2026.10.16 금요일
검색
'보안 점검' 검색결과
기간검색
-
~
검색영역
검색어
-
"내 정보 안다고 믿었다간"…빗썸, 유출 정보 악용한 2차 사기 경고 [경제일보] 이름과 휴대전화번호, 과거 이용 내역까지 정확히 안다고 정상적인 연락은 아니다. 다른 서비스에서 유출된 정보가 금융회사·거래소 직원을 사칭하는 재료로 쓰이고, 피해 예방이나 보상을 명목으로 추가 정보를 빼내는 사기로 이어질 수 있기 때문이다. 빗썸은 이러한 ‘개인정보 유출 이후의 2차 사기’를 주제로 10월 정보보호 캠페인을 진행한다고 16일 밝혔다. 이미 노출된 정보를 악용해 이용자의 경계심을 낮춘 뒤 계정과 자산에 접근하는 수법을 알리고, 대응 요령을 안내한다. 캠페인이 주목한 것은 실제 정보와 거짓 안내를 섞는 방식이다. 사기범은 이름·이메일·과거 주문번호·이용 서비스명 등을 제시한 뒤 “유출 보상 대상”이라거나 “보안 점검이 필요하다”고 접근한다. 상대가 자신을 잘 안다는 인상을 줘 가짜 로그인 페이지 접속, 원격제어앱 설치, 자금 이체를 유도한다. 유출된 정보를 두 가지 경로로 악용할 수 있다는 점도 문제다. 개인정보는 사칭 연락의 신뢰도를 높이는 데 쓰이고, 아이디·비밀번호 조합은 다른 서비스의 로그인에 반복 대입된다. 여러 사이트에서 같은 비밀번호를 쓰면 한 곳의 정보 노출이 다른 계정의 탈취로 번질 수 있다. 유출된 인증정보를 다른 서비스에 대입하는 공격을 ‘크리덴셜 스터핑’이라고 한다. 금융당국도 같은 위험을 경고하고 있다. 금융위원회는 지난 6일 금융권 개인정보 유출에 따른 보이스피싱·스미싱 소비자경보 ‘주의’를 발령했다. 당시 비밀번호·일회용 비밀번호(OTP) 정보가 유출되지 않았더라도, 성명과 주소 등 노출된 정보를 결합한 맞춤형 사기에 유의해야 한다고 설명했다. 이는 비밀번호를 바꾸는 조치와 사칭 연락을 가려내는 대응이 함께 필요하다는 뜻이다. 금융당국은 금융회사에 한 달간 2차 피해 특별대응기간과 피해 고객 전담 창구를 운영하고, 유출 정보를 결합한 이상거래탐지시스템(FDS) 대응도 강화하도록 지도했다. 빗썸은 보상이나 보안 점검 안내를 받으면 메시지 속 링크 대신 평소 쓰던 공식 앱·홈페이지에서 직접 확인할 것을 권고했다. 비밀번호는 다른 사이트와 겹치지 않게 설정하고, 노출된 비밀번호와 같거나 유사한 조합을 쓰는 서비스도 함께 변경하도록 안내했다. 계정에는 ‘2채널 인증’ 등 추가 인증 기능을 설정할 수 있다. 비밀번호만 알아서는 로그인하기 어렵게 만드는 장치다. 다만 사칭 사이트에 인증번호까지 직접 입력하면 추가 정보가 넘어갈 수 있어, 인증 기능을 켜는 것과 별개로 비밀번호·OTP·인증코드를 타인에게 전달하지 않는 것이 중요하다. 개인정보보호위원회와 한국인터넷진흥원(KISA)의 ‘털린 내 정보 찾기’에서는 계정정보의 불법 유통 여부를 조회할 수 있다. 명의도용 금융거래가 우려되면 금융회사의 안심차단서비스도 활용할 수 있다. 여신거래, 비대면 계좌개설, 오픈뱅킹 차단은 각각 대상이 다른 서비스이므로 필요한 항목을 확인해 신청해야 한다. 이미 의심스러운 프로그램을 설치했다면 감염 기기의 와이파이·모바일데이터 연결부터 끊어 추가 유출과 원격제어를 막아야 한다. 이후 감염되지 않은 별도 기기로 비밀번호 변경과 추가 인증 재설정, 발급한 API 키 삭제, 출금 주소·거래 내역 점검 등을 진행하도록 빗썸은 안내했다. 이상 거래는 빗썸 고객센터에 즉시 알리고 계정 보호 조치를 요청할 수 있다. 은행 계좌로 사기 자금을 송금했다면 경찰 112나 해당 금융회사에 지급정지를 요청해야 한다. 빗썸 관계자는 “개인정보는 한 번 유출되면 시간이 지난 뒤에도 다시 악용될 수 있어, 상대방이 내 정보를 알고 있다는 이유만으로 신뢰해서는 안 된다”고 말했다.2026-10-16 09:30:51
