** 이글은 12월 3일 하루만 무료입니다~!**
최근 잇달아 대기업들이 #개인정보유출 소식으로 소비자들을 불안하게 하고 있어요. #쿠팡 만의 문제가 아니에요. 현재 유통 기업들인 각종 해킹 공격의 표적이 되고 있어요. #생성AI 가 낳은 부작용 중 가장 심각한 것이 대량의 정교한 공격이 가능해졌다는 거요. 심지어 요즘식 공격은 방화벽이나 IDS가 공격으로 감지 못하기도 한답니다. 소위 #아이덴티티기반공격 들은 정상사용자처럼 captcha와 auth를 뚫고 입장해요. 쿠팡의 경우는 뭐였을까요? 직원이 범죄자였을까요, 아니면 혹 직원의 개인정보마저 털렸을까요? 왠만큼 유명한 쇼핑몰이라면, 이 순간 AI가 공격하고 있다고 보심이 옳아요. 최근 2-3년 어떤 위험들이 늘고 있는지 정리해보았어요.
안냐세요~ 상쾌한 아침입니다!
요즘 연일 쿠팡 개인정보 유출 소식으로 언론과 뉴스가 도배되고 있어요. 쿠팡의 데이터 유출은 카카오와 SK텔레콤 해킹 사건 이후 가장 큰 충격이에요.
이제 보안 문제는 쿠팡만의 문제가 아니랍니다. 이제 유통 기업은 각종 해킹 공격의 표적이 되고 있어요.
2022년 말 ChatGPT 등의 생성 AI 등장 이후 전세계 기업들을 향한 사이버 공격은 그야말로 ‘폭발적으로’ 증가하는 추세예요. 공격의 빈도도 빈도지만, 공격의 정교함이 높아진 게 큰 문제인데요. 생성 AI가 공격자들에게 “치트키”가 된 측면이 있어요.
Industrycyber에 따르면 랜섬웨어1파일, 문서, 이미지 등 기업에서 높은 가치가 있는 데이터를 암호화한 후에 접속 권한을 되찾고 싶으면 금품을 지불할 것을 기업에 요구하는 일종의 맬웨어의 경우 2025년 들어 전세계 발생 건수가 전년 대비 46% 폭증했어요. 이렇게 늘어나는 피싱, 랜섬웨어 등을 통해 입은 대표적 피해 유형은 바로 데이터 유출… 툭하면 털리는 직원 신상이나 고객 신상, 거래처 신상 등은 기업들에게 정말 심각한 문제로 다가와요.
Identity Theft Resource Center는 2년 전인 2023년 데이터 유출이 미국 기준으로 사상 최대인 3,205건으로 2022년 대비 78% 늘었다고 말해 충격을 주었던 바 있어요. 그런데 이듬해인 2024년 6월엔 또 다시 역대 최악을 갱신하며 상반기에만 1,475건을 기록해 세상을 경악에 빠뜨렸죠.
다행히 연말에는 2023년보다 1% 줄어든 3,158건으로 마감하는가 싶었지만… 껀수가 중요한 게 아니었으니..ㅠㅠ
지난 한 해 동안 발송된 데이터 유출 통지(Data Breach Notices)는 총 13억 5천만건으로, 2023년의 4천193만 건 대비 211% 증가했답니다. 쿠팡도 껀수는 1건이지만 3천만 넘는 계정이 털렸듯이.. 3,158건 중 5건이 소위 ‘메가 유출’이었지 뭐예요. 이 5건의 메가 유출로 인한 통지가 무려 10억건이었어요.
여기서 조심해야 할 것은 대기업일수록 좋은 먹잇감이 되고 있다는 거예요. 전체 데이터 유출 껀수 중 상장 기업의 껀수는 침해된 전체 조직 중 7%(221개 기업)에 불과했지만, 피해자 통지의 72%는 상장 기업에서 나왔어요. 대기업일 수록 유출에 취약한 셈인데, 그건 범죄자 입장에선 대기업의 데이터야말로 공격할 가치가 있기 때문이에요.
