스타트업 경영 코치 수드입니다.
옆문과 AI 해킹의 위협: 최근 금융권 유출처럼 정밀하게 지키던 고객용 앱이 아닌 '내부·외주용 시스템(옆문)'이 다중 AI 에이전트의 자동화 침투 공격에 뚫리고 있습니다.
10월 1일 신한은행을 시작으로 국민·하나·부산은행, 저축은행과 캐피탈까지 개인정보 유출이 잇달아 확인됐습니다.
뚫린 곳은 고객용 앱이 아니었습니다. 대출모집인·직원·외주용 시스템, 곧 '옆문'이었습니다.
스타트업의 개인정보 유출도 대개 같은 곳에서 시작합니다. 개발을 모르는 대표도 30분이면 확인할 수 있는 로그인 점검표 7가지와, AI 해킹 시대에 걸맞은 새로운 보안 대안, 그리고 유출 정황 발생 시 72시간 행동 지침을 정리했습니다.
1. 무슨 일이 있었나: 정문이 아니라 옆문이 뚫렸다
가) 금융사별로 뚫린 곳
① 신한은행: 대출모집인 전용 간편 조회 서비스 'M 신한'의 취약점으로 인해 고객 약 2만 5천 명(국회 제출 자료 기준 25,729명)의 이름·전화번호·연 소득·대출 신청 상품 및 한도 등이 유출됐습니다.
② KB국민은행(119명), 하나은행(89명): 직원이 사용하는 내부 영업·업무지원 시스템(ODS 등)이 공격받아 해당 시스템에 저장되어 있던 고객의 개인정보가 유출됐습니다.
③ BNK 부산은행: 모바일 영업지원시스템 관련 웹페이지를 통해 일반 고객 정보가 아닌 '외주 개발직원 11명'의 신상정보가 유출됐습니다.
④ 제2금융권: 현대캐피탈은 주택 대출 모집인 조회 페이지가 공격받아 고객이 아닌 '대출모집인 146명 중 일부'의 정보가 유출됐습니다. 예가람저축은행에서는 외부 솔루션 취약점을 노린 서버 해킹으로 고객 약 4만 명의 정보가 유출되어 수법의 차이를 보였습니다.
나) 공격 수법과 본질적 원인
이번 연쇄 침해는 다크웹에서 확보한 계정 정보를 무차별 대입하는 '크리덴셜 스터핑(Credential Stuffing)'과 함께, 다중 AI 에이전트를 동원해 취약점을 자동 탐색하고 인증을 우회하는 고도화된 수법이 결합된 것으로 파악되고 있습니다.
철저히 방어하던 뱅킹 앱(정문)과 달리, 외주 파트너나 직원이 쓰던 업무 지원 웹페이지(옆문)가 금융권 전체에서 가장 취약한 보안의 고리였음이 드러났습니다.
2. AI 해킹의 위협: 왜 기존 정보 보안 체계로는 막기 힘든가?
가) AI 침투 도구와 기존 룰(Rule) 기반 방어의 무력화
이번 사태에서 주목할 점은 공격자가 'AI 기반 침투 자동화'를 동원했다는 정황입니다. 신한은행 공격 서버 등에서 다중 AI 에이전트 기반 오픈소스 침투 도구의 흔적이 포착되었습니다.
① 머신 속도의 무차별 취약점 탐색: 기존에는 해커가 수작업으로 시스템 취약점을 찾았으나, 이제는 AI 에이전트가 서브도메인, 외주사 접속 포털, 잊힌 관리자 페이지를 24시간 자율 탐색합니다.
② 정적 규칙(IP 차단·시그니처) 우회: 기존 방화벽은 고정된 IP 차단이나 반복 입력 횟수 제한(Rate Limiting)에 의존합니다. 하지만 AI는 전 세계 수천 개 분산 프록시 IP를 갈아타며 사람의 타이핑 간격과 마우스 궤적을 정교하게 모사하여 CAPTCHA와 단편적인 룰셋을 손쉽게 통과합니다.