-
금융당국, 금융권 해킹 대응체계 재점검…AI 기반 보안 대책 논의 [경제일보] 금융당국이 최근 금융권에서 연달아 발생한 해킹 사고와 관련해 전 금융권 대상 점검에 나선다. 14일 금융당국에 따르면 금융위원회는 이날 오후 신진창 사무처장 주재로 금융감독원과 금융보안원 등 관계기관·관계부처와 금융기관의 보안 조치 현황을 점검 회의를 진행한다. 당국은 앞서 금융업권과 수차례 점검 회의를 거친 바 있다. 이번 회의에서는 금융감독원이 취합한 전 금융권 자체점검 결과를 확인할 계획이다. 지난달 말 신한은행을 시작으로 금융권에서 고객정보 유출 사고가 이어지자 당국은 전 금융권에 지난 8일까지 체크리스트에 따른 보안점검을 실시하고 결과를 보고하도록 했다. 점검 항목은 △공격자 인터넷주소(IP) 차단 여부 △침해 시도 및 피해 여부 △외부 노출 정보기술(IT) 자산과 서비스 취약점 △강화된 인증절차 적용 여부 △실시간 보안관제 체계 운영 △탐지·모니터링 체계 등 12개다. 당국은 점검 결과를 토대로 인공지능(AI) 도구를 활용한 해킹 공격의 재발 방지 대책도 논의한다. 당국은 AI를 활용한 공격에는 AI 기반 보안 기술로 대응할 필요가 있다는 기조 아래 망분리 규제 완화 방향을 유지하고 있다. 다만 최근 해킹 사고 여파로 미뤄진 2차 망분리 규제 완화 대상 기관 선정 등 구체적인 추진 일정은 이날 회의에서 다뤄지지 않을 것으로 알려졌다. 최근 추가로 접수된 침해 신고도 점검 대상에 오른다. 전날 새마을금고와 OK저축은행에서 새로운 침해 사고가 신고되면서 당국은 기존 금융권 해킹 사고와의 연관성도 확인하고 있다. 새마을금고에서는 고객 400여명의 이름과 주소, 암호화된 주민등록번호 등 일부 개인정보가 유출됐다. OK저축은행은 현재 정보 유출 여부를 확인하고 있다. 앞서 금융당국이 전 금융권 점검을 진행하는 동안 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 해킹에 따른 정보 유출이 확인됐다. 새마을금고와 OK저축은행에서 발생한 사고는 앞선 해킹과 다른 공격자에 의한 것으로 추정되고 있으나 당국은 기존 사고와의 연관성을 배제하지 않고 조사 중이다. 현재 금융당국은 신한은행과 KB국민은행을 대상으로 검사를 진행하고 있다. 예가람저축은행과 웰컴저축은행에 대해서도 현장점검에 착수한 상태다.2026-10-14 08:26:52
-
AI가 금융권 보안 사각지대 파고들었다…핵심 시스템 밖에서 뚫린 방어망 [경제일보] 인공지능(AI)을 활용한 사이버 공격이 국내 금융권을 잇달아 겨냥하면서 금융회사들의 보안 관리 체계가 시험대에 올랐다. AI 기반 도구가 취약점 탐색과 공격 작업을 효율화하면서 공격자의 숙련도가 높지 않더라도 여러 기관을 상대로 침투를 시도할 수 있는 것으로 분석된다. 