특히 2024년에는 제조업 유출사고가 전년비 30% 증가하고, 유통 기업도 전년비 20% 증가하는 등, 리테일 관련 기업들이 공격 대상이 되고 있어요. 제조업이나 리테일들은 고객용 온라인몰 외에도 셀러용 플랫폼이나 물류 플랫폼 같은 제3자 서비스용 플랫폼들을 주렁주렁 가지고 있고, 이 연결고리들이 보안에 취약한 구석들이 있거든요. 딱 여기를 물고 들어가 공격해대는 하이에나 같은 해킹들이 늘고 있는 것이죠.
오늘 요 얘길 좀 자세히 해볼께요. 쿠팡은 이번 유출이 사이버 공격이 아니라 ‘내부 유출’이라고 보고 있지요?’ 사이버 공격’과 ‘내부 공격’은 해킹의 쌍두마차인 것.
지금은 쿠팡 걱정할 때가 아니에요. 한국에서 ‘들어봄 직한’ 쇼핑몰을 운영하고 계시다면, 바로 여러분도 공격의 대상이에요. 최근 G마켓에서도 계정이 털렸다는 소비자들이 여럿 나타나고 있는데요. 여러분의 보안은 무사하신지, 오늘 요 2-3년간 일어난 일들을 집중적으로 훑어볼께요. 좌, 다같이 고고씽!
제조 리테일 기업들 특히 조심해야
사이버 보안의 중요성이 특히 강조되기 시작한 건 팬데믹 전후예요. 그때부터 해커들의 공격이 폭증하기 시작했는데요. 여기 생성 AI가 불을 붙이면서, 2023년부터는 걷잡을 수 없는 수준이 되었어요. 이 시기부터 제조 리테일 기업들도 타겟이 되기 시작하죠.
초기엔 본사 시스템이 아닌 제3자 연결 시스템이 주된 공격 대상이었어요. 2023년 아마존의 3차 벤더 파일전송솔루션에 러시아계 해커가 침입해 직원 정보 280만 줄(line of data)의 정보가 유출된 적 있었죠. P&G도 2024년 직원들의 유연근무를 위해 고안된 GoAnywhere가 털려나갔던 바 있구요.
그런데 올해 들어선, 더 직접적인 본사 시스템에 대한 해킹이 늘고 있어요. 영국의 Marks & Spencer는 2025년 5월 부활절 연휴 무렵 해킹을 당해 6주 이상 온라인 주문이 중단되고 일부 매장 진열대가 비게 되는 사태를 겪었답니다. 이 공격으로 인한 손실은 무려 약 3억 파운드..!
Victoria’s Secret도 2025년 5월 공격을 받아 미국 온라인 쇼핑 웹사이트가 4일간 셧다운되고 일부 매장 서비스가 중단됐어요. 이로 인해 Victoria’s Secret은 1분기 실적 발표를 연기하기도요.
올해 9월 일본의 아사히도 대규모 랜섬웨어 공격으로 회사가 거의 마비되는 일이 일어났답니다. 아사히가 급히 회사 시스템을 셧다운하면서, 일본 내 그룹사 전반의 수주·출하 시스템, 출하 및 물류 기능이 마비되었어요. 현재까지도 수작업 대응을 통해 일부만 제한적으로 출하가 재개된 상태예요. 아사히는 “2026년 2월까지 국내 물류 업무 정상화”를 목표로 삼고 있어요. 정상화에 반년이나 걸리는 아픔… ㅠㅠㅠ
10월에도 일본의 또 다른 대기업 아스쿨 또한 랜섬웨어에 감염된 사실을 확인했답니다. 법인용 서비스인 “ASKUL”, 개인용 EC “LOHACO(로하코)” 등이 모두 기능을 멈췄고 10여일 뒤에 해킹 단체 RansomHouse가 이번 공격을 자기네가 했다고 선언했죠. 쿠팡처럼 배송지 주소, 주문 정보, 전화번호 등이 유출되었는데 아직 정상화는 안된 상황이에요.
