"전방위·동시 공격 가능한 AI해킹, 금융권 폐쇄적 시스템으론 못 막아"

사이버보안 전문 기업 '티오리' 박세준 대표 인터뷰AI, 실패서 학습…저인망식 공격수작업 의존한 보안점검은 한계금융권, 보안에 AI 활용 서둘러야 등록 2026-10-05 오후 7:07:01 수정 2026-10-05 오후 7:49:07 가 가 [이데일리 임유경 기자] 금융권을 상대로 한 동시다발적인 해킹 공격에 인공지능(AI)이 활용됐을 가능성이 제기되면서 해커의 공격 수법 변화에도 관심이 쏠린다. 공격에 AI를 어떻게 활용했는지 파악하는 것이 향후 공격 패턴과 잠재적인 공격 대상을 파악하는 단서가 될 수 있어서다. 박세준 티오리 대표는 AI 공격 도구의 특징으로 상황적 맥락과 공격 결과를 분석해 다음 시도를 능동적으로 조정할 수 있다는 점을 꼽았다. 기존 해킹 도구가 미리 정해진 작업을 자동·반복 수행하는 데 그쳤다면, AI는 1차 결과를 보고 추론해 공격 방법을 스스로 조정할 수 있다는 설명이다. 해커가 결과를 확인하고 다음 수를 정하던 과정을 AI가 이어받는 셈이다. 박세준 티오리 대표(사진=이데일리DB)박 대표는 “AI는 가령 침투 테스트 시 예상한 문자열이 나타나지 않았다고 곧바로 취약점이 없다고 단정하지 않는다”며 “서비스 반응을 분석해 다른 값을 넣어보거나, 메뉴를 넘어가 추가 테스트를 하면서 기존에 놓쳤을 수 있는 취약점까지 확인한다”고 설명했다. 그는 “공격 기법 자체가 바뀐 것은 아니지만 취약점을 찾고 실제 공격으로 확인하는 과정이 더 깊어지고 빨라진 것”이라고 말했다. AI의 판단이 항상 정확한 것은 아니다. 아직 실제 취약점이 아닌 것을 오탐하는 경우도 많다. 하지만 오탐률이 높아도 공격자에겐 AI가 전에 없이 강력한 도구가 됐다. 박 대표는 “AI가 찾은 취약점 후보 중 오탐이 많더라도 하나만 실제로 뚫리면 공격자는 성공한 것”이라고 설명했다. 이 같은 변화는 공격 대상이 되는 서비스를 ‘롱테일’에 가깝게 늘렸다. 이번에도 은행의 핵심 뱅킹 시스템뿐 아니라 임직원용 서비스, 대출 모집인용 조회 서비스처럼 상대적으로 보안 점검이 덜 이뤄지는 시스템도 공격 접점이 된 것이다. 주변 시스템을 노리는 공격은 AI 등장 전부터 있었다. 다만 과거에는 공격에 드는 시간과 노력을 고려해 상대적으로 효과가 큰 대상을 골라야 했다. 하지만 이젠 AI를 활용해 모든 시스템을 저인망식으로 훑는 게 가능해졌다. 박 대표는 “주변 서비스에는 당장 돈이 되는 민감 정보는 없지만 인증 체계가 부실한 경우가 많아 내...