특히 최근 사고가 금융 거래의 핵심 시스템보다는 대출모집인 서비스와 직원용 업무지원 시스템 등 주변 업무 환경에서 발생하면서, 보안 투자가 집중된 핵심 시스템 밖의 사각지대를 점검해야 한다는 지적도 제기되고 있다. 11일 금융권과 보안업계에 따르면 지난달 말부터 이달 초까지 신한은행·KB국민은행·하나은행·BNK부산은행과 예가람저축은행·웰컴저축은행·현대캐피탈 등 금융회사 7곳에서 해킹에 따른 정보 유출이 확인됐다. 신한은행에서는 대출 신청 관련 고객 정보 약 2만5000명분이 유출됐고, 예가람저축은행에서도 고객 약 4만명의 정보가 빠져나간 것으로 파악됐다. KB국민은행과 하나은행에서도 각각 고객 119명과 89명의 정보가 유출됐다. 이번 사고는 공격에 활용된 도구와 침입 경로가 기존과는 다른 특성을 지닌 것이 특징이다. 국내 보안업체 지니언스 시큐리티센터와 미국 사이버보안 기업 크라우드스트라이크는 공격자가 오픈소스 에이전틱 침투테스트 도구 '아르텍스'와 여러 AI 모델을 활용한 정황을 제시했다. 크라우드스트라이크는 공격자가 AI 도구와 기존 공격 기법을 결합해 여러 금융기관을 상대로 침투 활동을 벌인 것으로 분석했다. 보안 업계에 따르면 이번 공격 과정에서 다수의 흔적을 남기는 등 운영 보안이 허술했다는 점도 근거로 들며 비숙련자의 공격 가능성을 높게 보고 있다. AI가 공격자의 기술적 한계를 보완해 공격 속도와 범위를 확대했을 가능성이 있다는 설명이다. ◆ AI가 바꾼 공격 방식…숙련도보다 자동화 역량이 변수 에이전틱 AI 도구는 사용자의 지시에 따라 여러 작업을 연속적으로 수행하도록 설계된다. 보안 분야에서는 취약점 점검과 공격 경로 탐색 등에도 활용될 수 있다. 공격자가 이를 악용하면 개별 작업을 일일이 수행하는 부담을 줄이고, 여러 대상에 대한 공격 시도를 빠르게 반복할 수 있다. 이번 금융권 사고에서도 공격자가 아르텍스와 복수의 AI 모델을 연계하고, 서버와 접속 경로를 바꿔가며 국내 금융기관을 겨냥한 정황이 확인됐다. 크라우드스트라이크는 AI 도구가 공격자의 활동 속도를 높이는 데 기여한 것으로 분석했다. 보안업계에서는 AI가 공격의 진입장벽을 낮출수록 기존에 보안 점검 우선순위에서 밀렸던 시스템이 공격 대상이 될 가능성에 주목한다. 공격자가 반드시 최고 수준의 기술을 갖춰야 하는 것이 아니라, 관리가 허술한 시스템을 찾아내고 반복적으로 접근을 시도하는 것만으로도 침해 가능성을 높일 수 있기 때문이다. ◆ 핵심 거래망만 지켜선 한계…주변 시스템이 침입 경로로 금융회사별 침입 경로를 보면 보안 관리의 범위를 핵심 거래 시스템에 한정하기 어렵다는 점이 드러난다. 신한은행에서는 대출모집인 전용 서비스가, KB국민은행에서는 직원용 모바일 업무 지원 시스템이 공격받았다. 하나은행에서도 영업 지원 시스템을 둘러싼 침해 사고가 발생한 것으로 알려졌다. 이들 시스템은 금융 거래의 핵심 전산망과는 구분되지만 고객 정보나 업무 관련 데이터에 접근할 수 있어 보안상 중요한 것으로 꼽힌다. 핵심 거래 시스템을 보호하는 방어 체계를 갖추더라도 주변 업무 시스템의 접근 권한이 과도하거나 인증 절차가 허술하면 개인정보 유출로 이어질 수 있다. 보안 관리에서 중요한 것은 시스템의 명칭이나 업무상 중요도만으로 위험을 판단하지 않는 것이다. 고객정보를 조회할 수 있는 시스템이라면 해당 정보가 실제 업무에 필요한 범위에서만 제공되는지, 계정별 권한이 적절하게 제한돼 있는지, 비정상적인 대량 조회나 외부 접속이 발생했을 때 이를 탐지할 수 있는지 확인해야 한다. 외부 협력업체와 위탁 시스템도 점검 대상이다. 