼 계몽주의가 있었다. AI 시대의 사이버보안도 이런 전환이 필요하다. 이 전환을 국가 사이버보안 정책의 중심에 둔 것이 제로트러스트다. 제로트러스트는 일부 기업이나 연구자만 쓰는 것이 아니라, 사이버보안 체계를 근본적으로 바꾸는 변화다. 우리는 "신뢰하되 검증하라"는 말을 자주 하지만, 그 말의 전제는 잘 생각하지 않는다. 이 말은 예방 체계를 이미 지나친 상황을 가정한다. 여기서 '신뢰'는 아무나 믿으라는 뜻이 아니다. 방화벽과 인증, 탐지 장치를 모두 통과한 행위에 대해 시스템이 이미 준 신뢰를 말한다. 웹 공격에서 공격표면은 신뢰의 공간이 아니라 예방이 작동하는 곳이다. 신뢰의 공간은 공격자가 모든 탐지 체계를 피해 들어온 뒤, 예방 체계를 넘은 후부터 공격 목적을 이루기 전까지 머무는 곳이다. 이 안에서는 이미 정상 사용자로 취급받는다. 그래서 검증은 이 공간에서 해야 하며, 검증하려면 먼저 그곳이 보여야 한다. 제로트러스트의 핵심은 신뢰 범위의 가시성을 갖추는 것이다. 패치와 예방은 공격 표면까지만 막는다. 제로트러스트는 신뢰의 공간 전체로 방어 범위를 넓힌다. 예방 체계를 뚫린 뒤부터 비즈니스가 멈추기 전까지 대응할 시간을 벌 수 있고, 내부에서 일어나는 모든 행위를 확인해 공격자가 목적을 이루기 전에 막는다. 이번 사고들도 모두 신뢰의 공간에서 일어났다. 주요 은행들이 침입 사실을 알기까지 짧게는 15시간, 길게는 68시간이 걸렸다. 각 요청은 예방 체계를 통과한 정상 요청이었지만, 전체 행위 흐름은 이상했다. 이 공간을 사람만으로는 지킬 수 없다. 첫 침투에 성공한 조직이 다음 공격 조직에 접근 권한을 넘기는 데 22초면 충분하다. 공격자는 보통 2주 가까이 내부에서 들키지 않는다. AI는 공격자 전유물이 아니다 AI는 공격자만 쓰는 기술이 아니다. 증기기관이 영국만 썼던 게 아니었듯, AI도 누구나 쓸 수 있는 새로운 기술이고, 사이버보안을 넓히는 데 쓸 수 있다. 이번 공격에 사용된 도구도 원래 보안 점검을 위해 공개된 오픈소스였다. PHP의 결함을 찾은 쪽도 AI를 이용한 방어자들이었다. 같은 기술이 누구 손에 있느냐에 따라 공격에도, 방어에도 쓸 수 있다. 문제는 우리가 아직도 공격자 시각에 머물러 있다는 점이다. AI로 취약점을 더 많이 찾는 데 집중하면 목록만 늘어난다. 이미 병목은 찾는 속도에서 고치는 속도로 넘어갔다. 이제는 방어자 입장에서 AI를 최대한 활용해야 한다. 공격자는 밖에서 접근하지만 방어자는 내부를 본다. 공격자가 신뢰 구역에 들어오면 거기는 방어자의 홈그라운드가 된다. 방어자 AI는 내부의 정상 상태를 가장 잘 알아야 한다. 그래야 정상처럼 보이지만 실제로는 비정상인 접속을 찾아낼 수 있다. 비정상을 발견하면 바로 접속을 끊고, 권한을 회수하고, 시스템을 분리해야 한다. 사람은 경보를 확인하는 역할에서 원칙을 만들고 책임을 지는 역할로 옮겨야 한다. 인간 중심 보안이 사라진다는 것은 사람이 필요 없다는 뜻이 아니라, 사람의 성실함에만 의존하는 방식이 더 이상 통하지 않는다는 뜻이다. AI는 배운 만큼만 대응한다. 이번에 한국 금융권이 겪은 값비싼 사고 대응 경험을 방어 AI에 적용해야 한다. 기계만 들여오고 체제는 바꾸지 않았던 청나라의 양무운동이 결국 청일전쟁에서 패배했다는 점도 기억해야 한다. 낡은 설계 위에 AI만 올리면, 속도만 조금 빨라진 쓸모없는 시스템이 될 뿐이다. 관성을 끊는 리더십 결국 이 문제는 리더십에 달려 있다. 아편전쟁 때도 서양을 이해해야 한다고 말한 관리가 있었지만, 조정은 그를 내쫓고 익숙한 방식을 고집했다. 지금 우리도 보안을 비용이나 규제로만 보고, AI를 위험으로만 본다. 사고가 계속되는데도 은행들은 오히려 정보보호에 쓰는 돈을 줄였다. 새로운 리더십은 질문을 바꾸는 데서 시작한다. "패치를 다 했는가"라는 질문 대신 "예방을 피한 공격을 목적 달성 전에 막을 수 있는가", "이미 침입한 공격자는 없는가"를 물어야 한다. 보안의 실적은 인증서 개수가 아니라 침입을 알아채고 막기까지 걸린 시간으로 따져야 한다. 보안은 최고경영자와 이사회가 직접 챙겨야 하는 경영의 중심이다. 규제도 '무엇을 갖췄나'에서 '얼마나 빨리 대응했나'로 바뀌어야 한다. 사고를 숨기지 않고 기록과 공유로 남기는 문화도 리더가 만들어야 한다. 이런 경험이 쌓여 방어 AI의 학습 자료가 된다. 네메시스호가 주강을 거슬러 올랐던 그날, 청나라에 필요한 것은 정크선을 더 늘리거나 노잡이를 더 훈련시키는 일이 아니었다. 바람 없이 움직일 수 있는 새로운 동력과, 그 동력으로 배를 다시 만들겠다는 결심이 필요했다. 증기선 한 척이 수천 년 이어진 제국을 무너뜨렸듯이, 지금은 AI를 가진 한 사람이 한 나라의 보안체계를 쉽게 뚫고 있다. 증기기관은 누구나 쓸 수 있었고, 먼저 자기 배에 단 사람이 바다를 차지했다. 같은 동력을 방어하는 쪽이 더 먼저, 더 깊게 적용하면 결과가 달라진다. 이런 변화는 기존 방식을 멈추게 할 새 리더십에서 나온다. 바람을 기다리는 배로는 증기선을 이길 수 없다.