생성 AI로 스마트해진 해커들
Fortinet 보고서에 따르면, 85%의 사이버 보안 전문가들은 최근 사이버 공격 증가 원인으로 공격자들의 생성 AI 활용을 지목하고 있어요. AI의 발전으로 기업의 개발 능력도 비약적으로 향상되었지만, 사이버 범죄자들의 스킬도 비약적으로 발전하고 있는데요. AI로 인해 범죄자들은 시스템을 악용할 수 있는 더 빠르고 스마트한 방법을 가질 수 있게 됐어요.
실제로 Tech Advisors에 따르면, 2024년 하반기 피싱 이메일이 202% 급증했는데, 전체 피싱 이메일의 82.6%가 AI 기술을 일부라도 활용하고 있더랍니다. AI와 자동화로 피싱 이메일 작성 속도를 최대 40% 높일 수 있게 되자 공격 규모도 함께 커지게 된 거예요.
현재 온라인의 백엔드는 누군가는 AI로 공격하고 누군가는 AI로 막는 보이지않는 전쟁터와 다를 바 없어요.
해커들은 자동화된 스캔과 봇넷을 활용해 취약점을 대규모로 찾아내고 공격하면서, 여러 경로로 동시다발 침투를 시도해요. 과거에는 단일 벡터(예를 면 이메일 피싱 한 가지)에 의존했다면, 이제는 피싱으로 로그인 정보를 탈취한 뒤 악성 코드를 심어 추가 권한을 획득하거나, 동시에 웹 애플리케이션 취약점과 클라우드 설정 오류를 함께 노리는 등 복합공격이 일반화되었어요.
IBM에 따르면, 실제 관찰된 침해의 약 30%는 공격자가 합법적인 계정(credentials)을 이용해 은밀히 내부에 침투하는 “아이덴티티 기반 공격”이었어요. 요즘 AI 봇들이 사람처럼 가장하고 captcha도 통관한답니다. 이 봇들은 피싱으로 인증 정보를 훔치고 정상 사용처럼 행동하는 덕에 기존 방화벽, IDS(침입 탐지 시스템, Intrusion Detection System), EDR(단말기 탐지·대응 시스템, Endpoint Detection & Response) 등이 공격으로 인식을 못하는 수가 있어요.
이게 어떻게 가능하냐구요? 이미 털린 곳들이 많잖아요…ㅠㅠㅠ 털린 곳들 정보를 모아모아…여기 아이디에 저기 비번 입력해보고, 저기 아이디에 여기 비번 입력해보고.. 이런 작업을 AI가 미친 듯이 대량으로 꿰맞춘다 아임미까. 쿠팡 비번이 털리지 않았다고 해서 안심할 수 있는 부분이 아닌 것이죠. ㅠㅠㅠ
또한 해커들의 협박도 복합적이 되고 있어요. 과거엔 시스템을 암호화한 뒤 돈 내놓으면 풀어주겠다는 협박만 했잖아요? 지금은 여기서 그치지 않고 다중 협박을 해요. 회사도 협박하지만, 쿠팡 사례처럼 고객에게 직접 협박성 연락을 취하거나, 심지어 DDoS 공격까지 병행하는 등 압박 수위를 높이고 있는 거죠. 고객 하나를 협박하는 건 큰 돈이 안되지만, 해커들은 고객이 놀라 회사에 연락하고 사회적 이슈가 되는 심리전을 노리고 있어요.
IBM에 따르면 2024년에 데이터 침해로 인한 평균 비용은 488만 달러예요. 즉 해킹 한 번 당하면 평균 7-80억원이 털리는 건데요. 이런 피해 비용은 2027년에 23조 달러를 넘어설 것으로 보여요.
쿠팡은 뭐였을까요.. 내부 공격? 아이덴티티 기반 공격?
대부분의 기업들이 해킹을 당하고 나면 사이트를 셧다운해요. 특히 랜섬웨어에 감염되거나 한 경우 서비스를 내리고 상황을 점검하는 일이 우선 순위죠.
