[미디어펜=배소현 기자] AI 기반 사이버 공격이 빠르게 고도화되면서 해킹 사고가 단발성 사건에 그치지 않고 장기간에 걸쳐 추가 피해를 낳는 구조로 굳어지고 있다는 우려가 나온다. 한 차례 유출된 정보가 이후 범죄에 반복 활용될 수 있다는 점에서 사이버 보안에 대한 대응 방식도 재검토가 필요하다는 지적이다. 

이 가운데 정부는 화이트해커 등을 활용해 기업의 사이버 보안 취약점을 점검·보완하도록 하는 제도 도입을 검토 중이다. 업계에서는 이번 정부 논의가 선제적 보안 체계 구축을 촉진하는 계기가 돼야 한다는 제언이 나온다. 

30일 업계에 따르면 지난해 국내 통신사를 시작으로 금융·유통·플랫폼 등 주요 기업을 겨냥한 대규모 해킹 사고가 잇따르면서, 사이버 공격의 양상도 한층 복잡해지는 모습이다. 특히 해킹 과정에서 확보한 개인정보나 인증 정보가 이후 피싱, 계정 탈취, 금융 범죄 등 추가 범죄에 활용되며 피해가 연쇄적으로 확산되는 사례가 늘고 있다는 분석이다. 업계에서는 이 같은 구조가 고착화될 경우, 해킹 사고의 영향 범위와 지속 기간이 과거보다 크게 확대될 수 있다는 우려를 제기하고 있다.

특히 AI 기술의 빠른 발전은 사이버 공격 수단의 정교함을 높이며 해킹 피해가 더욱 심각해질 수 있다는 우려를 키우고 있다. 공격자는 AI를 활용해 실제 이용자와 구분하기 어려운 수준의 피싱 메시지와 딥페이크 콘텐츠 등을 대량 생성할 수 있게 됐다. 이로 인해 기존의 보안 시스템이나 이용자 주의만으로는 공격을 사전에 차단하기가 점점 어려워지고 있다는 지적이다. 

실제 과학기술정보통신부와 한국인터넷진흥원이 최근 발표한 '2025년 사이버 위협 동향과 2026년 사이버위협 전망 보고서'에 따르면, 2025년 침해사고 신고 건수는 2383건으로 2024년(1887건) 대비 26.3% 증가했다. 특히 하반기 증가세가 두드러졌다. 2024년 하반기 988건이던 신고 건수는 2025년 하반기 1349건으로 36.5% 늘어나며, 연말로 갈수록 사이버 위협이 집중되는 양상이 뚜렷해졌다. 보고서는 또 딥페이크 음성·영상 기반 피싱이 실시간 통화와 화상회의로까지 확산되고, AI 서비스 자체를 노린 공격이 현실화될 가능성이 크다고 분석했다.

이에 업계에서는 AI가 단순히 도움이 되는 기술에 그치지 않고 공격에도 활용될 수 있는 이중적 상황에 대응할 수 있는 보안 체계 정비가 시급하다는 목소리가 나온다.

이 같은 상황에서 과학기술정보통신부는 사이버 보안 정책의 무게중심을 '사고 이후 대응'에서 '사전 예방'으로 옮기는 데 주력하는 모습이다. 과기부는 최근 화이트해커 등을 통해 기업이 문제점을 공개하고 개선책을 도입·확대하도록 신고 절차와 면책 조건 등의 기준을 마련키로 했다. 보안 취약점을 조기에 발견하고 대응하는 구조를 만들겠다는 취지다. 업계에서는 이러한 접근이 글로벌 보안 정책 흐름과도 맞닿아 있다고 평가한다.

실제로 미국 등 해외 주요국에서는 화이트해커를 활용한 버그바운티 프로그램이나 취약점 공개 제도가 비교적 활발하게 운영되고 있다. 기업과 보안 전문가가 협력해 시스템 결함을 조기에 발견하고 수정하는 방식이 일반화된 반면, 국내에서는 그동안 해킹 사실 공개에 따른 이미지 훼손이나 규제 부담을 우려해 소극적인 태도를 보인 경우가 대다수였다. 이에 이번 제도 확대가 국내 기업들의 보안 인식과 대응 방식에 변화를 가져올 수 있다는 관측도 나온다.

업계에서는 기업의 보안 경쟁력이 해킹 사후 대응이 아니라 잠재적 위협을 사전에 발굴하고 차단하는 역량에 달려 있다고 강조한다. 해킹 피해가 발생한 이후에는 이미 이용자 정보가 외부로 유출돼 실질적인 피해 회복이 쉽지 않다는 점에서다. 이에 따라 취약점 점검과 보안 투자, 내부 관리 체계 강화 등 선제적 대응이 기업 경쟁력의 중요한 요소로 떠오르고 있다는 제언이 제기된다.

한 업계 관계자는 "해킹 사고는 한 번의 침해로 끝나지 않고, 탈취된 정보가 장기간에 걸쳐 악용될 수 있다는 점에서 위험성이 크다"며 "정부가 화이트해커 활용과 자율적 취약점 공개를 제도적으로 뒷받침하겠다는 방향을 제시한 만큼, 기업들도 선제적 보안 강화에 적극 나설 필요가 있다"고 말했다.