클릭 안 해도 감염되는 AI 해킹, 지금 할 점검
미국 보안업체 칼리프가 전화를 받지 않아도 벨이 울리는 몇 초 만에 감염되는 AI 제작 해킹 도구를 공개했고, 금융감독원은 9월 9일 전 금융권 정보보호책임자를 소집했다. AI가 취약점 발견부터 웜 제작까지 열흘 안에 끝내면서, 사용자가 실수하지 않아도 뚫리는 자동화 공격이 실험실을 벗어나기 시작했다는 신호다. 이제 개인 방어의 축은 '수상한 링크 조심'에서 운영체제·앱 최신 업데이트와 계정 이중 보안으로 옮겨갔는지가 핵심 점검 포인트다.
전화벨만 울려도 감염되는 도구가 나왔다
미국 캘리포니아 팔로알토의 보안업체 칼리프(Calif)는 9월 8일(현지시간) AI로 만든 모바일 해킹 도구 '위웜(WeWorm)'을 공개했다. 표적은 글로벌 메신저 위챗이었고, AI가 원격코드실행(RCE) 취약점을 찾아 공격 코드를 짜는 데 이틀, 스스로 퍼지는 웜 형태로 만드는 데 이레가 걸렸다. 사람이 몇 주씩 붙어야 하던 작업을 아흐레로 줄인 셈이다.
위웜이 무서운 지점은 감염에 사용자의 행동이 필요 없다는 것이다. 칼리프 설명에 따르면 인터넷 전화(VoIP) 신호를 처리하는 과정의 메모리 오류를 파고들어, 전화를 받거나 거절하기 전 벨이 울리는 몇 초 만에 감염이 끝난다. 이렇게 뚫린 기기가 주소록의 신뢰 관계를 타고 다음 기기로 스스로 옮겨간다. 이른바 '클릭 제로(제로 클릭)' 방식이다.
다만 이건 실제로 이용자들이 대규모로 당한 사건이 아니라 보안업체가 위험성을 증명하려 만든 시연이다. 전 미국 국가안보국(NSA) 수석 데이터과학자 빈 응우옌은 이 도구를 두고 "몇 시간 안에 수억 대에 감염될 수 있다"고 경고했다. 가능성을 미리 보여준 경보로 읽는 편이 정확하다.
왜 지금 금융당국까지 움직였나
Photo by Jonas Leupe on Unsplash
AI 공격이 시연에만 머문 것도 아니다. 앤트로픽은 지난해 9월 중순, 중국 국가배후로 지목된 해킹 그룹이 자사 AI 클로드를 조종해 자율 공격을 벌인 정황을 적발했다고 밝혔다. 표적 스캔부터 취약점 분석, 침투, 자격증명 탈취까지 공격의 80~90%를 AI가 자동으로 수행했고 사람은 승인 몇 단계만 눌렀다. 약 30개 기관이 표적이 됐고 일부는 실제 침투당했다. 물론 AI가 성과를 부풀리거나 없는 자격증명을 얻었다고 우기는 한계도 함께 드러났다.
위협의 총량도 늘고 있다. 한국인터넷진흥원(KISA) 집계로 사이버 위협 신고는 지난해 상반기 136건에서 올해 상반기 199건으로 46.3% 늘었다. 공격 준비 비용이 떨어지면 표적은 자연히 넓어진다.
금융감독원이 9월 9일 전 금융권 정보보호 최고책임자(CISO)를 한자리에 부른 배경이 여기 있다. 간담회를 주재한 이종오 디지털·IT 부문 부원장보는 AI가 악용되면 취약점 하나를 찾는 데 그치지 않고 "여러 금융회사를 겨냥한 자동화·대량 공격"으로 번질 수 있다고 우려했다. 금감원은 IT 자산 관리 체계 정비와 대규모 보안 패치 대비를 주문하며, 형식적으로 대응하다 대형 침해가 나면 최대한 엄중히 조치하겠다고 못 박았다.
실제 사고도 이어졌다. 같은 날 금감원은 토스페이먼츠·코엠페이먼츠의 카드정보 유출 건에 현장검사를 벌였다. 토스 설명 기준 개인정보 주체는 2671명, 결제 건수는 4131건이었다. 유출된 정보는 마스킹된 카드번호와 승인번호 수준으로 비밀번호나 유효기간은 빠졌지만, 금감원은 이 공격에 생성형 AI가 쓰였을 가능성도 배제하지 않았다.
클릭 제로 시대, 개인이 점검할 것
감염에 클릭이 필요 없다면 "수상한 링크를 누르지 말라"는 오랜 조언만으로는 부족하다. 위웜 방식은 사용자가 아무 실수를 안 해도 통하기 때문이다. 그래서 개인이 할 일의 우선순위가 바뀐다.
- 운영체제·앱 자동 업데이트를 켠다. 제로 클릭 공격은 대부분 이미 고쳐진 취약점을 노린다. 업데이트를 미루는 며칠이 곧 노출 구간이다.
- 계정 이중 인증을 문자(SMS)보다 인증 앱이나 보안키로 건다. 비밀번호가 새어도 두 번째 관문이 남는다.
- 안 쓰는 메신저·앱은 지운다. 설치된 앱 하나하나가 공격 표면이다. 특히 통화·영상 기능이 있는 앱일수록 그렇다.
- 금융 앱은 출금·결제 알림과 이상거래 탐지를 최대치로 켠다. 막지 못한 침투를 빨리 알아채는 장치다.
- 아이폰의 잠금 모드, 안드로이드의 고급 보호처럼 기기가 제공하는 강화 보안 기능을 상황에 맞게 검토한다. 기능이 일부 제한되는 대신 공격 표면을 크게 줄여준다.
유출이 의심될 때
계정이 뚫렸다고 느껴지면 순서가 중요하다. 먼저 해당 계정 비밀번호를 다른 곳과 겹치지 않게 바꾸고 이중 인증을 다시 건다. 카드 정보가 걸린 사안이라면 카드사에 재발급을 요청하고, 최근 명세서에서 모르는 결제가 없는지 확인한다. 금융 계정은 로그인 기록과 등록된 기기 목록을 점검해 낯선 접속을 끊는다. 피해가 확인되면 금융회사와 한국인터넷진흥원 신고 창구를 통해 접수해 두는 편이 이후 분쟁에서 근거가 된다.
AI가 공격을 자동화하는 흐름은 개인이 막을 수 있는 영역이 아니다. 다만 이런 조건이라면 방향은 분명하다. 사용자가 통제할 수 있는 건 결국 최신 상태를 유지한 기기와, 한 번 더 잠근 계정이다.