해킹기술 어디까지 왔나… 개인정보 탈취해 내부자 위장할 수준 [롯데카드 해킹사태]

AI로 무장한 해커… 기업은 제자리걸음

KT무단소액결제 ‘초소형 기지국’ 이용

가입자 식별번호 탈취… 유심 해킹가능성

기업들 안이한 인식·초기대응도 문제

불특정 다수의 민감한 개인 정보나 주머니를 노린 해킹 범죄가 고도화하면서 해킹을 통한 사이버 위협에 대한 우려도 커지고 있다. 특히 해커들은 인공지능(AI)까지 활용해 보안망이나 방화벽을 무력화하고 있지만 기업과 정부 대응 능력이 뒤처져 해킹 피해가 반복될 수 있다는 것이다.

18일 업계에 따르면 KT 무단 소액결제 사건은 펨토셀(초소형 기지국)을 이용해 ‘가입자식별번호(IMSI)’를 탈취하는 수법에서 비롯된 것으로 분석된다. 반경 10m 이내 통신을 제공하는 펨토셀로 특정 지역 이용자들의 통신 트래픽을 가로채는 식이다. 그간 IMSI를 탈취하는 건 실현하기 쉽지 않다고 여겨졌으나 해킹 수법이 고도화하면서 과거에 어려웠던 해킹 방식이 개인정보를 위협하는 수준에 이르렀다.

피해자 상당수가 자동응답전화(ARS) 없이도 결제가 이뤄졌다고 말하면서 유심키가 유출됐을 가능성도 언급됐지만, KT는 이날 “유심키 정보는 유출되지 않았다”고 밝혔다. 유심키는 최상위 기밀로 가입자 유심과 통신사 코어망 두 곳에만 보관하는데 유심키가 유출됐다면 가장 철저한 보안망이 뚫린 게 돼 파급력이 커질 수밖에 없다. 유심키가 유출되지 않았더라도 해커들이 본인 인증 절차를 무단으로 뚫고 결제를 했다는 셈이어서 스마트폰 인증 체계에 허점이 드러났다는 지적이 있다.

개인정보 유출을 막기 위해선 해킹을 막는 게 우선이지만 공격이 방어를 앞선다는 게 문제다. 염흥열 순천향대 명예교수(정보보호학과)는 “해커들이 AI를 활용해 공격 능력을 고도화하고 있다”며 “기존 백신 시스템은 이를 탐지하지 못하고 있고, 기업의 대응 능력이 (해킹) 발전 속도를 따라가지 못하고 있다”고 말했다. 실제 AI 자동화 기술 등을 활용해 해커가 네트워크에 무단으로 침입해 비밀번호 등을 ‘크래킹(해킹)’하거나 개인정보 등 기밀을 빼가는 수법을 만드는 게 빨라졌다. 해커들이 단순히 네트워크를 해킹해 필요한 정보를 가져가는 게 아니라 신원이나 계정 등 개인정보를 탈취해 내부자로 위장하는 수준에 이른 것이다. 해커가 AI를 악용해 공격을 강화한다면 보안도 AI를 이용한 자동화한 체계를 활용해 대응력을 키워가야 한다는 게 전문가들의 의견이다.

사이버 위협은 국가적인 안보 위협으로 이어질 수 있는 만큼 정부와 민간 대응이 필수적이다. 앞서 SKT 해킹 당시 중국 해커들이 주로 사용하는 백도어 악성코드 ‘BPFdoor’가 서버에서 확인되기도 했다. 조 바이든 행정부에서 사이버 안보 대응을 담당했던 앤 뉴버거 스탠퍼드대 교수는 지난 5월 세계일보와의 인터뷰에서 “해커가 범죄 집단이라면 해킹 정보를 공개해 기업들에서 더 많은 랜섬(몸값)을 받으려고 할 테고, 국가가 해킹을 주도했다면 첩보활동을 하거나 상대 국가 인프라에 큰 지장을 주는 데 활용할 수도 있다”고 경고했다.