나) 성벽(망분리) 중심 보안 모델의 한계
전통적인 보안은 "외부 침입을 막는 높은 성벽(방화벽·망분리)을 세우면 성 안은 안전하다"라는 모델이었습니다. 하지만 클라우드(SaaS), 외부 API 연동, 원격·외주 협업이 일상화된 스타트업 환경에서는 이미 물리적 경계가 무너졌습니다. 단 하나의 외주 계정이나 내부 직원의 옆문이 뚫리는 순간 성벽 전체가 무력화됩니다.
다) 새로운 보안 대안 패러다임: 제로 트러스트와 AI 방어
정적인 성벽 쌓기에서 벗어나 능동적인 검증 체계로 전환해야 합니다.
① 제로 트러스트(Zero Trust, "절대 신뢰하지 말고 항상 검증하라")
사내망이나 승인된 계정이라도 무조건 신뢰하지 않습니다. 접속 기기의 보안 상태, 접속 위치, 시간 등 접속 맥락을 매 순간 지속 검증하고, 담당 업무 외의 타 시스템 접근을 원천 분리하는 마이크로세그멘테이션(Micro-segmentation)을 구현해야 합니다.
② 행위 기반 AI 이상 탐지
단순 횟수 제한을 넘어 AI/머신러닝으로 사용자의 정상 접속 패턴(활동 시간, 데이터 다운로드 양, 브라우저 지문)을 학습하고, 평소와 다른 이상 징후를 실시간 점수화(Risk Scoring)하여 자동으로 2차 인증을 요구하거나 차단해야 합니다.
③ 공격 표면 지속 관리
외주사가 테스트용으로 열어둔 포트나 방치된 서브도메인 등 외부에 노출된 디지털 자산을 지속적으로 스캔해 불필요한 '옆문'을 선제적으로 폐쇄해야 합니다.
3. 스타트업 개인정보 유출, 왜 대기업보다 치명적인가?
가) 관리되지 않는 '옆문'의 방치
빠른 제품 출시(Time-to-Market)에 쫓기다 보면 관리자 백오피스에 2단계 인증(MFA)을 붙이지 않은 채 넘어가는 경우가 흔합니다.
외주 개발사나 프리랜서가 쓰던 계정은 프로젝트가 끝나도 방치되기 일쑤고, 편의상 'admin' 공용 계정 하나를 팀 전체가 공유하기도 합니다.
계정 권한 분리와 최소 권한 원칙의 중요성은 지난 9월 23일 글 「AI에게 대표 계정을 주면 생기는 일: 초기 스타트업 권한 설계 3가지 기준」에서도 자세히 다룬 바 있습니다. 사람과 도구 모두에게 '필요한 만큼의 권한'만 부여하는 것이 옆문 보안의 첫걸음입니다.
나) 128억 원 과징금, 방치의 대가
2026년 8월 26일 개인정보보호위원회는 크리덴셜 스터핑으로 약 166만 명의 정보가 유출된 GS리테일에 과징금 128억 3,600만 원을 부과했습니다(8월 31일 발표).
단시간에 쏟아진 비정상 대량 로그인 시도를 탐지·차단하지 못했고, 유출 인지 후 초기 대응과 추가 피해자 통지가 지연된 점이 주요 처분 사유였습니다.
다) 9월 11일부터 달라진 징벌적 과징금 기준
2026년 9월 11일 시행된 개정 개인정보보호법에 따라 처벌 수위는 한층 무거워졌습니다. 일반 위반은 기존처럼 '위반행위와 관련 없는 매출액을 제외한 매출액의 3%' 상한이 적용되지만, 아래와 같은 중대 위반 시 '전체(총) 매출액의 최대 10%'까지 과징금을 부과할 수 있습니다.
