(서울=뉴스1) 전준우 한병찬 기자 = 최근 금융회사 16곳에서 약 10만 건의 정보가 유출된 해킹 사고와 관련해 하정우 국가AI전략위원회 상근부위원장이 인공지능(AI)을 활용한 사이버 공격에 대응하기 위해 국가 차원의 공동 방어 역량을 강화해야 한다고 강조했다. 개별 금융회사의 보안 노력만으로는 한계가 있는 만큼 AI를 활용한 상시 취약점 점검과 위협 정보 공유, 공동 복구 훈련 등을 유기적으로 연결해야 한다는 것이다.
하 부위원장은 18일 <뉴스1>과의 서면 인터뷰에서 "개별 기업의 노력에 더해 국가 차원의 공동 대응 역량이 필요하다"며 "주요 기반 시설의 상시 점검, 위협 정보 공유, AI를 활용한 취약점 발견·수정, 공동 복구 훈련을 연결하는 방향이 중요하다"고 밝혔다.
특히 이번 금융권 해킹 사태에서 드러난 외부 위탁·연계 시스템의 보안 취약성을 지적했다. 그는 "상대적으로 외부 위탁 시스템은 보안장치가 약한 경우가 많다"며 "최근 프런티어 AI와 사이버보안 특화 하네스(Harness)는 이러한 약점을 탐색하고 반복적으로 공격하는 데 매우 효율적"이라고 설명했다.
금융당국에 따르면 최근 침해사고가 확인된 금융회사는 신한은행 등 16곳으로 늘었다. 은행뿐 아니라 저축은행, 캐피털사, 온라인투자연계금융업체, 전자금융업체, 가상자산사업자 등 사실상 전 금융권으로 피해가 확산했다. 현재까지 파악된 정보 유출 규모는 약 10만 건에 달한다.
이번 공격에는 AI가 활용됐을 가능성이 제기되고 있다. 공격자들은 인터넷·모바일뱅킹 등 핵심 거래시스템보다 상대적으로 보안이 취약한 대출모집인 조회 서비스와 직원용 업무지원시스템 등 외부 접점을 집중적으로 노린 것으로 파악됐다.
하 부위원장은 AI 공격의 고도화와 별개로 금융회사들의 기본적인 보안관리 책임도 강화해야 한다고 강조했다. 그는 "AI 공격에 대비하는 것과 기업의 기본적인 보안관리 책임을 강화하는 것은 함께 가야 한다"며 "인증이나 점검 여부를 넘어 실제로 위험을 줄였는지를 중심으로 제도 보완 필요성을 관계 부처와 논의하겠다"고 밝혔다.
아울러 정부가 올해 시범사업 결과를 토대로 2027년부터 취약점 공개 정책(VDP)과 조정된 취약점 공개(CVD) 체계의 제도화를 추진하고 있다고 설명했다. 금융권 우선 적용 여부에 대해서는 금융당국 및 업계와 협의해 검토하겠다는 입장이다.
다음은 하 부위원장과의 일문일답.
-이번 해킹 사고가 유독 금융권에 집중된 이유는. 보안 체계에 구조적 취약점이 있었던 것인가, AI를 활용한 공격이 허점을 파고든 것인가.
▶금융권은 가치 있는 개인정보와 거래 정보를 보유하고 있어 공격자의 표적이 될 가능성이 높다. 핵심 시스템뿐 아니라 외부 서비스와 위탁·연계 시스템의 보안도 중요하다. 상대적으로 외부 위탁 시스템은 보안장치가 약한 경우가 많기 때문이다. '정문 대신 옆문으로 침투한다'는 표현이 널리 쓰이는 이유다. 최근 프런티어 AI와 사이버보안 특화 하네스는 이러한 약점을 탐색하고 반복적으로 공격하는 데 매우 효율적이다. 기존 보안관리의 빈틈과 AI로 인한 공격 방식의 변화를 함께 살펴야 한다.
-AI 기반 서비스를 확대할수록 공격 접점도 늘어날 수밖에 없다. AI 시대에 맞춰 보안 패러다임과 정책, 대응 체계를 어떻게 바꿀 계획인가.
▶최근 대통령이 국무회의에서 강조했고 국무총리도 범부처 대응체계 마련을 주문했다. AI 시대에는 정기 점검과 사고 후 대응에 더해 상시 취약점 점검과 신속한 조치, 서비스 복원력을 강화해야 한다.
공공·금융·민간의 소관과 책임은 유지하면서 위협 정보와 대응 경험, 공통 기준을 연결하는 것이 중요하다. 관계 부처가 대책을 마련하는 과정에서 이러한 협력과 실행력을 높이는 방향을 수립하는 데 보안특위를 중심으로 적극 기여하겠다. 공격 속도가 빨라지는 만큼 방어와 복원을 위한 의사결정과 조치도 빨라져야 한다.
