[이코노미스트 이지완 기자] “창과 방패의 싸움은 기술이 아닌 시간에 달렸다.”

김준엽 라바웨이브 대표는 24일 서울 중구 소재 커뮤니티하우스 마실에서 진행된 제 12회 이코노미스트 테크포럼의 강연자로 나서 ‘인공지능(AI) 시대 보안의 실제 사각지대’를 주제로 강연하며 이처럼 말했다.

공격자들은 고도화된 보안 시스템을 직접적으로 공격하지 않기 때문이다. AI 시대의 공격자들은 유효한 자격 증명을 탈취·오용하거나 피싱 등으로 신원을 획득해 침입이 아닌 로그인 형태로 접근하는 방식을 취한다. 바로 ‘신원 기반 공격’(identity-based attacks)이다.

김 대표는 “좋은 보안 제품이 있다고 해도 안심할 수 없다”며 “공격자들은 강력한 보안 제품을 직접 건드리지 않고 기업 임직원을 공격하는 것이 더 효과적이라고 생각한다”고 설명했다.

정면 돌파형 악성 행위는 여전히 존재한다. 하지만 최근 들어 보안 시스템을 우회하는 신원 기반 공격 사례가 늘어나는 것이 사실이다. ‘마이크로소프트 디지털 방어 보고서’에 따르면 지난해 상반기 신원 기반 공격은 전년 동기 대비 32% 증가했다.

김 대표는 “A사의 시스템을 직접적으로 공격하지 않고 사용자 목소리를 카피해 명령을 내리는 영상을 본 적이 있다”며 “신원 획득을 통해 공격자의 행위가 정상적인 이벤트로 보이게 한다. 이처럼 보안 시스템을 무력화시키는 사례가 많아지고 있다는 것을 인지해야 한다”고 강조했다.

‘다중 인증 방식’(MFA·Multi-Factor Authentication)도 안심할 수 없다. 김 대표는 직접 경험한 사례를 소개하기도 했다. 그는 “저를 사칭해 직원들에게 스팸 메일을 보내는 사례가 꾸준히 발견되고 있다”며 “스팸 메일을 보니 저와 말투까지 유사해 깜짝 놀랐다. 그만큼 직원 보안 교육이 중요하다는 얘기를 하고 싶어 이런 말을 꺼내는 것”이라고 말했다.

그는 보안 담당자뿐 아니라 다른 직무를 가진 직원들도 관련 교육을 충실히 받아야 한다고 강조했다. 김 대표는 “외부에서 정상적인 인증으로 가장해 들어오는 이벤트를 항상 의심하는 습관을 가질 수 있도록 내부 교육이 선행돼야 한다”며 “항상 의심을 하는 습관이 중요하다”고 당부했다.

그러면서 “보안 직무가 아닌 직원들에게는 침해 행위가 도대체 왜 위험한 것인지 와닿지 않는다. 결국은 이들의 공감을 이끌어내는 것이 중요하다고 생각한다. 보안 문제 발생 시 기업의 매출이 얼마나 감소하는지, 이로 인해 나의 직무가 어떻게 변하는 것인지 알려주는 것이 필요하다”고 덧붙였다.

마지막으로 김 대표는 대다수가 활용하고 있는 AI도 정보 보안 측면에서 주의해야 한다고 당부했다. 그는 “요즘 시대에는 AI 자체가 정보 보안의 빈틈”이라며 “챗지피티, 제미나이 등의 코드를 감염시키는 AI 포이즈닝이라는 공격 기법이 있다. 참조 페이지 자체를 악성 스크립트로 감염시키는 것인데, 이에 노출되면 내부 정보가 고스란히 전송된다”고 설명했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지