【와티비커뮤니티-WATVcommunity】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 스포츠뉴스 : 안구정화 놀이터홍보 놀이터후기공유 피해사례공유

로그인

채팅

글쓰기

[IT뉴스]“해커는 비밀번호부터 안 훔친다”…당신 회사가 털리는 의외의 첫 단추

온카뱅크관리자

2026-09-27 07:07:25

<div id="layerTranslateNotice" style="display:none;"></div> &lt;보안전문가 릴레이 인터뷰 ②&gt; 강병탁 AI 스페라 대표 AI가 찾는건 기업 곳곳의 '작은 구멍' 최소권한, 다중인증, 제로트러스트로 확산 차단해야 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="YdI588lwIp">
 [이데일리 윤정훈 기자]AI 기술의 발전과 함께 사이버 공격도 진화하고 있다. 공격자들은 AI를 활용해 기업의 취약점을 과거보다 훨씬 빠르게 찾아내고, 이를 연결해 침투 경로를 만든다. 개인정보 유출 사고는 끊이지 않고, 기업들은 매번 “왜 또 뚫렸나”라는 질문에 직면한다.
 이데일리는 AI 기반 보안 솔루션 스타트업인 강병탁 AI스페라 대표를 만나 AI 시대 해킹 위협의 본질과 기업들이 갖춰야 할 방어 체계에 대해 들어봤다. 강 대표는 네오플 인프라기술실 실장, 넥슨 아메리카 인포섹팀 팀장, 넥슨 코리아 게임보안팀 팀장 등을 역임한 보안 전문가다. 
 <figure class="figure_frm origin_fig" contents-hash="90628cf0ea07e39e307d7dafc32648bdccb64743d24ea911f8db89e5390f8127" dmcf-pid="XLS3xxyODF" dmcf-ptype="figure">
 <img alt="강병탁 AI스페라 대표가 이데일리와 인터뷰를 하고 있다(사진=윤정훈 기자)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/27/Edaily/20260927070339228exzi.jpg" data-org-width="541" dmcf-mid="xOwY99sAr7" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/27/Edaily/20260927070339228exzi.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 강병탁 AI스페라 대표가 이데일리와 인터뷰를 하고 있다(사진=윤정훈 기자)
 </figcaption>
 </figure>
 <div contents-hash="c44f87b7a4227ab3d2196ac147a7d18b154e3faaadeda1c4aa4e7bb6bae081dc" dmcf-pid="Zov0MMWIEt" dmcf-ptype="general">
 “정교한 공격보다 평범한 실수가 사고의 시작”
 </div>
 강 대표는 최근 개인정보 유출 사고에서 반복되는 패턴에 대해 “AI 때문에 공격 기술이 복잡해진 것은 맞지만, 실제 사고 원인은 의외로 평범하다”며 “AI가 무서운 이유는 새로운 구멍을 만들어서가 아니라, 이미 존재하던 작은 구멍을 훨씬 빨리 찾아내고 연결해주기 때문”이라고 진단했다. 외부에 열려 있는 관리 페이지, 패치되지 않은 서버, 노출된 계정정보처럼 기본적인 허점이 반복적으로 문제를 일으킨다는 설명이다.
 그는 “많은 기업이 자기 회사가 인터넷에 무엇을 열어놓고 있는지조차 정확히 모른다”며 “공격자는 정문을 부술 필요 없이 열려 있는 뒷문을 찾으면 그만”이라고 말했다. 
 이어 “AI는 이런 공격표면을 누구보다 빨리 찾아낸다”며 “결국 보안의 시작은 최신 AI 솔루션 도입보다, 공격자 눈에 우리 회사가 어떻게 보이는지를 계속 점검하는 것”이라고 강조했다.
 접속키·인증정보 노출 사고를 막기 위한 방안으로는 인증정보와 코드의 분리, 별도 시크릿 관리 시스템 운영을 기본으로 꼽으면서도, 이보다 중요한 것으로 공격표면관리(ASM)를 들었다.
