AI platform
금융권 이어 한전·대학까지 개인정보 유출…보안 사각지대 점검 시급
투데이e코노믹 = 유서진 기자 | 금융권에 이어 한국전력과 대학에서도 개인정보 유출·노출 사고가 잇따르면서 보안 관리의 사각지대에 대한 우려가 커지고 있다. 금융권에서는 AI 도구를 활용한 자동화 공격 정황이 보고됐고, 대학에서는 학과·연구실 등이 운영하는 시스템의 취약점이 드러났다. 기관별 사고 원인을 규명하는 동시에 핵심 업무망뿐 아니라 직원용 시스템과 외부 협력업체까지 보안 점검 범위를 넓혀야 할 필요성이 제기된다. 10월 초 보도에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 금융회사 7곳에서 정보 유출이 확인됐다. 신한은행에서는 고객 약 2만5000명, 예가람저축은행에서는 약 4만명의 정보가 유출된 것으로 파악됐다. KB국민은행과 하나은행에서는 각각 고객 119명과 89명의 정보가 유출됐으며, BNK부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다. 공격 시도가 실제 정보 유출로 이어지지 않은 사례도 있다. 토스뱅크에서는 신한은행 공격에 사용된 일부 IP의 접근 시도가 확인됐지만, 접속을 차단해 고객정보 유출 피해는 발생하지 않은 것으로 보고됐다. 현재 금융권 사고에서는 공통 IP와 유사한 공격 수법, AI 도구 활용 정황이 주요 조사 대상이다. 금융당국은 공격자가 직원용·업무 지원 시스템 등 상대적으로 보안 관리가 취약한 영역을 노린 것으로 보고 있다. 다만 같은 IP나 도구가 발견됐다는 사실만으로 모든 사고를 동일 조직의 소행으로 단정할 수는 없다. 공격 주체와 정확한 침입 경로는 추가 조사가 필요하다. 피해는 공기업과 대학에서도 확인됐다. 한국전력은 지난 1일 직원 약 2만4000명의 이름과 소속, 전화번호 등이 외부 웹페이지에 노출된 사실을 인지했다. 한전은 고객정보와 주민등록번호 등은 노출되지 않았다고 밝혔으며, 이번 사고를 금융권의 AI 기반 해킹과는 무관한 것으로 보고 있다. 서울사이버대학교는 지난 4일 KISA로부터 구성원 개인정보로 추정되는 자료가 외부 사이트에 게시됐다는 통보를 받고 사고 경위를 조사하고 있다. 당시 유출됐거나 유출 가능성이 있는 항목에는 이름과 학번, 생년월일, 연락처, 이메일, 주소, 학적·학력 정보 등이 포함됐으며, 정확한 피해 규모는 확인되지 않았다. 서울대학교에서는 2021년부터 2026년까지 해킹 피해 28건이 발생한 것으로 나타났다. 이 가운데 개인정보 유출로 이어진 사고는 2건으로, 총 1132명의 정보가 유출됐다. 국회 제출 자료를 인용한 보도에 따르면 피해는 주로 학과와 연구실, 연구소 등에서 발생했으며, 홈페이지 취약점과 악성코드 감염, 네트워크 저장장치 불법 접근 등이 주요 수법으로 파악됐다. 이처럼 사고 경로와 발생 시점은 서로 다르지만, 보안 점검을 기관의 대표 홈페이지나 핵심 시스템에 한정해서는 안 된다는 과제는 공통적이다. 별도로 운영되는 서버와 외부 접속 시스템을 파악하고, 협력업체·외주 인력의 접근 권한과 계정 관리 상태도 확인해야 한다. 점검 과정에서 발견한 취약점이 실제로 해소됐는지 검증하는 후속 조치도 필요하다. 개인정보보호위원회에 따르면 개인정보 유출 신고는 2023년 318건, 2024년 307건, 2025년 447건으로 집계됐다. 2025년에는 전년보다 45.6% 증가했다. 다만 신고 건수는 피해 인원이나 유출 정보량을 뜻하지 않으며, 2024년에는 감소한 만큼 매년 증가했다고 보기는 어렵다. 정부는 긴급 대응을 강화하고 있다. 과학기술정보통신부와 KISA는 인터넷침해대응센터를 24시간 비상 체제로 운영하고 주요 기업 홈페이지 감시와 침해사고 대응 인력을 보강했다. 지난 4일에는 최고정보보호책임자(CISO)를 신고한 기업 약 2만8000곳에 보안 점검을 권고했으며, 공격에 사용된 해외 IP를 관련 클라우드 사업자에 전달해 악성 행위 차단을 요청했다. 향후 대응의 관건은 긴급 점검을 일회성 조치에 그치지 않도록 하는 데 있다. 기관별 취약점 개선과 협력업체 관리, 사고 정보 공유를 지속하고, 유출이 확인된 경우에는 피해 대상과 항목을 신속히 안내해야 한다. 외부 게시물 삭제 이후에도 정보가 악용될 가능성을 고려해 피해자 지원을 이어갈 필요가 있다. 개인정보 침해가 의심되면 KISA 개인정보침해 신고센터에서 신고·상담을 신청하거나 국번 없이 118로 상담받을 수 있다. 개인정보 일반 전화상담은 평일 오전 9시부터 오후 6시까지, 해킹·바이러스 긴급상담은 365일 24시간 운영된다.