[주간보안동향] 지난해 가상자산 탈취 60% 북한 소행…“인간 심리 이용한 공격 증가” 外

[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

지난해 가상자산 탈취 60% 북한 소행…“인간 심리 이용한 공격 증가”

글로벌 웹3 보안 기업 써틱(CertiK)이 발표한 ‘스카이넷(Skynet) 북한 가상자산 위협 보고서’에 따르면, 북한 해커 조직이 2016년부터 현재까지 디지털 자산 규모가 총 67억 5000만 달러(약 10조 원)에 이르는 것으로 나타났다. 특히 지난해에는 세계 가상자산 업계 피해액의 약 60%에 달하는 20억 6000만 달러(약 3조 1000억 원)를 탈취했다.

올해 초에도 이미 약 6억 2090만 달러(약 9300억 원)의 피해가 확인됐다. 이는 글로벌 전체 피해액의 약 55%에 달하는 비중이다. 또한 대형 거래소 바이비트(Bybit) 해킹 사건 당시 확보한 자금을 불과 한 달 만에 믹서, 크로스체인 브리지, 탈중앙화거래소(DEX), 장외거래(OTC) 네트워크를 통해 세탁한 것으로 분석됐다.

최근에는 이러한 공격이 코드 해킹을 넘어, 인간 신뢰를 악용하는 사회공학적 공격으로 진화했다. 예컨대, 2022년 로닌 브리지 해킹은 링크드인 허위 채용 공고를 통해 내부 직원 기기에 스파이웨어를 심는 방식이었다. 올해 초 발생한 드리프트(Drift) 프로토콜 해킹은 중개인을 내세워 6개월간 오프라인 컨퍼런스에 참석하며 업계 신뢰를 쌓은 뒤 오라클 조작과 거버넌스 권한 장악으로 공격을 실행했다.

이에 써틱은 원격 채용 인력에 대한 ‘제로 트러스트’ 기반 검증을 의무화하고, 메신저로 유포되는 자료의 신원 검증을 강화해야 한다고 경고했다. 또한 ▲공급망 인프라 보안 강화 ▲자금 보안 차단 방안을 구축하는 것뿐만 아니라, 모의 해킹, 24시간 긴급 대응 체계 등 보안 점검의 필요성을 강조했다.

“가족사진 올려도 되나요?” 개인정보위, 생성형 AI 이용자 보호 가이드 발간

생성형 AI 서비스가 일상에 깊숙이 자리잡은 가운데, 개인정보 침해 우려도 비례해서 커졌다. 조사 결과 생성형 AI를 인지하고 있는 성인(20~60대) 중 89%가 개인정보 침해 위험을 우려한다고 답했다. 이에 개인정보보호위원회(개인정보위)는 ‘생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드’를 발간했다.

이번 가이드는 국민 민원과 상담 사례를 바탕으로 8개 핵심 이슈를 골라 담았다. 주요 내용은 ▲입력한 내용의 AI 학습 활용 여부 ▲대화 기록 저장·삭제 설정 방법 ▲개인정보가 포함된 대화·문서 입력 시 유의사항 ▲업무 자료 입력 시 주의점 ▲AI 답변에 타인 정보가 포함됐을 때 대응 방법 ▲외부 서비스 연동 기능 사용 시 주의사항 등이다.

가이드의 핵심 골자는 ‘이용자 스스로의 주의’와 ‘사전 설정 확인’이다. 이용자는 생성형 AI를 쓰기 전 데이터의 학습 활용 여부를 반드시 확인하고 제한 설정을 켜두어야 한다. 자신은 물론 가족 등 제3자의 민감한 개인정보나 기업 업무 자료는 처음부터 입력을 최소화하는 것이 상책이다. 또한 국내 서비스라 하더라도 서버가 해외에 있다면 데이터가 국외로 이전될 수 있으므로 이전 여부를 살펴야 한다. 아울러 외부 앱과 연동되는 플러그인 기능을 쓸 때도 에이전트가 개인정보를 어떻게 수집하고 보관하는지 확인하는 습관이 필요하다.

지난해 개인정보 유출 신고 45% 급증

개인정보위와 한국인터넷진흥원(KISA)이 15일 발표한 자료에 따르면, 2025년 접수된 개인정보 유출 신고는 447건으로 2024년(307건)보다 45.6% 늘었다. 원인으로는 랜섬웨어 등 악성코드 해킹이 62%(276건)로 가장 많았고, SQL 인젝션 등 웹 취약점 악용이 12%(32건)로 그 뒤를 이었다.