 강 대표는 “언제 어디서 실수로 인증정보가 외부에 노출될지 모르기 때문에, ASM을 통해 우리 회사 정보가 실제 인터넷에서 어떻게 노출되고 있는지 상시 감시하는 기업이 늘고 있다”고 설명했다. 
 깃허브, 외부 서버, 클라우드 자산 등에서 위험한 설정이 새로 드러나는지 공격자 관점에서 확인하는 방식이다. 그는 “사고가 난 뒤 내부 로그를 뒤지는 게 아니라, 공격자가 발견하기 전에 밖에서 먼저 찾아내자는 개념”이라며 “‘절대 안 새게 하겠다’보다 ‘새는 순간 바로 찾아내겠다’는 태세를 함께 갖추는 기업이 많다”고 말했다.
 실제 AI스페라는 매일 전세계 웹을 돌며 IP와 악성 도메인 정보를 수집·분석해 사실상 ‘인터넷상의 등기부등본’을 만드는 작업을 하고 있다. 이렇게 축적한 데이터만 44페타바이트(PB)에 달한다. 이는 256GB 스마트폰 약 17만대 분량이다.
 <figure class="figure_frm origin_fig" contents-hash="fff2c80934c92a668bb68a52f522d171cca0f3884c983c044d44265673865e42" dmcf-pid="UihtPPvmDW" dmcf-ptype="figure">
 <img alt="강병탁 AI스페라 대표 (사진=AI스페라)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/27/Edaily/20260927070340485lhdd.jpg" data-org-width="1280" dmcf-mid="yDwY99sADu" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/27/Edaily/20260927070340485lhdd.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 강병탁 AI스페라 대표 (사진=AI스페라)
 </figcaption>
 </figure>
 <div contents-hash="784418db4a61bc198155de890aafb9d5f96b7a37822a6ed9bed63760c480a47c" dmcf-pid="unlFQQTsOy" dmcf-ptype="general">
 “뚫려도 못 움직이게”…제로트러스트가 만드는 차이
 </div>
 침입 자체를 막는 것보다 중요한 것은 ‘침입 이후’라는 게 강 대표의 지적이다. 그는 “실제 공격은 처음 한 대를 뚫는 것보다 그다음에 어디까지 이동할 수 있느냐가 훨씬 중요하다”며 “서버 간 접근을 접근제어목록(ACL)으로 세분화하고, 계정·시스템 접근 권한을 최소화하며, 제로트러스트 원칙을 실제 운영에 적용한 기업은 첫 진입 이후가 굉장히 어렵다”고 말했다.
 그는 “보안을 잘하는 기업은 ‘한 번도 안 뚫리는 기업’이 아니라, 뚫리더라도 옆 서버로 넘어가지 못하고 권한도 확장되지 않게 만들어 놓은 기업”이라며 “공격자 입장에서는 들어가도 갈 데가 없는 회사가 가장 피곤하다”고 덧붙였다.
 실제 점검 현장에서도 기업별 대응 속도 차이가 크다고 전했다. 그는 “취약점이 발견돼도 담당 부서 확인, 영향도 검토, 패치 일정 협의만 몇 주씩 이어지는 기업이 있는 반면, 보안을 잘하는 기업은 위험한 노출이나 취약점이 확인되면 일단 차단·격리부터 하고 조치한다”며 “공격자는 그 몇 주를 기다려주지 않는다”고 말했다.
 서버 한 대가 뚫려도 전체 고객정보 유출로 번지지 않으려면, ACL·제로트러스트 구조에 더해 개인정보의 별도 영역 분리, 접근권한 최소화, 대량 조회·반출 탐지 체계가 필요하다고 덧붙였다.
 정부의 ISMS 등 보안 인증을 받고도 사고가 나는 이유에 대해 강 대표는 컴플라이언스와 실제 해킹 대응은 별개의 영역이라고 짚었다. 그는 “컴플라이언스는 우리 집 자물쇠가 기준에 맞는지 정기적으로 점검하는 것이지만, 실제 도둑은 자물쇠만 보지 않고 열린 창문을 찾거나 담을 넘기도 한다”고 비유했다.
 그는 “IT 환경은 계속 바뀌기 때문에 인증 이후에도 새 서버가 생기고, 계정이 추가되고, 설정이 바뀌면서 새로운 허점이 생긴다”며 “실제 사고는 ‘규정이 없어서’라기보다 규정과 현실 운영 사이에서 생긴 틈에서 비롯되는 경우가 많다”고 말했다. 