① 고의·중과실로 3년 이내에 위반 행위를 반복한 경우
② 고의·중과실로 1천만 명 이상의 대규모 정보주체에게 피해를 준 경우
③ 시정명령을 불이행하여 동일한 유출 사고를 다시 일으킨 경우
자금 여력이 부족한 스타트업에게 매출 기반 과징금과 고객 신뢰 상실은 곧바로 회사 존폐의 위기로 직결됩니다.
4. 대표가 직접 챙기는 로그인 점검표 7가지
개발 코드를 직접 몰라도 괜찮습니다. 이번 주 사내 미팅에서 개발팀이나 외주 파트너사에게 아래 7가지를 확인하세요. 괄호 안은 법적 근거인 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시, 2026년 7월 개정판) 조항입니다.
가) 핵심 점검 7항목
① 옆문 목록 관리: "고객 로그인 화면 외에 관리자·임직원·외주사·협력사가 접속하는 화면 목록이 빠짐없이 정리되어 있나요?"
② 로그인 실패 제한 및 지연: "비밀번호를 5회 등 일정 횟수 이상 틀리면 계정 접속이 차단되거나 추가 인증(CAPTCHA 등)을 강제하나요?" (제5조 제6항)
③ 관리자 2단계 인증(MFA) 강제: "사외 망에서 관리자 시스템에 접속할 때 OTP, 모바일 앱 승인 등 2단계 인증을 필수적으로 거치나요?" (제6조 제2항)
④ 공용 계정 금지 및 권한 즉시 회수: "한 계정을 여럿이 돌려쓰지 않나요? 퇴사자나 계약 종료된 외주사 계정은 지체 없이 삭제·회수되나요?" (계정 공유 금지 제5조 제4항, 권한 말소 제5조 제2항)
⑤ 이상 징후 탐지 및 Rate Limiting: "동일 IP에서 짧은 시간에 대량 로그인이 몰릴 때 접속 속도를 제한하고 담당자에게 즉각 알림이 전송되나요?" (제6조 제1항)
⑥ 비밀번호 일방향 암호화: "비밀번호를 복호화가 불가능한 안전한 일방향 단방향 해시(Salt 적용)로 암호화하여 저장하고 있나요?" (제7조 제1항)
⑦ 접속 기록 보관 및 정기 점검: "접속 기록을 1년 이상 위·변조 방지 상태로 보관하며 정해둔 주기마다 점검하나요?" (제8조)
(※ 정보주체 5만 명 이상이거나 고유식별 정보·민감정보를 처리하는 시스템은 2년 이상 보관 의무가 있습니다. 점검 주기는 사내 내부관리 계획에 따라 '월 1회' 등으로 정해 철저히 이행해야 합니다.)
나) 체크리스트
다) 수드의 실무 전략 팁
① 외주 계약서 조항 명시: 외주 용역 계약서 및 최종 검수 확인서에 "용역 업무 종료 즉시 시스템 접속 계정 삭제 및 권한 회수 확인" 문구를 필수 조항으로 삽입하세요.
② 보안 투자를 통한 과징금 감경: 2026년 9월 11일 시행된 개정 시행령에 따르면, 법적 최소 기준을 넘어 정보보호 예산·인력·설비를 선제적으로 투자하고 우수하게 운영한 기업은 과징금 기준금액의 최대 40%까지 감경 받을 수 있습니다.
(단, 고의·중과실 위반은 감경 제외.) 보안 지출은 회사의 다운사이드 리스크를 방어하는 전략적 경영 투자입니다.
5. 유출 정황 발생 시 72시간 골든타임 행동 지침
사고는 발생 자체보다 인지 직후 초기 72시간 동안의 정밀한 대응 속도가 결정적입니다.
가) 초기 24시간: 확산 차단과 기록 격리
① 계정 차단 및 세션 무효화: 침해 의심 계정의 활성 세션을 즉시 강제 종료하고 비밀번호를 전면 재설정합니다.