그런데 쿠팡은 약 3,370만 건의 고객 개인정보가 유출된 후에도 사이트나 앱 운영을 중단하지 않았어요. 쿠팡은 외부의 대량 봇 공격에 의한 “해킹이 아니라 내부 취약점 악용에 따른 “정보 노출” 사고로 규정하며 시스템 자체는 침해되지 않았다고 강조해요. 시스템에서 맬웨어가 발견되지 않았기 때문에 유출 경로 차단과 기타 조치만으로 충분하다고 판단한 모양요.
실제로 내부 유출이거나 아이덴티티 기반 공격일 때는 정상 사용자처럼 들어와 탈취하는 거여서 셧다운 보다는 권한 회수와 차단이 더 중요해요.
이건 저의 가설이지만요. 그 중국인 직원이… 진짜 범죄자일 수도 있지만, 해당 직원 또한 아이디를 털려 사건에 연루되었을 가능성도 무시할 수 없답니다. 왜냐면 그 직원이 고객에게 직접 협박을 했다는 명백한 증거에도 불구하고 용의자가 특정이 되지 않고, ‘성명 불상의 용의자’로 보도되고 있어요. 아이덴티티 기반 공격은 누가 적인지 모른다는 게 진짜 무서운 거예요. 쿠팡도 지금 이 부분을 경찰에 의뢰해 살펴보고 있는 게 아닐까 싶기도요. 그 직원이 확실하다면, 당근 용의자 특정하고 경찰도수배 때리지 않았을까요..?
사실 “데이터 유출”은 꼭 사이버 공격으로만 비롯되지는 않아요. 개인이 외장하드에 담아 회사 데이터를 밖으로 유출할 수도 있는 문제죠.
이런 ‘내부 공격’도 적지 않답니다. 사람들이 어디까지 황당할 수 있냐면요. 월마트의 경우 2023년 월마트 소속 직원이 자신의 접근권한을 악용하여 동료 직원들의 인사,급여 계정에 무단 접속한 사례가 있었어요. 이 간 큰 직원은 동료들의 급여 지급 계좌를 가로채 약 6개월간 자신의 가짜 계좌로 부정 송금하다 들켰죠.
또 테슬라도 2023년 5월 역대 최대 규모의 데이터 유출을 겪었는데, 원인은 해킹이 아닌 내부 직원들의 소행으로 드러났어요. 전직 직원 2명이 무단으로 회사 시스템의 100GB에 달하는 기밀 데이터를 빼내 외부에 넘기는 일이 벌어졌….이 유출로 7만5천여 명의 직원 개인정보(급여명세, 사회보장번호 등)가 노출되었고, 테슬라는 관련 직원들을 해고 및 고소 조치했어요.
그런데 대부분 연루된 직원들은 대놓고 돈을 바라지.. 쿠팡 전직원처럼 “보안을 강화하지 않으면 (정보) 유출 사실을 언론에 알리겠다”는 내용의 협박성 이메일은 보내지 않아요… ㅋㅋㅋㅋㅋ 이 직원은 뭐죠? 대한민국의 보안안전을 위해 나타난 배트맨인가..? 하핫.
그리고 범죄자들의 기업을 향한 공격은 여기서 끝이 아닙니다.. 더 기발한 족집게 공격도 있어요…
봇을 통한 대규모 공격 외에도 AI 음성 합성으로 임원 목소리를 흉내내 허위 지시를 내리거나 송금을 유도하기도 해요. 실제로 홍콩의 한 기업은 CFO를 사칭한 딥페이크 영상에 속아 2,560만 달러를 송금한 사례도 보고 되었어요. 너무 윗사람에 충성하는 문화를 가진 기업이라면 정말 조심해야 해요.
좌, 이런 어마무시한 상황에 여러분은 얼마나 준비가 되어 계신가요?
여러분이 조금만 이름있는 몰이라면, 여러분의 고객 숫자가 어느 정도 된다면 해커들은 반드시 찾아올 거심미다.. 이번 공격의 대상이 내가 아니었음에 안도하면서 이제 보안을 틀어쥐어야 해요. 아무도 믿지 마시오소서~! 심지어 여러분을 찾아오는 보안업체들도 의심하는 것이 제로 트러스트(Zero Trust)의 시작입니다~!
전 낼 또 새로운 이야기로 찾아올께요~ 휘리릭~!
