[아주초대석] 최영철 SGA솔루션즈 대표 "AI 해킹 막으려면 보안 기본부터…제로트러스트 제도화해야"

AI 활용한 공격 자동화로 금융권 보안 허점 노출…"기본 인증·접근통제 강화해야"

AI 에이전트 계정 관리·마이크로 세그멘테이션 강조…"내부 피해 확산 차단 중요"

잇단 해킹 사고에도 보안 투자 변화 제한적…"제로트러스트 제도화 필요"

최영철 SGA솔루션즈 대표 [사진=안신혜 기자]

"인공지능(AI)을 활용한 사이버 공격이 고도화되면서 'AI 공격은 AI로 막아야 한다'는 이야기가 나오고 있습니다. 저는 이 말이 반은 맞고 반은 틀리다고 봅니다. AI를 활용한 보안 대응도 필요하지만 기본적인 사이버보안 체계를 강화하고 취약점을 줄이는 것이 먼저입니다."

금융권에서 잇따른 해킹 사고에 이어 웹사이트 개발에 널리 사용되는 프로그래밍 언어 PHP에서도 치명적인 보안 취약점이 발견되면서 기업들의 사이버보안 대응에 대한 우려가 커지고 있다. AI를 활용한 취약점 탐색과 공격 자동화가 확산하면서 기업들이 대응해야 할 보안 위협도 확대되고 있다.

최영철 SGA솔루션즈 대표는 본지와 인터뷰하면서 인공지능(AI)을 활용한 사이버 공격이 고도화되는 상황에서도 기본적인 보안 조치가 우선돼야 한다고 강조했다. AI 기술을 활용한 보안 대응도 필요하지만 기업들이 인증과 접근통제 등 기존 보안체계의 취약점부터 개선해야 한다는 설명이다.

최 대표는 약 30년간 정보보안 분야에 몸담은 전문가다. 1997년 한국인터넷진흥원(KISA)에서 연구원으로 근무했고, 현재 SGA솔루션즈에서 통합보안 사업을 이끌고 있다.

그는 최근 금융권 사고가 국내 기업들의 인증·접근권한 관리에 여전히 허점이 있음을 방증했다고 진단했다. 특히 기존 경계형 보안체계에서 제로트러스트 기반 보안체계로 전환하기 위해서는 관련 보안 기준을 강화하고 제도화할 필요가 있다고 강조했다. 다음은 최 대표와 일문일답한 내용.

-금융권에서 해킹과 개인정보 유출 사고가 잇따르고 있다. 가장 큰 문제는 무엇인가.

"금융권 사고는 고도화된 해킹 기술보다 기본적인 인증과 접근권한 관리의 허점을 이용한 공격이다. 공격자들은 유출된 아이디와 비밀번호를 확보한 뒤 AI 기반 도구로 로그인 시도를 자동화했다. 특히 대출모집인 등 금융회사 외부 업무 시스템은 인터넷뱅킹과 보안 기준이 달라 이중 인증이 적용되지 않은 경우가 있었다. 일부 시스템에서는 정상 계정으로 로그인한 뒤 요청값을 변경하는 '파라미터 변조'를 통해 다른 담당자의 고객 정보까지 조회할 수 있었다. 기본적인 인증과 권한 통제가 미흡했던 것이 가장 큰 문제다."

-AI가 사이버 공격에 활용되면서 어떤 변화가 나타나고 있나.
"과거에는 소프트웨어 취약점을 찾는 데 높은 수준의 기술과 시간이 필요했다. 이제는 AI가 취약점을 찾고 공격을 자동화한다. 초급 해커도 고급 해커 수준의 공격 능력을 활용할 수 있고, 한 명이 수백 명이나 수천 명의 역할을 수행하는 효과가 나타난다. 앞으로 AI가 복잡한 취약점까지 찾아내 공격에 활용한다면 과거 통신사 해킹과 같은 고도화된 공격도 더욱 빈번하게 발생할 수 있다. 전 산업군과 공공기관이 공객 대상이 됐다고 보면 된다."