② 접속 기록(로그) 무결성 확보: 침투 경로 파악과 유출 규모(피해 건수, 항목) 확정을 위해 서버 접속 기록을 즉시 백업해 안전한 격리 스토리지에 봉인 보관합니다. (체크리스트 7번 기록이 없으면 원인 분석이 원천 차단됩니다.)
나) 72시간 이내: 피해자 통지 및 관계 기관 신고
① 정보주체(고객) 통지: 유출을 인지한 때로부터 72시간 이내에 피해 고객에게 알려야 합니다(시행령 제39조). 전체 조사가 완전히 끝나지 않았더라도 우선 파악된 사실 위주로 1차 통지하고, 추가 조사 내용은 확인 즉시 순차적으로 재안내합니다.
② 유출 가능성 통지: 불법 접근으로 유출이 강하게 의심되거나 다크웹 등에서 일부 정보 유통이 확인된 경우, 피해자가 아직 확정되지 않았더라도 '가능성 단계'에서 72시간 내 통지해야 합니다(법 제34조 제2항). 추후 유출이 없었던 것으로 확인되면 정정 통지하면 됩니다.
③ 전문 기관 신고: 유출 규모가 1천 명 이상이거나, 고유식별정보·민감정보가 포함되었거나, 해킹 등 외부 불법 접근에 의해 발생한 경우에는 72시간 이내에 개인정보보호위원회 또는 KISA에 신고해야 합니다(시행령 제40조).
(※ 해킹 사고는 피해 규모와 상관없이 전건 신고 대상입니다.)
다) 후속 조치: 전수 감사 및 2차 피해 차단
유출된 내역, 연락처 등은 AI 음성합성과 결합된 정밀 보이스피싱(딥보이스) 등 2차 금융 범죄로 악용될 위험이 큽니다. 사고 직후 전사 시스템을 전수 점검하고 피해 고객들에게 피싱 주의 요령을 신속히 고지해야 합니다.
6. 일반 사용자(소비자)가 알아야 할 개인정보 유의점
기업의 보안 강화 못지않게, 일반 사용자 역시 개인 계정이 연쇄 해킹의 통로로 쓰이지 않도록 일상 보안 습관을 갖춰야 합니다.
가) 사이트별 비밀번호 분리 사용
해커 봇은 한 사이트에서 탈취한 패스워드를 포털과 금융 사이트에 무차별 대입합니다. 주거래 은행이나 포털 계정은 반드시 타 사이트와 구별되는 고유 비밀번호를 사용해야 합니다.
나) 2단계 인증 생활화
네이버, 카카오, 구글, 금융 앱 등에서 제공하는 '앱 알림 승인'이나 'OTP' 등 2차 인증을 필수 활성화하세요. 비밀번호가 노출되더라도 비인가 접속을 원천 차단할 수 있습니다.
다) 미이용 서비스 탈퇴 및 간편 로그인 연동 해제
과거 소셜 로그인으로 가입한 뒤 쓰지 않는 웹사이트는 회원 탈퇴를 진행하고 연동을 해제해야 합니다. 방치된 사이트가 해킹당할 때 내 정보가 연쇄 공격의 데이터로 악용되는 것을 막을 수 있습니다.
💡 초보자를 위한 핵심 요약
1. 이번 금융권 연쇄 유출 사고는 고객용 앱이 아니라 직원·모집인·외주사용 내부 시스템('옆문')에서 발생했습니다.
2. AI 에이전트를 동원한 침투 공격 앞에서는 기존 정적 방화벽이 무력화되므로, 제로 트러스트(지속 검증)와 행위 기반 AI 방어 패러다임이 필수적입니다.
3. 스타트업 대표는 관리자 2단계 인증, 외주·퇴사자 계정 회수, 일방향 암호화 등 7대 항목을 이번 주 즉시 점검하고, 유출 인지 시 72시간 골든타임 수칙을 준수해야 합니다.