하나은행에서 AI 해킹 개인정보 유출 사고가 확인되면서, 금융권 보안 담당자들의 대응 문서가 흔들리고 있습니다. 유출된 고객은 89명으로 전해졌는데, 숫자만 보면 작은 사고입니다. 하지만 문제는 규모가 아니라 수단입니다. 하나은행에서 AI를 이용한 해킹으로 고객 정보가 샜다는 사실이 어제 저녁 전자신문 보도로 알려졌습니다. 인공지능 해킹이라는 말이 이제 가설이 아니라 사고 기록이 된 셈입니다. 금융권에서 보안을 맡고 있다면 이 보도가 불편하게 읽힐 수밖에 없습니다. 공격 수단이 바뀌었다는 건, 보고서 양식부터 응대 문구까지 전부 다시 봐야 한다는 뜻이기 때문입니다.
AI 해킹 개인정보 유출, 무엇이 확인됐나
확인된 사실과 남은 공백
확인된 사실은 세 가지뿐입니다. 사고가 일어난 곳은 하나은행입니다. 유출된 개인정보는 고객 89명분입니다. 그리고 수단은 AI를 이용한 해킹으로 전해졌습니다. 이 내용은 어제 저녁 전자신문 보도로 알려졌습니다.
반면 아직 모르는 것도 많습니다. 어떤 항목이 샜는지는 나오지 않았습니다. 이름인지, 연락처인지, 거래 내역인지가 빠져 있습니다. 어떤 도구가 쓰였는지도 아직 모릅니다. 침입이 언제 시작돼서 언제 끝났는지도 없습니다. 이 공백이 숫자보다 중요한 이유는, 대응의 범위가 바로 이 공백에서 결정되기 때문입니다. 항목을 모르면 통보 대상도, 재발급 범위도 정할 수 없습니다. 수단을 한 줄로만 적은 보도는 읽는 사람마다 다르게 이해하기 쉬워서, 내부 보고서에는 보도 문구를 그대로 인용해 두는 편이 낫습니다.
지금 나온 건 한 건의 보도입니다. 은행 쪽 공식 설명이 붙으면 내용이 더 채워질 것으로 보입니다. 그때까지는 확인된 세 가지만 보고서에 적고, 나머지는 공백으로 두는 것이 맞습니다. 추측을 문서에 적는 것이 가장 위험합니다. 고객 89명은 금융권 유출 사고 기준으로는 아주 작은 규모입니다. 하지만 규모가 작다는 것이 끝났다는 뜻은 아닙니다. 공장에서 처음 나온 시제품 한 대처럼, 시작을 알리는 신호일 수도 있습니다. 물론 이 해석은 아직 지켜봐야 할 영역입니다.
오늘 당장 손볼 수 있는 세 가지
양식, 문구, 로그
이번 사고에서 눈여겨볼 지점은 오늘 바로 손볼 수 있는 대응이 세 가지 있다는 점입니다.
첫째, 사고 보고 양식에 수단 칸을 만드는 것입니다. 지금 쓰는 양식 대부분은 침입 경로만 적게 되어 있습니다. 경로는 어디로 들어왔는지고, 수단은 무엇으로 열었는지입니다. 이 둘은 다른 질문인데, 양식이 하나만 묻고 있으면 기록이 반쪽으로 남습니다. 자동화 도구가 쓰였는지, 사람이 직접 했는지 적는 칸을 더해야 합니다. 이게 없으면 다음 사고도 외부 침입이라고만 남고, 비슷한 사고가 반복돼도 통계가 쌓이지 않습니다.
둘째, 고객 응대 문구를 미리 준비하는 것입니다. 통보를 받은 고객이 가장 먼저 묻는 건 수단입니다. 확인된 것, 확인 중인 것, 모르는 것을 세 칸으로 나눠 두는 편이 좋습니다. 특히 모른다고 말하는 문장을 미리 써 두어야, 현장에서 급하게 만들다 없는 말을 덧붙이는 일을 막을 수 있습니다.
셋째, 로그 보존 기간을 다시 보는 것입니다. 자동화된 시도는 짧은 시간에 흔적을 많이 남기기 쉽지만, 그 흔적이 가장 먼저 지워지는 종류이기도 합니다. 사고를 뒤늦게 알게 되면 재구성할 재료가 아예 없어질 수 있습니다. 이 세 가지는 윗선 보고 없이 오늘 끝낼 수 있는 일입니다. 예산이 드는 일은 그다음에 논의해도 늦지 않습니다.
클로드 코드·코덱스 스킬 무단 업데이트, 서버 탈취로 이어진다
한국 금융권에서 뭐가 달라지나
규제와 방어 도구의 변화
앞으로는 변화가 세 방향으로 올 것으로 보입니다.
첫째, 사고 분류가 바뀝니다. 지금까지 유출 사고는 내부자냐 외부 침입이냐로 나눴는데, 여기에 수단이 자동화됐는지가 새 축으로 들어옵니다. 축이 하나 늘면 보고서, 점검표, 교육 자료가 전부 따라 바뀝니다. 현장에서는 체크리스트 한 줄 추가로 보이지만, 실제로는 사고 통계 자체가 다시 짜이는 일입니다.
둘째, 규제 쪽 압력이 먼저 움직입니다. 해외에서는 이미 신호가 나왔습니다. 미국 캘리포니아주가 오픈AI에 AI 안전성 조사를 위한 소환장을 발부했습니다. 기업이 아니라 주 정부가 조사 주체라는 점이 중요합니다. 국내에서도 같은 질문이 금융권에 먼저 올 가능성이 있습니다.
셋째, 방어 쪽 도구도 같이 들어옵니다. 어제 업스테이지가 판단에 특화된 모델 솔라 디사이드를 정식 출시했습니다. 이런 모델이 탐지 쪽에 먼저 붙을 것으로 보이는데, 공격이 자동화되면 방어도 사람 손으로는 따라가기 어렵기 때문입니다. 다만 국내 금융권이 외부 모델을 바로 붙이기는 어려운 환경이라, 이 부분은 아직 지켜봐야 합니다.
결국 핵심은 하나입니다. 공격 수단이 기록되지 않으면 대응도 설계되지 않습니다.
오픈AI 최상위 모델 학습 중단 보도, 무엇이 확인됐나
출처
- 하나은행 AI 해킹 개인정보 유출 보도 — 전자신문 — 하나은행도 AI 해킹으로 89명 고객 개인정보 유출
- 업스테이지 솔라 디사이드 정식 출시 — AI타임스 — 업스테이지, 판단 전용 AI ‘솔라 디사이드’ 출시…“제브보다 빠르고 정확”
- 캘리포니아주, 오픈AI에 AI 안전성 조사 소환장 — 전자신문 — 美 캘리포니아주, 오픈AI에 소환장…AI 안정성 조사
답글 남기기