 <figure class="figure_frm origin_fig" contents-hash="14b974f97cb7e7979f8e4d7df487fb4e5e1d39da441aac793c7dc233d6cf48f3" dmcf-pid="94cvqqDgOI" dmcf-ptype="figure">
 <img alt="(사진=챗GPT)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/27/Edaily/20260927070341764kiau.jpg" data-org-width="1024" dmcf-mid="Wk3fAAUZmU" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/27/Edaily/20260927070341764kiau.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 (사진=챗GPT)
 </figcaption>
 </figure>
 <div contents-hash="0c9c1215a2343d008c0ecddb31792ea1054ee52f55b333f9dcf006951b598a08" dmcf-pid="28kTBBwaEO" dmcf-ptype="general">
 예산 부족한 중소기업, 보안 우선순위는
 </div>
 예산과 인력이 부족한 중소기업·스타트업을 위한 조언도 남겼다. 강 대표는 우선순위로 △외부 노출 자산과 취약점 파악(ASM·취약점 점검) △개인별 계정·최소권한·다중인증(MFA) 적용 △발견 즉시 조치하는 패치 습관 등 세 가지를 꼽았다.
 특히 그는 “중소기업을 가보면 관리자 계정 하나를 직원 여러 명이 같이 쓰는 경우가 꽤 있는데, 이는 사실상 계정이 아니라 공용 열쇠”라고 지적했다. 
 비용 부담이 있다면 한국인터넷진흥원(KISA)이 중소기업 대상으로 제공하는 ASM 기반 점검 지원사업을 활용하라고 권했다. 
 그는 “중소기업 보안은 비싼 장비부터 사는 것이 아니라, 열린 문을 찾고 열쇠를 제대로 관리하고 발견한 구멍을 빨리 막는 것부터 시작하면 된다”고 말했다.
 보안 수준을 판단하는 지표로는 최근 사고 유무보다 △외부 노출 자산 파악 정확도 △치명적 취약점 발견 후 조치까지 걸리는 시간 △관리자 계정 MFA 적용률 △퇴사자·휴면계정 정리 여부를 꼽았다. 
 강 대표는 “경영진은 보안장비를 몇 대 샀는지보다, 지금 인터넷에 위험하게 노출된 자산이 몇 개인지, 치명적 취약점 중 가장 오래 방치된 것이 며칠째인지를 직접 확인해야 한다”며 “보안은 보고서가 두꺼운 회사가 잘하는 게 아니라, 위험한 숫자가 오래 남아 있지 않는 회사가 잘하는 것”이라고 말했다.
 정부의 보안 정책이 예방 중심에서 사고 대응 중심으로 옮겨가는 흐름에 대해서는 신중한 입장을 보였다. 
 그는 “예방은 어려우니 대응으로 간다는 접근보다는, 예방·탐지·대응·복구를 하나의 사이클로 봐야 한다”며 “해킹을 100% 막는 것은 불가능해도 큰 사고로 번지는 것은 충분히 줄일 수 있다”고 말했다.
 정부 역할에 대해서는 “기업들이 스스로 하기 어려운 상시 ASM, 취약점 점검, 위협정보 공유 같은 기본 보안 인프라를 공공재처럼 제공해야 한다”고 제안했다. 
 또 “사고 발생 시 처벌·책임 규명만큼 중요한 것이 공격기법을 빠르게 익명화해 다른 기업과 공유하는 것”이라며 “한 회사가 비싼 수업료를 내고 당한 공격을 다른 회사가 또 똑같이 당할 필요는 없다”고 말했다. 
 그러면서 “정부가 심판 역할만 하기보다, 기업들이 더 빨리 발견하고 막고 회복할 수 있도록 돕는 관제탑 역할을 했으면 한다”고 덧붙였다.
 윤정훈 (yunright@edaily.co.kr) 
 </section> 
 </div> 
 Copyright © 이데일리. 무단전재 및 재배포 금지.

"택배 반품됐습니다" 눌렀다간…추석 노리는 스미싱 구별법은 ‘우주 데이터센터’는 허상일까, 미래일까?

댓글 총 0개

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기