금융회사는 개발·유지보수·고객관리 등 여러 업무를 외부 업체와 수행하는 만큼 협력업체 계정과 원격 접속 경로가 보안 사각지대가 되지 않도록 관리해야 한다. 계약 당시 보안 요건을 확인하는 데 그치지 않고 계약 기간 중 접근 권한과 접속 기록을 점검하고, 업무 종료 후 계정을 회수하는 절차도 중요하다. 특히 개인정보가 여러 시스템과 업체에 분산돼 있다면 사고가 발생했을 때 유출 범위를 파악하는 데 시간이 걸릴 수 있다. 시스템 교체나 계약 종료 이후에도 과거 데이터가 남아 있는지, 불필요한 정보가 적시에 파기되는지 확인할 필요가 있다. 한 시스템의 침해가 다른 시스템으로 확산되지 않도록 권한과 네트워크를 분리하는 조치도 요구된다. 금융권의 연쇄 해킹과 외부 위탁 시스템을 둘러싼 사고는 보안의 경계가 더 이상 금융회사가 직접 운영하는 핵심 전산망에 머물지 않는다는 점을 보여준다. AI가 공격자의 작업을 효율화하는 환경에서는 시스템과 계정, 외부 업체까지 포함한 전체 업무 환경을 관리하고 침해 징후를 빠르게 차단하는 역량이 금융 보안의 핵심 과제로 떠오르고 있다. 과학기술정보통신부(KISA)는 "금융위원회 등 관계기관과 지속적으로 정보를 공유하고 있으며, 금융위원회·금융감독원 등에서 KISA 등 전문인력 지원을 요청할 경우, 즉시 현장에 투입할 수 있도록 인력과 대응체계를 사전에 준비하고 있으며, 사고 조사 과정에서도 관계기관과 긴밀하게 협력해 나갈 예정"이라며 "앞으로도 금융권을 포함한 민간 정보통신서비스에 대한 사이버위협 동향을 면밀하게 모니터링하고, 사이버 위협 정보의 신속한 공유와 관계기관 간 협력을 통해 유사 사고의 발생과 피해 확산을 방지하는 데 총력을 다할 계획"이라고 전했다.2026-10-11 13:51:46
-
은행권 해킹 확산에 증권사도 비상…연휴에도 보안 전면 점검 [경제일보] 주요 은행을 중심으로 해킹 피해가 잇따르면서 증권업계도 연휴 기간 비상근무체계를 가동하고 보안 점검을 강화하고 있다. 현재까지 증권사와 주요 증권 유관기관에서 고객정보 유출 등 피해는 확인되지 않았으나 금융당국이 공격자 정보와 점검 지침을 공유하면서 과거 접속 기록과 외부 노출 시스템까지 확인 범위를 넓히는 중이다. 5일 금융투자업계에 따르면 주요 증권사 보안 담당 부서는 지난 3일부터 이어진 연휴 기간에도 비상근무에 들어가 해킹 시도 여부와 시스템 이상 징후를 점검하고 있다. 이번 조치는 최근 은행과 저축은행, 캐피탈사 등에서 잇따라 침해 사고가 발생한 데 따른 것이다. 피해 금융사는 △신한은행 △KB국민은행 △하나은행 △BNK부산은행 △예가람저축은행 △웰컴저축은행 △현대캐피탈 등으로 동일 공격자가 사이버 공격을 감행한 것으로 파악됐다. 공격자는 인공지능(AI) 도구를 활용해 여러 금융사를 대상으로 자동화된 방식의 공격을 시도했다. 금융감독원은 해당 IP와 보안 유의사항을 전 금융권 약 500개 사에 전달했다. 이에 증권사들은 문제의 IP를 차단하고 동일한 공격 방식이 자사 시스템에도 적용됐는지 확인하고 있다. 접속 기록과 과거 데이터 등을 다시 살펴 침투 흔적이나 비정상 접근이 있었는지도 점검 중이다. NH투자증권은 이번 공격에 사용된 방식이 자사에도 시도됐는지 확인한 결과 현재까지 이상 징후가 발견되지 않았다고 밝혔다. 공격에 활용된 IP는 자사 시스템에 접근할 수 없도록 차단했다. 삼성증권과 미래에셋증권도 연휴 기간 비상 대응체계를 유지하고 있다. 