모의해킹이란? 보안 뉴스 읽는 법

모의해킹은 '진짜로 뚫리는지' 확인하는 일

금융사 해킹 보도에 자주 등장하는 모의해킹은, 허가를 받은 보안 전문가가 실제 공격자처럼 시스템에 침투를 시도하는 점검이다. 화이트해커라 불리는 이들이 공격 기법을 그대로 써서, 알려진 약점이 정말로 뚫리는지와 뚫렸을 때 피해가 어디까지 번지는지를 확인한다.

흔히 말하는 취약점 점검과는 결이 다르다. 취약점 스캔이 약점을 넓게 훑어 목록을 만드는 작업이라면, 모의해킹은 그 약점이 실제 침입 경로가 되는지를 끝까지 파고든다. 동의 아래 합법적으로 진행한다는 점에서 범죄인 해킹과 구분된다.

어디까지 보느냐가 결과를 가른다

Tima Miroshnichenko

같은 모의해킹이라도 범위를 어떻게 잡느냐에 따라 의미가 크게 달라진다. 공격자에게 아무 정보도 주지 않고 외부에서 뚫게 하는 블랙박스 방식은 실제 공격 상황에 가깝다. 반대로 내부 구조와 소스 코드를 열어주고 점검하는 화이트박스는 더 깊이 들여다볼 수 있다. 둘을 섞은 그레이박스도 있다.

여기서 '대상 선정'이 왜 중요한지가 드러난다. 점검 범위에서 핵심 시스템이나 실제 거래 경로가 빠지면, 보고서상으로는 '이상 없음'이 나와도 정작 공격자가 노리는 길목은 그대로 열려 있을 수 있다. 신한은행 유출이 대출모집인 전용 조회 서비스를 노린 공격에서 비롯됐다는 점은, 점검이 눈에 잘 띄지 않는 주변 시스템까지 닿아야 한다는 사실을 보여준다.

실제로 기업들은 외부 관점의 점검을 늘리고 있다. LG유플러스는 2025년 초 외부 공격자 시각에서 침투를 시도하는 블랙박스 모의해킹을 진행했다고 밝힌 바 있다. 중요한 것은 '몇 번 했다'가 아니라 '무엇을, 얼마나 현실적으로 공격해봤나'다.

숫자로 본 현재

점검을 한다는 것과 구멍을 메운다는 것은 별개다. 박상혁 의원실이 금융감독원에서 받은 자료를 보면, 20개 은행이 2022년부터 2026년 8월까지 481회 모의해킹을 벌여 유효 취약점 4,777건을 찾아냈다. 지난해 발견 건수는 1,286건으로 전년보다 20% 넘게 늘었다.

문제는 보완 속도다. 이 가운데 109건은 아직 고쳐지지 않았고, 일부는 시스템을 통째로 바꿔야 해 3년째 남아 있는 것으로 전해졌다. 같은 기간 주요 은행의 정보보호 투자는 오히려 줄었다. 취약점은 늘어나는데 메우는 손길과 돈은 따라가지 못하는 셈이다.

AI가 공격과 방어를 모두 바꾼다

최근 보안 논의에서 빠지지 않는 단어가 AI다. 공격자가 AI로 코드를 짜고 표적을 추려내는 만큼, 방어도 AI로 맞서야 한다는 흐름이다. 국정감사에서 금융감독원장은 AI 기반 공격에 대응하는 AI 방어 역량 강화를 언급했고, KB국민·하나은행 등도 AI 기반 보안 시스템을 강화하겠다고 밝혔다. 우리은행은 하루 200건이 넘는 해킹 시도를 받는다고 했다.

다만 AI는 점검의 속도와 범위를 넓혀줄 뿐, 사람의 판단을 대체하지는 못한다. 어떤 시스템을 어떤 관점에서 공격해볼지 정하고 결과를 해석하는 일은 여전히 사람의 몫이다. "AI 보안을 도입했다"는 말만으로 안심하기 어려운 이유다.

보안 약속을 읽는 질문들

기업이 "보안을 강화했다"고 할 때, 다음을 따져보면 말의 무게를 가늠할 수 있다.

• 모의해킹 범위에 핵심 시스템과 실제 거래 경로가 포함됐는가, 아니면 일부만 봤는가.
• 외부 공격자 관점의 블랙박스 점검을 했는가.
• 찾아낸 취약점 중 몇 퍼센트를, 언제까지 실제로 고쳤는가.
• 정보보호 예산과 인력이 늘었는가, 줄었는가.
• 외부 전문기관의 검증을 함께 받았는가.

점검 횟수나 'AI 도입' 같은 구호보다, 보완율과 투자 추이가 실제 안전에 더 가깝다. 숫자를 요구하는 질문이 보안 약속의 진위를 가른다.

출처

1. 은행 모의해킹서 취약점 4777건 발견…보완은 더뎌
2. 모의 침투 테스트란 무엇인가요?
3. 금융 정보 털렸는데 피해 입증까지 셀프…국감 선 5대 은행장