인공지능(AI)을 활용한 사이버 공격이 고도화되는 가운데 정부의 AI 해킹 대응체계가 미흡하다는 지적이 국회에서 제기됐다. 개인정보보호위원회(개보위)는 AI 공격에 특화된 대응 준비가 부족하다는 점을 인정하고 관계 부처와 대책 마련에 나섰다.

대규모 개인정보 유출 사고가 발생한 티빙은 보안 관리와 피해 보상 문제로 집중 질타를 받았다. 개보위는 잇따른 정보 유출 사고에 대응해 조사 비협조와 증거 은닉·폐기에 대한 제재를 강화하고, 과징금 수입을 피해자 구제에 활용하는 방안도 추진한다.

13일 국회 정무위원회의 개보위 국정감사에서는 개인정보 유출 사고와 AI 해킹 위협, 피해자 구제 방안 등이 주요 쟁점으로 다뤄졌다.

AI가 표적 찾고 공격까지…개보위 "별도 대응 부족"
민병덕 더불어민주당 의원은 "해킹 방식이 다양해졌다. 전문 해커 여러 명이 할 일을 하나의 AI가 24시간 쉬지 않고 수행한다"며 AI가 표적 탐색과 취약점 분석, 공격 경로 설계, 인증정보 탈취 등 공격 전 과정에 활용되고 있다고 지적했다.

민 의원은 정부가 AI 해킹을 기존 공격과 구분해 관리하고 관련 통계를 집계하고 있는지, 자동화된 공격을 탐지할 기준이나 시스템과 관계기관 합동훈련 체계를 갖추고 있는지 등을 질의했다.

아울러 내년 7월 시행 예정인 주요 개인정보처리자의 개인정보 보호 인증 의무화 제도에도 AI 해킹 방어 기준이 반영돼야 한다고 주문했다.

송경희 개보위 위원장은 AI 활용으로 해킹 공격의 속도와 범위가 확대되고 있다고 진단했다. 다만 "접근권한을 제대로 관리하지 않거나 암호화하지 않고 이상 트래픽을 감지하지 못하는 등 기본적인 조치가 미흡해 큰 사건으로 이어지고 있다"고 지적했다.

AI 해킹에 따른 개인정보 유출은 공격 속도가 빠른 만큼 초동 대응이 중요하다고도 강조했다. 공격에 활용된 인터넷주소(IP)와 공격 방식 등을 신속하게 파악해 보안 관계 부처에 전파하는 등 협력체계를 강화하고 있다는 설명이다.

다만 AI 공격에 특화된 대응체계가 충분히 마련되지 않았다는 점은 인정했다.

민 의원이 "AI 공격에 대한 별도 준비를 하지 않은 것 아니냐"고 묻자 송 위원장은 "그런 부분이 부족한 것은 맞다"며 "현재 보안 관계 부처들과 대응 대책을 같이 만들고 있다"고 답했다.



티빙 정보유출·보상안 '뭇매'…최주희 "AI 해킹 추정"

대규모 개인정보 유출 사고가 발생한 티빙의 보안 관리와 피해 보상 문제도 도마 위에 올랐다. 의원들은 3954만 개의 계정정보가 유출된 데다 연계정보(CI)와 탈퇴 회원 정보까지 포함된 점을 들어 개인정보 관리체계 전반을 질타했다.

조정훈 국민의힘 의원이 사고 원인과 관련해 최고경영자(CEO)로서 무엇을 제대로 챙기지 못 했느냐고 묻자 최주희 티빙 대표는 "보안에 대해서 지속해서 투자를 해왔고 CEO인 제가 부끄럽게도 이것이 충분한지 인지할 정도로 우선순위를 두고 챙기지 못했던 것 같다"고 답했다.

최 대표는 이번 침해 사고에 AI가 활용됐을 가능성도 제기했다.

최초 침입 원인은 경찰이 수사 중이라고 전제하면서도 조 의원이 "티빙 해킹도 AI에 기반한 해킹이었느냐"고 묻자 "그렇다고 추정하고 있다"고 말했다.

피해 보상안의 실효성을 둘러싼 비판도 이어졌다. 피해자가 직접 보상을 신청해야 하고 탈퇴 회원은 이 과정에서 다시 가입해야 하는 데다, 보험과 자사·계열사 서비스 혜택 등이 실질적인 피해 배상보다 서비스 이용을 유도하는 수단에 가깝다는 지적이다.

CJ ONE 통합회원 체계를 두고 CJ그룹 차원의 책임론도 제기됐다.

최 대표는 사고 이후 "CJ에서도 전 계열사를 전수조사했다"며 현재까지 자신이 파악한 다른 계열사의 이상 징후는 없다고 밝혔다.

조사 비협조 이행강제금·증거 폐기 과징금…피해구제 기금 추진

개보위는 잇따른 개인정보 유출 사고에 대응해 조사·제재 체계도 강화한다.

지난 9월부터 매출액의 최대 10%까지 부과할 수 있는 징벌적 과징금제도가 시행된 가운데 신고 지연이나 피해 확산을 방조하는 행위에 대한 제재도 강화할 방침이다.

개인정보 침해 사고 조사에 협조하지 않는 기업에는 이행강제금을 부과하고, 증거를 은닉하거나 폐기하면 별도의 과징금을 부과하는 방안을 추진한다.

중요 사건에는 전담조사단을 구성하고 주요 공공기관과 금융권의 개인정보 유출 사고도 중점 조사한다.

피해자 권리구제도 강화한다. 개인정보 불법 유통 행위에 대한 처벌 근거를 신설하고, 유출 사고 발생 시 기업의 입증 책임을 강화하는 방향으로 법정손해배상제도를 개선할 계획이다.

개인정보 침해에 따른 과징금 수입을 국민의 권리구제와 피해 회복에 활용할 수 있도록 별도 기금을 운영하는 방안도 추진한다.

개보위는 이를 위한 개인정보 보호법 개정안의 조속한 처리를 국회에 요청했다.

smk5031@news1.kr