삼성증권은 보안 시스템 전반을 재점검했으며 미래에셋증권 역시 현재까지 특이사항이 확인되지 않은 가운데 방어 체계를 지속 가동 중이다. 한국거래소와 코스콤, 한국예탁결제원 등 증권 유관기관에서도 현재까지 해킹 공격과 관련한 특이사항은 확인되지 않은 것으로 알려졌다. 금융당국은 업권별로 긴급 보안점검 시한도 정했다. 은행과 카드사는 오는 6일까지 점검을 마쳐야 하며 증권·보험·저축은행·전자금융업자는 오는 8일까지 점검 결과를 확인해야 한다. 점검 항목은 △공격 IP 차단 및 피해 발생 여부 △외부에 노출된 정보기술(IT) 자산과 서비스 식별 △관련 보안조치 이행 여부 등 총 12개다. 금융사는 점검 과정에서 미흡한 부분이 확인될 경우 즉시 보완 조치에 나서야 한다.2026-10-05 13:30:35
-
금융권 해킹에 민간기업도 비상…정부, 2만8000곳 보안점검 권고 [경제일보] 금융권에서 잇따른 해킹 사고에 정부가 민간기업의 보안점검까지 확대했다. 금융회사에서 확인된 공격정보를 다른 업종에도 전파하고, 해외 클라우드 사업자에게 악성 행위 차단을 요청했다. 개별 금융회사의 사고 조사와 함께 유사 공격이 다른 기업으로 번지는 것을 막기 위한 대응이다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 긴급 대응체계를 가동하고, 정보보호최고책임자(CISO) 신고기업 약 2만8000개사에 보안점검 권고 메일을 발송했다고 4일 밝혔다. 현재 금융권 사고 조사와 대응은 금융위원회·금융감독원·금융보안원이 중심을 맡고 있다. 과기정통부와 KISA는 민간 정보통신서비스로의 공격 확산과 추가 피해를 막는 데 대응 역량을 집중한다. 금융당국이 전문인력 지원을 요청하면 즉시 현장에 투입할 수 있도록 준비하고 있다. KISA 인터넷침해대응센터(KISC)는 24시간 비상대응체계를 강화했다. 주요 기업 홈페이지의 이상 징후를 모니터링하고 침해사고 대응인력을 보강했다. 긴급 현장 지원을 위한 비상출동조도 상시 대기한다. 공격정보 공유 범위도 넓혔다. 보호나라와 사이버위협정보 분석·공유 체계(C-TAS)를 통해 기관과 기업에 위협정보를 제공하고, 이를 활용해 자체 보안 조치를 강화하도록 안내했다. C-TAS는 금융·전자상거래·호스팅·보안기업 등 여러 업종이 공격정보를 공유하는 체계다. 기업은 공격에 사용된 IP주소와 악성코드 정보를 받아 방화벽, 침입탐지·방지시스템, 백신 등에 적용할 수 있다. 한 기업에서 발견한 공격 흔적을 다른 기업의 탐지와 차단에 활용하는 방식이다. KISA는 중소기업도 위협정보를 이용할 수 있도록 개방형 C-TAS 누리집을 운영하고 있다. 회원가입과 관리자 승인 후 정보를 받을 수 있으며, 긴급 상황에서는 문자와 이메일 등으로 안내한다. 자체 분석인력이 부족한 기업도 공통 위협정보를 확보할 수 있는 통로다. 해외 사업자와의 협력도 추진한다. 과기정통부는 금융보안원이 확인한 해외 공격자 IP주소와 관련 위협정보를 해당 클라우드 사업자에게 전달하고 악성 행위 차단 등 필요한 조치를 요청했다. 피해 기업의 접속 차단에 더해 인프라 사업자 측의 대응도 요청한 것이다. 이번 대응의 배경에는 금융권에서 확인된 외부 접점 시스템의 허점이 있다. 신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원 시스템 등 고객이 직접 이용하는 금융거래 서비스 밖에서도 정보유출이 발생했다. 