2024년 현황을 조사한 '2025 정보보호 실태조사'에서 네트워크를 갖춘 10인 이상 기업 80.6%는 정보보호가 중요하다고 답했다. 그런데 45.2%는 관련 예산을 쓰지 않았다. 사업과 직접 관련이 없다고 보는 회사도 있지만, 위험을 알면서도 인력과 시간이 없어 손대지 못하는 회사도 있다.
필자도 서비스를 직접 운영하며 같은 어려움을 겪었다. ISMS 인증심사를 앞두고 어떤 결함이 나올지 짐작하고 있었지만, 고객 서비스 개발과 사업 요청이 이어지는 상황에서 개발을 멈추고 취약한 코드를 대량으로 고치기는 쉽지 않았다.
그사이 공격 환경이 달라졌다. 9월 말 시작된 금융권 연쇄 해킹에서 공격 도구로 지목된 것은 ARTEX다. 중국에서 개발돼 깃허브에 공개돼 있던 오픈소스 모의해킹 도구다.
아직 당국이 조사 중이라 단정하기는 이르지만, 크라우드스트라이크와 지스케일러 같은 해외 보안기업은 공격자가 이 도구에 딥시크 등 AI 모델을 연결해 썼다고 분석했다.
공개 AI 모델 성능도 빠르게 좋아지고 있다. 영국 AI보안연구소는 7월 분석에서 공개 모델 해킹 능력이 프런티어 모델보다 4개월에서 7개월 뒤처진다고 추정했다. 지난해 6개월에서 10개월보다 격차가 줄었다. 아직 성능 차이는 크지만 비용은 훨씬 적게 든다.
연구소는 같은 공격 작업을 수십 분의 1 비용으로 돌릴 수 있는 공개 모델도 있다고 봤다. 공격 비용이 내려가면 작은 회사도 공격 대상이 되기 쉽다.
AI는 취약점을 찾는 데도 쓰인다. 연구진이 AI 도움을 받아 찾아낸 PHP의 치명적 취약점 'PHP2shell'이 대표적이다. 10월 21일 패치가 나왔고, 정부는 이튿날 민간 사이버위기 경보를 '주의'로 높였다.
한국은 PHP 의존도가 세계 평균보다 높다. W3Techs 집계를 보면 서버가 한국에 있는 웹사이트 82.6%가 PHP를 쓴다. 세계 평균은 69.2%다. 해외 보안업체들의 집계로는 버전을 알 수 있는 국내 PHP 서버 80% 이상이 공식 지원이 끝난 예전 버전을 쓴다. 새 버전으로 옮겨야 하지만, 게시판이나 회원, 결제 기능에 오류가 날 수 있어 바로 바꾸기 어려운 곳도 있다.
AI가 공격에 쓰이는 현실에 대한 고민은 10월 28일 한국인공지능·소프트웨어산업협회 초거대AI추진협의회 회의에서도 이어졌다. 엔키화이트햇 최창진 이사는 연 1회 점검으로는 부족하다며 상시 점검을 강조했고, S2W 김재기 최고제품책임자(CPO)는 공격 기법보다 속도와 범위가 달라졌다고 분석했다.
참석자들 사이에서는 중소기업이 개별적으로 대응하기 어려우니 공동 보안 방어망 같은 지원이 필요하다는 요청이 나왔다.
기업이 먼저 확인할 것은 외부에 열려 있는 시스템 목록이다. 외주로 만든 서비스와 호스팅으로 운영하는 서비스까지 식별하고 쓰지 않는 것은 정리해야 한다. 중소기업은 파악한 시스템을 KISA의 보안 점검 지원으로 점검받을 수도 있다.
보안은 기업이 스스로 책임질 일이라는 말은 맞다. 다만 보안 규제가 엄격한 금융권에서도 해킹 사고가 이어지고 있다. 금융회사도 이런데, 앞으로 AI를 활용한 해킹까지 작은 회사 혼자 막으라고 말하기는 어렵다.
내년 예산안에 중소기업 약 1만 곳을 위한 보안 구독 지원을 신규 반영한 것은 의미가 있다. 정부는 올해 인공지능 행동계획에 AI 기반 사이버 방어 기술 개발을 포함했고 5월에는 민간 정보보호 추진계획도 발표했다. 구체적인 방식은 앞으로 정해질 것으로 보인다.
산업계 목소리를 전하는 입장에서 제안한다면, 구독 지원이 문제를 알려 주는 데서 끝나지 않았으면 한다.
싱가포르는 보안 인력을 두기 어려운 중소기업에 정부가 등록한 컨설턴트가 외부 보안 책임자 역할을 해 주고 적격 중소기업은 비용 최대 70%를 지원받는다. 일본은 보안 상담, 이상 징후 감시, 사고 초기 대응, 사이버 보험을 묶은 저렴한 보안 서비스 기준을 만들었다.
호스팅사와 납품 SW 기업을 우선 지원하는 방안도 검토해 볼 수 있다. 한 곳을 고치면 그 서버와 제품을 쓰는 여러 회사가 함께 안전해질 수 있다.
왜 세금으로 개별 기업 보안을 지원하느냐고 물을 수 있다. 그러나 작은 회사 사고는 그 회사로 끝나지 않을 수 있다. 납품 SW 기업이 뚫리면 그 제품을 쓰는 고객사가 위험해지고, 협력사 사고는 거래처까지 번질 수 있다.
관련기사
- [기고] 오픈웨이트 AI, 무료보다 먼저 따져야 할 것2026.10.15
- "새벽 3시에 해킹 있다면...AI공격 AI로 막아야"2026.11.11
- [AI 리더스] 한국, 에이전트 시대 준비됐나…호주 기업이 본 AI기본법2026.11.09
- 배경훈 부총리 "사이버안보 대응, 안보실 중심으로 논의 중"2026.11.06
일본도 보안 서비스 기준을 만들며 공급망 전체의 보안 강화를 목적으로 밝혔다. 세금을 쓰는 만큼 성과는 지원한 기업 수가 아니라 실제로 고친 보안 취약점 수로 재야 한다. 지원을 받고도 고치지 않았는데 실적으로 잡히면 곤란하다.
보안 예산을 쓰지 않은 45.2% 기업이 모두 보안을 가볍게 본 것은 아닐 것이다. 첫발을 뗄 인력과 시간, 비용이 없는 회사도 있다. 내년 구독 지원이 문제 해결까지 돕는다면 알면서도 못 하던 기업들도 대응을 시작할 수 있다.
*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.
