“단순한 해킹인 줄 알았는데”…전직 특수요원의 경고, 다가오는 상황에 ‘깜짝’

AI 무기화된 사이버 전쟁 시대
안전하다 여긴 국가 인프라도 위험
한국 중소기업, 해킹의 최대 표적으로

최정예 정보기관 모사드와 군 정보부 8200 사이버사령부 해외 사이버 총괄 출신 에란 슈타우버 울트라레드 대표의 경고가 한국 사회에 충격을 주고 있다.

지난달 30일 뉴스1과의 인터뷰에서 그는 SK텔레콤 해킹 사태를 ‘기초 보안 관행의 실패’로 규정하며 한국의 디지털 인프라가 생각보다 훨씬 더 위태로운 상황임을 역설했다.

유심 해킹, 이건 빙산의 일각일 뿐

슈타우버 대표는 유심 해킹 이후 삼성전자, 네이버, 카카오 등 주요 기업들이 임직원에게 유심 교체를 권고하는 것은 긍정적이지만, 이것만으로는 근본적인 문제 해결이 어렵다고 지적했다.

“단순히 유심 탈취만으로는 기업 서버에 즉시 침투할 수는 없다. 하지만 이것이 내부 시스템 침투를 위한 첫 관문이 될 수 있다. 유심 인증 키로 심 카드를 복제하면 다단계 인증을 손쉽게 우회할 수 있게 된다.”

그는 대기업뿐 아니라 협력업체도 심각한 위험에 노출되어 있다고 강조했다. 사이버 보안 역량이 상대적으로 취약한 중소 협력업체가 해킹 공격의 우회로가 될 수 있다는 것이다. 실제로 최근 5년간 국내 사이버 공격 피해의 83%가 중소기업에 집중된 것으로 나타났다.

그는 “이번 해킹으로 유출된 정보가 다크웹에서 거래되기 시작하면, 대규모 연쇄 공격이 일어날 가능성이 매우 높다. 기업들은 임원 계정을 포함한 민감 정보가 다크웹에서 거래되는지 24시간 감시해야 한다.”고 밝혔다.

AI vs AI, 자동화된 전쟁의 시작

이스라엘 정보부대 최연소 해커 출신인 슈타우버 대표는 현대 해킹의 양상이 근본적으로 변화했다고 설명했다. 과거 해킹이 특정 표적을 정교하게 공격하는 방식이었다면, 이제는 마치 그물을 던져 물고기를 잡듯 무차별 공격이 주를 이룬다는 것이다.

“과거에는 취약점을 발견하고 공격하기까지 시간 간격이 존재했다. 그러나 AI 기술의 발전으로 인해 취약점 발견과 공격이 거의 동시에 이루어진다. AI가 프로그램 구조를 분석해 취약점을 찾고, 즉시 공격 코드를 자동 생성하기 때문이다.”

AI 기술의 확산으로 사이버 공격의 진입장벽도 크게 낮아졌다. 한국인터넷진흥원(KISA)은 “AI로 누구나 쉽게 해킹 도구를 제작할 수 있어 손쉽게 사이버 범죄에 악용될 수 있다”고 경고한 바 있다. 실제로 다크웹에서는 ‘FraudGPT’, ‘WormGPT’ 등 AI 기반 해킹 툴이 활발히 거래되고 있다.

슈타우버 대표는 이번 SK텔레콤 해킹이 단순 사조직보다는 국가 주도의 APT(지능형 지속 위협) 그룹의 소행일 가능성이 높다고 분석했다. 민관합동 조사단이 발표한 BPFDoor 계열 악성코드 4종의 사용 패턴이 이를 뒷받침한다.

“장기간 침투 사실을 은폐하고 유심 인증 데이터를 표적으로 삼은 방식은 단순 금전적 목적보다는 한국의 디지털 인프라에 대한 장기적 침투 기반을 구축하려는 국가적 수준의 작전 패턴과 일치한다.”

중소기업과 클라우드·IoT, 최대 취약점

슈타우버 대표는 특히 한국 중소기업의 취약성을 심각하게 우려했다. 예산과 인력 부족, 보안 인식 미흡 등으로 중소기업이 AI 해킹의 주요 표적이 되고 있다는 점을 지적했다.

“CISO(최고정보보호책임자)는 기업의 생존을 좌우하는 최고 전쟁 사령관이다. CEO가 아무리 뛰어난 경영 성과를 내더라도 단 한 번의 해킹으로 기업은 존폐 위기에 처할 수 있어요. 오늘날 전쟁은 전쟁터뿐 아니라 기업 내부와 주변에서 끊임없이 벌어지고 있다.”

앞으로 AI 시대의 해킹은 ‘AI vs AI’의 실시간 자동화 전쟁으로 발전할 전망이다. 공격 AI와 방어 AI가 실시간으로 맞붙는 자동화된 사이버 전쟁이 본격화되고 있다. 방어 AI는 네트워크 트래픽과 사용자 행동 패턴을 분석해 이상 징후를 탐지하고, 공격 AI는 새로운 우회 전략을 끊임없이 발전시킨다.

특히 한국에서는 생성형 AI와 딥페이크 기술이 결합된 피싱, 비즈니스 이메일 사기(BEC) 등이 더욱 정교해지고 있다. 해외에서는 이미 고위 임원을 딥페이크로 사칭해 거액의 자금을 탈취한 사례가 발생했으며, 이러한 공격은 한국 기업과 공공기관에도 현실적 위협이 되고 있다.

슈타우버 대표는 아시아권 국가의 의뢰로 대통령 공식 웹사이트를 스캔하던 중 해커의 공격을 포착했던 사례를 언급하며 국가 인프라의 취약성도 지적했다.

“국가기관 의뢰로 대통령 데이터베이스와 웹사이트를 스캔하는 과정에서 서버 내 악성 코드 실행을 발견해 즉시 차단했다. 이는 민간 기업부터 국가 최고 기관까지 모두가 사이버 공격에 취약할 수 있음을 보여주는 사례이다.”

클라우드, IoT 기기, API 등 새로운 기술 환경도 주요 공격 대상으로 부상하고 있다. 기존에는 데이터가 주요 표적이었으나, 이제는 AI가 작동하는 ‘행동’ 자체가 공격 대상이 된다.

이는 스마트시티 신호등, 자율주행차, 의료용 웨어러블 기기 등이 해킹되면 도시 전체가 마비되거나 생명에 직접적인 위협이 될 수 있음을 의미한다.

슈타우버 대표는 “이제는 사이버 공격 발생 후 대응하는 방식에서 벗어나, 지속적인 위협 노출 관리(CTEM)에 적극적으로 투자하고 예방 중심으로 사고방식을 바꿔야 한다”고 강조했다.

한국 정부는 ‘인공지능 기본법’을 제정해 고위험 AI 및 생성형 AI에 대한 보안 설계·운영 의무를 강화하고, 생명·안전·기반시설 등 사회 전반에 영향을 미칠 수 있는 AI에는 해킹 방지 등 정보보안 조치를 의무화하고 있다.

하지만 이러한 제도적 대응만으로는 새로운 사이버 위협에 완벽히 대응하기 어렵다는 지적이 나온다.

슈타우버 대표의 경고대로, 이제 한국 기업과 정부는 제로트러스트(모든 것을 의심하고 확인) 원칙과 단계별 보안 솔루션 구축을 통해 새로운 사이버 전쟁에 대비해야 할 시점이다. 단순한 해킹이라 여겼던 문제가 국가 안보의 핵심 위협으로 부상한 지금, 한국은 어떤 대응책을 마련할 수 있을까.