-AI를 활용한 공격에는 AI로 대응해야 한다는 목소리가 크다. 금융·통신 등 국가 핵심 기반 시설이 공격받으면 개별 기업의 대응만으로는 한계가 있을 텐데, 기반 시설 취약점을 상시 점검하고 위협 정보를 공유하는 국가 차원의 AI 방어 체계를 구축할 계획은.
▶개별 기업의 노력에 더해 국가 차원의 공동 대응 역량이 필요하다. 주요 기반 시설의 상시 점검, 위협 정보 공유, AI를 활용한 취약점 발견·수정, 공동 복구 훈련을 연결하는 방향이 중요하다.
방어용 AI도 실행 권한과 범위, 승인·기록·중단 조건을 명확히 해야 한다. 국가AI전략위원회는 보안특위를 중심으로 필요한 정책·제도 개선과 관계기관 협력을 지원하겠다.
더 근본적으로는 AI 시대에 걸맞은 사이버보안 인재를 양성하고 산업 생태계 역량을 강화해야 한다.
구체적인 사업과 운영 방식은 소관 기관과 협의해 마련할 사안이다. 문제 해결력이 뛰어난 프런티어 AI 자체 역량도 강화해야 한다. 이 기술은 가장 강력한 방어체계를 만드는 데 필수적이지만 수출 통제 대상이 될 가능성이 높다. 유사시 언제든 활용할 수 있는 AI를 확보하는 것이 중요하다.
-AI 공격이 고도화하더라도 기본적인 보안 조치를 소홀히 한 기업의 책임까지 줄어들어선 안 된다는 지적도 있다. 기업이 외부 노출 자산과 접근 권한 등을 상시 관리하도록 의무화하거나 관련 규제를 정비할 계획은.
▶AI 공격에 대비하는 것과 기업의 기본적인 보안관리 책임을 강화하는 것은 함께 가야 한다. 외부 노출 자산과 위탁·연계 시스템, 접근 권한을 지속해서 관리하고 위험한 취약점을 신속히 조치하는 것이 중요하다.
관련 의무의 집행과 감독은 소관 기관이 맡지만 위원회도 AI 시대에 필요한 개선 과제를 검토하고 제안할 수 있다. 인증이나 점검 여부를 넘어 실제로 위험을 줄였는지를 중심으로 제도 보완 필요성을 관계 부처와 논의하겠다.
-AI로 취약점을 찾는 화이트해커가 늘면서 버그바운티 확대 필요성이 커졌지만, 검증되지 않은 취약점이 무분별하게 공개되면 오히려 공격에 악용될 수 있다는 우려도 있다. 취약점 신고부터 검증·조치·공개까지를 제도화하는 VDP와 CVD 체계는 현재 시범사업 단계인데 본격 도입 시기와 금융권 우선 적용 계획은.
▶정부가 발표한 방향은 올해 시범사업 결과를 토대로 2027년부터 제도화를 추진하는 것이다. 구체적인 도입·시행 시점과 적용 범위는 시범사업 평가, 관계 부처 협의와 입법 절차를 거쳐 정해질 사안이다. 핵심은 허용된 범위와 절차를 지킨 선의의 보안 연구자(화이트해커)를 보호하는 것이다. 동시에 신고된 취약점이 검증·조치되고 공개 시점과 범위도 책임 있게 조정되도록 해야 한다. 이를 위해 법적 불확실성을 줄이고 관련 제도를 정비할 필요가 있다.
일부 금융·핀테크 기업도 이미 시범사업에 참여하고 있는 것으로 안다. 은행권 등으로의 확대와 우선 적용 여부는 금융당국, 업계와 협의해 검토하겠다. 취약점을 찾는 데서 끝나지 않고 실제 시스템 수정과 개선으로 이어지는 제도가 돼야 한다.
☞하정우 국가AI전략위 상근부위원장
1977년 부산에서 태어나 서울대 컴퓨터공학과를 졸업하고 같은 대학원에서 박사 학위를 받았다. 삼성SDS를 거쳐 2015년 네이버에 합류한 뒤 네이버클라우드 AI혁신센터장, 네이버 퓨쳐 AI 센터장, 네이버 AI랩 소장 등을 맡았다. 네이버의 생성형AI '하이퍼클로바X' 개발에 중요한 역할을 하고, '소버린 AI' 확산을 주도했다. 2025년 6월 이재명 정부 초대 AI미래기획수석비서관에 발탁돼 국가인공지능전략위 간사를 맡으며 초기 정책을 설계했다. 지난 5월 부산 북갑 보궐선거 출마로 물러났다가 지난 8월 국가AI전략위 상근부위원장으로 복귀했다.
junoo5683@news1.kr