-AI 공격이 고도화되는 상황에서 기업들은 어떻게 대응해야 하나.
"'AI를 활용한 사이버 공격은 AI로 막아야 한다'는 말은 반은 맞고 반은 틀리다. AI를 활용한 방어도 중요하지만 기본적인 보안체계만 갖춰도 막을 수 있는 공격들이 있다. 이번 금융권 사고도 인증과 접근 통제가 제대로 적용됐다면 막을 수 있었던 공격이라고 본다. 우선 기존 보안체계의 취약점을 줄여야 한다. 이후 AI를 활용한 소프트웨어 취약점 점검과 보안관제 자동화 등을 통해 대응 속도를 높일 수 있다."

-AI 에이전트 확산에 따른 새로운 보안 위험이 보고되고 있다.
"AI 에이전트가 사람 대신 내부 시스템과 데이터에 접근해 업무를 수행하는 환경이 확대되고 있다. 사람은 아이디와 비밀번호, 일회용 비밀번호(OTP) 등으로 인증하지만 AI 에이전트는 사용자의 권한을 위임받아 자동으로 접속한다. 이 과정에서 접근 범위를 관리하기 어려워질 수 있다. AI 에이전트도 사람처럼 계정을 등록하고 접근권한을 통제해야 한다. 다만 AI 에이전트마다 기술 구조가 달라 아직 표준화가 필요한 상황이다. 사용자나 기기를 무조건 신뢰하지 않고 접근할 때마다 인증과 권한을 검증하는 '제로 트러스트(Zero Trust)' 보안체계에 AI 에이전트도 포함해야 한다."

-공격자의 내부 이동과 피해 확산을 막기 위한 '마이크로 세그멘테이션'은 무엇인가.
"외부 침투를 막는 것만으로는 충분하지 않다. 공격자가 서버 한 대를 장악한 뒤 다른 서버로 이동해 중요 정보에 접근하는 횡적 이동을 차단해야 한다. 마이크로 세그멘테이션은 서버와 시스템을 세분화해 서로 접근할 수 있는 범위를 제한하는 기술이다. 한 서버가 침해되더라도 다른 서버로 공격이 확산되는 것을 어렵게 만들어 피해를 줄일 수 있다. AI로 취약점 탐색이 쉬워질수록 침해 발생을 가정한 보안체계가 중요해진다."

-국내 기업들의 제로트러스트 도입 수준은 어느 정도인가.
"국내 기업들도 오랫동안 보안 투자를 해왔지만 개별 보안 제품들이 서로 연결되지 않은 채 운영되는 경우가 많다. 기존 경계형 보안 모델에서 구축한 제품들을 연계해 사용자와 기기, 시스템의 인증과 권한을 지속적으로 확인하는 구조로 바꿔야 한다. 보안체계 자체를 제로 트러스트 기반으로 설계하는 '제로 트러스트 네이티브' 접근이 필요하다."

-대규모 해킹 사고 이후 기업들이 보안 투자를 늘리고 있나.
"아직 큰 변화를 체감하지 못하고 있다. 지난해 통신사 사고 이후에도 여러 대책이 나왔지만 근본적인 기술 변화는 충분하지 않았다. 기업 입장에서 보안 투자는 당장 매출을 늘리는 수단이 아니라 비용으로 인식된다. 이미 보안 인증을 받고 관련 제품을 도입한 기업에 추가 투자를 설득하기도 쉽지 않다. 사고가 발생한 뒤 과징금을 부담하는 상황이 반복되지만 새로운 보안체계 구축을 위한 투자로는 충분히 연결되지 않고 있다."

-보안 투자 확대를 위해 어떤 제도 개선이 필요하다고 보나.
"제로 트러스트 가이드라인과 정부 실증사업이 마련됐지만 실제 현장 도입은 제한적이다. 보안체계 전환을 기업의 자율적인 판단에만 맡겨서는 확산에 한계가 있다. 기존 보안 인증과 규제의 통제 항목을 최신 위협에 맞게 강화하고 제로 트러스트 보안 모델을 구현·검증할 기준을 마련해야 한다. 일부 기능만 도입하고 제로 트러스트를 구축했다고 주장하는 상황도 방지해야 한다. 보안 기준이 달라져야 기업 투자와 실제 시스템 개선으로 이어질 수 있다."