인공지능(AI)을 활용한 해킹이 학원·병원 등 생활밀착형 사업장까지 겨냥하고 있다. 고객정보를 보유하면서도 보안에 쓸 돈과 인력이 부족한 작은 사업장들이 정보 탈취와 금전 협박에 노출되고 있다.

최근 경찰에 검거된 일당은 AI를 본격적으로 활용한 뒤 44일간 업체 60곳을 해킹했다. 공격에 드는 시간과 노력은 줄어드는 반면 작은 사업장은 침입 방지부터 피해 파악·복구까지 감당하기 어려워, 보안 지원을 강화해야 한다는 지적이 나온다.

취약점 찾고 공격 코드까지…AI가 낮춘 해킹 문턱
1일 경찰에 따르면 지난달 26일 서울경찰청 사이버수사과가 발표한 해킹 사건의 피해 업체는 골프장 21곳, 학원 12곳, 병원 5곳 등 90여 곳이다. 일당은 개인정보와 내부 자료를 빼돌린 뒤 38곳에 총 3억6000만원을 요구한 혐의를 받는다.

총책은 IT 비전공자였지만 해킹을 독학한 후 8월 말부터 생성형 AI를 본격적으로 범행에 이용했다. 약 40일간 해킹한 업체만 60곳에 달한다.

전문가들은 AI가 취약점 탐색부터 공격 코드 작성까지 도우면서 해킹의 문턱을 낮추고 있다고 설명한다.

염흥열 순천향대 정보보호학과 교수는 "과거에는 해커가 노력해서 취약점을 찾고 공격 방법을 알아내야 했지만, 이제는 AI가 취약점을 활용하는 방법부터 코드까지 알려준다"며 "공격에 드는 노력과 시간을 줄여 사이버 공격의 문턱을 낮춘 것"이라고 했다.

특히 AI 에이전트는 지시에 따라 취약점을 찾고 공격을 시도하며, 실패하면 방법을 바꿔 재시도하는 과정까지 자동으로 수행한다.

황석진 동국대 국제정보보호대학원 교수는 "사람은 공격에 실패하면 프로그램을 다시 짜서 시도해야 하지만 AI 에이전트는 이런 과정을 자동으로 반복한다"며 "공격이 자동화·고속화되면서 시간과 비용을 줄일 수 있다"고 설명했다.

고객정보는 쌓이는데 보안인력은 없는 소상공인…유출 뒤 협박에도 취약
AI가 해킹을 대중화하는 사이 작은 사업장들은 기본적인 보안조치에도 어려움을 겪고 있다. 학원·병원·골프장 등은 고객정보를 보유하면서도 이를 지킬 전문인력과 예산이 부족한 실정이다.

과학기술정보통신부의 '2025년 정보보호 실태조사'에 따르면 종사자 10인 이상 기업 5500개를 조사한 결과, 정보보호 관련 예산을 사용하는 기업은 54.8%에 그쳤다.

염 교수는 "과거에는 해커들이 파급력이 큰 기업이나 조직의 정보시스템을 주로 노렸지만, 이제는 작은 소상공인들의 웹사이트에도 개인정보가 많이 있다"며 "전문인력이나 보안서비스를 갖추지 못한 곳이 많아 공격에 취약할 수밖에 없다"고 말했다.

보안 지원이 끝난 운영체제(OS)를 교체하는 비용도 부담이다. 염 교수는 이런 교체나 보안 업데이트가 제때 이뤄지지 않으면 이미 알려진 취약점이 공격 통로로 남는다고 설명했다.

이런 보안 공백을 틈타 고객정보가 탈취되면 영업과 평판을 겨냥한 협박으로까지 이어질 수 있다. 이달 검거된 일당은 정보 유출이 알려지면 업체 이미지가 나빠지고 과징금이 부과될 수 있다는 취지로 금전을 요구했다.

황 교수는 "영세사업장은 보안 전문지식과 대응 인력이 부족한 데다 신고 절차를 모르거나 영업에 미칠 영향을 우려해 신고를 주저할 수도 있다"고 했다.

"보안서비스 공동 지원"…진단부터 보완·복구까지 연결해야
전문가들은 작은 사업장마다 보안장비와 인력을 갖추도록 요구하는 데는 한계가 있다며 보안서비스를 공동으로 이용할 수 있도록 지원해야 한다고 제언했다.

황 교수는 "영세사업자가 고가의 보안장비를 직접 구입하기는 어려운 만큼 정부가 보안서비스를 공동으로 지원하는 방식이 효과적일 것"이라고 했다.

외주업체의 보안 강화도 필수적이다. 한 업체가 여러 사업장의 웹사이트를 관리하는 구조에서는 해당 업체의 취약점이 다수 고객사의 피해로 이어질 수 있기 때문이다.

염 교수는 "소규모 사업자와 외주업체가 표준계약서를 통해 어떤 보안서비스를 제공할지, 사고가 났을 때 책임을 어떻게 나눌지 명확히 해야 한다"며 "수탁업체도 취약점을 꾸준히 보완하고 보호대책에 투자하도록 해야 한다"고 말했다.

황 교수는 신고 접수부터 침해 원인 분석과 데이터 복구까지 돕는 지역 단위 긴급대응체계도 필요하다고 봤다. 그는 "소상공인의 보안 문제를 개별 사업자의 책임만으로 해결할 수 없다"며 "국가 차원의 디지털 안전망 과제로 접근해야 한다"고 강조했다.

banya@news1.kr