총 처분 건수는 227건, 과징금은 40건으로 합산 1677억 원이 부과됐다. 과태료는 125건에 약 5억 8720만 원이었다. 전년 대비 과징금·과태료 합산 부과액은 1083억 원이 늘어났다. 특히 227건 중 115건이 개인정보 유출 관련 건이며, 세부 유출 원인은 업무 과실과 해킹의 비중이 91%를 차지했다. 해킹으로 인한 과징금 부과액은 1440억 원으로 전체의 91%를 차지했다.

정부는 공공기관에는 개인정보 전담 인력 지정 및 겸직 금지를, 민간기업에는 개인정보보호책임자(CPO) 중심의 상시 관리 체계 강화를 촉구하고 나섰다. 특히 오는 9월 11일부터는 고의나 중과실로 대규모 유출 사고를 낼 경우, 해당 기업 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 제재가 대폭 강화될 예정이다.

아태 API 보안 사고, 1건당 손실 약 15억 원 돌파

모바일 앱과 AI 서비스를 연결하는 API의 보안 위협이 커지고 있다. 아카마이 테크놀로지스가 발표한 보고서에 따르면, 아시아태평양 지역 기업의 81%가 지난 1년 동안 최소 1건 이상의 API 보안 사고를 겪은 것으로 조사됐다. API 보안 사고 1건당 기업이 입는 평균 손실액은 100만 달러(약 15억 원)를 돌파했다. 이는 직전 연도 대비 두 배 가까이 증가한 규모다.

특히 AI 에이전트나 거대언어모델(LLM)과 연결된 API를 겨냥한 침해 사고가 전체의 43%를 차지했다. 그러나 ‘자사 API 자산을 완전히 파악하고 있으며 어떤 API가 민감 데이터를 반환하는지 알고 있다’고 답한 응답자는 22%에 그쳤다.

이에 아카마이는 디지털 혁신과 보안 대비 수준 간 격차가 빠르게 벌어지고 있다고 지적했다. AI가 파일럿 단계를 넘어 대규모 운영 단계로 전환되면서 일관된 보호 체계로 이어지지 못하고 있다는 설명이다. 아카마이는 “AI가 실제 비즈니스 가치를 창출하기 위해서는 API 보안이 전제돼야 한다”며, “가시성 확보와 컴플라이언스 대응이 시급하다”고 강조했다.

로그프레소, AI 기반 XDR 플랫폼 ‘소나 5.0’ 정식 출시

국내 통합보안 전문기업 로그프레소가 19일 AI 기반 차세대 XDR(확장형 탐지 및 대응) 플랫폼 ‘소나 5.0(Logpresso Sonar 5.0)’을 정식 출시했다. 로그프레소는 소나 5.0를 통해 AI를 위협 탐지부터 분석, 대응 자동화까지 전 과정을 아우르는 핵심 기술로 확장하고, 자율형 통합보안 운영 플랫폼 시장 공략에 속도를 낸다.

로그프레소는 기존의 SIEM·SOAR 역량을 바탕으로 공격표면관리(ASM), 엔드포인트 탐지(EDR), 클라우드 보안(CNAPP) 등 이종 보안 솔루션들을 통합 플랫폼에서 운영한다. 국내외 주요 보안 기업 14곳과 얼라이언스를 구축, 이종 솔루션에서 나오는 경고들을 하나의 위협 맥락으로 연결하고 자동 분석하는 구조다. 특히 외부 망과 차단된 폐쇄망에서도 자율적으로 동작하는 AI 에이전트 기반 상시 대응 체계를 갖췄다.

로그프레소는 싱가포르 기반 다크웹 인텔리전스 전문기업 스텔스모어(StealthMole)와 전략적 파트너십을 맺었다. 소나 5.0 플랫폼에 스텔스모어의 다크웹 위협 정보를 연계해 외부 위협을 내부 보안 운영과 실시간으로 결합할 계획이다. 양사는 KISA의 ‘2026년 통합보안 모델 개발 시범사업’을 시작으로 기술 검증에 착수했으며, 싱가포르 시장 공동 진출도 추진 중이다.

양봉열 대표는 “로그프레소의 XDR은 에이전틱 AI 기반 자율 보안 운영의 새로운 표준을 제시할 것”이라며, “소나 5.0은 얼라이언스 통합과 AI 에이전트 기술을 기반으로 국내 기업 환경에 최적화된 자율 보안 운영 체계를 구현하고, 글로벌 XDR 시장 진출의 발판이 될 것"이라고 밝혔다.

IT동아 김예지 기자 (yj@itdonga.com)