이에 금융위는 지난 2일 대고객 서비스 여부와 종류를 가리지 않고 외부에서 접근할 수 있는 전산시스템 전체를 점검하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로, 불필요한 정보 노출, 접근권한 관리 등을 확인하고 공격수법을 신속히 공유하라는 주문이다. 민간기업도 홈페이지와 업무지원 시스템을 함께 살펴야 하는 이유가 여기에 있다. 외부 접속이 가능한 시스템에서 고객이나 직원 정보를 조회할 수 있다면, 해당 경로의 인증과 접근통제가 실제로 작동하는지가 중요하다. 정부가 CISO 신고기업에 일괄 점검을 권고한 조치는 금융권에서 드러난 공격정보를 기업 내부의 점검과 보완으로 연결하려는 대응이다. 예방 훈련에도 AI를 활용한다. KISA는 지난 9월 발표한 ‘2026년 하반기 사이버 위기 대응 모의훈련’에 AI 에이전트를 이용한 홈페이지 모의침투를 시범 도입한다. AI가 홈페이지별 특성을 반영해 공격 시나리오를 만들고 다양한 침투 가능성을 점검하는 방식이다. 모의훈련은 오는 19일부터 30일까지 진행된다. 홈페이지 침투뿐 아니라 해킹 메일 대응, 디도스 공격 탐지·대응, 서버 취약점 점검도 포함한다. 참여 기업에는 훈련 종료 후 대응체계 개선에 활용할 분야별 가이드와 최근 침해사고 동향 자료를 제공할 예정이다.2026-10-05 11:05:26
-
![[류청빛의 요즘IT] 비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 연쇄 피해 주의](https://image.ajunews.com//content/image/2026/10/02/20261002175901590222.jpg)
비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 '연쇄 피해' 주의 [경제일보] 개인정보 유출 사고가 반복되면서 유출된 정보가 계정 탈취와 피싱·스미싱 등 2차 공격에 악용될 가능성이 커지고 있다. 공격자들이 유출된 아이디·비밀번호를 다른 서비스에 대입하거나 이름·전화번호 등 개인정보를 활용해 실제 기업과 기관을 사칭하는 방식이다. 이에 따라 개인정보 유출 사고를 단순히 유출 규모로만 볼 것이 아니라 이후 유출 정보가 어떻게 악용되는지까지 살펴봐야 한다는 지적이 나온다. 3일 안랩에 따르면 계정 탈취와 피싱 등 개인정보 유출 이후 발생할 수 있는 추가 피해를 예방하기 위해서는 이용자뿐 아니라 서비스 운영 기업도 계정 및 개인정보 보호 체계를 점검해야 한다. 가장 대표적인 2차 공격 방식은 유출된 아이디와 비밀번호를 다른 서비스에 반복적으로 대입하는 '크리덴셜 스터핑'이다. 여러 서비스에서 같은 비밀번호를 사용하는 이용자가 많을수록 한 곳에서 발생한 계정 정보 유출이 다른 서비스의 계정 탈취로 이어질 가능성이 높아지는 것으로 꼽힌다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인 등에 활용되는 경우가 많아 별도의 비밀번호를 사용하는 등 우선적으로 보호해야 한다. 한 서비스에서 계정 정보 유출 사실을 통보받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용했던 다른 서비스의 비밀번호도 각각 변경해야 하는 것이다. 개인정보가 함께 유출된 경우에는 피싱과 스미싱으로 이어질 가능성도 있다. 공격자는 이름이나 전화번호 등 확보한 정보를 바탕으로 기업이나 기관을 사칭한 메시지를 보내 이용자의 신뢰를 높일 수 있다. 개인정보 유출 사고 직후에는 '개인정보 유출 확인', '피해 보상 신청', '계정 보호' 등을 내세워 불안감을 자극하는 방식의 공격도 발생할 수 있다. 이 때문에 이용자가 문자나 이메일에 포함된 링크를 통해 계정 상태를 확인하기보다는 해당 서비스의 공식 앱을 직접 실행하거나 홈페이지 주소를 직접 입력해 사실 여부를 확인하는 것이 중요하다. 본인이 요청하지 않은 로그인 인증이나 비밀번호 변경 알림이 도착했을 때도 인증을 승인하거나 인증번호를 다른 사람에게 전달해서는 안 된다. 다중 인증(MFA·2단계 인증) 설정도 기본적인 방어 수단으로 꼽힌다. 비밀번호가 외부에 노출되더라도 추가 인증 절차를 거치도록 하면 계정 탈취 가능성을 낮출 수 있기 때문이다. 로그인 알림을 활성화하고 최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하는 것도 필요하다. 보안업계에서는 이용자 개인의 계정 관리뿐 아니라 서비스 운영 기업의 보안 체계도 함께 강화돼야 한다고 보고 있다. 개인정보가 유출되는 경로가 고객이 직접 사용하는 홈페이지와 애플리케이션에만 한정되지 않기 때문이다. 안랩은 서비스 운영 기업이 API(응용프로그램 인터페이스)에 대한 인증과 접근 통제를 강화하고 이상 행위를 지속적으로 모니터링해야 한다고 권고했다. 특히 API 요청 과정에서 특정 이용자의 정보에 접근할 수 있는 권한이 적절하게 검증되는지 점검해야 한다는 설명이다. 예를 들어 요청 파라미터를 변조해 다른 이용자의 정보를 조회하거나 자동화된 방식으로 대량의 정보를 반복 조회하는 공격을 막기 위해 데이터 단위의 접근 권한을 확인해야 한다. 일정 시간 동안 허용되는 API 요청 횟수를 제한하고 반복적인 정보 조회나 무차별 대입 등 비정상적인 요청을 탐지·차단하는 체계도 필요하다. 고객이 직접 이용하는 서비스 외에 관리자 페이지와 내부 업무 시스템, 협력사가 사용하는 업무 지원 시스템까지 보안 점검 범위를 확대해야 한다는 점도 강조됐다. 외부에서 접속할 수 있는 시스템을 파악하고 사용하지 않는 계정이나 불필요한 외부 접속 경로를 차단하는 한편 퇴사자와 계약이 종료된 협력사의 계정이 남아 있지 않은지 정기적으로 확인해야 한다. 특히 관리자나 협력사 계정에 과도한 권한이 부여돼 있을 경우 계정 하나가 침해됐을 때 대규모 고객정보 접근으로 이어질 수 있다. 이에 따라 업무에 필요한 범위 내에서만 권한을 부여하고 외부 접속과 관리자 계정에는 다중 인증을 적용하는 등 접근통제를 강화해야 한다. 고객정보 자체를 최소화하는 것도 기업의 보안 부담을 줄이는 방법으로 꼽힌다. 업무에 필요하지 않은 개인정보까지 보관하지 않고 보유기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다. 업무 화면이나 API 응답에서도 전체 개인정보 대신 실제 업무에 필요한 정보만 제공하고, 이름이나 전화번호 일부를 가리는 등 노출 범위를 줄일 필요가 있다. 대량의 고객정보를 조회하거나 다운로드할 수 있는 권한 역시 실제 업무에 필요한 담당자로 제한해야 한다. 중요 정보의 조회·다운로드·반출 기록을 남기고 비정상적인 대량 조회가 발생했을 때 이를 빠르게 파악할 수 있도록 로그 관리와 이상행위 모니터링 체계를 갖추는 것도 중요하다. 결국 개인정보 유출 사고 이후 이용자에게 비밀번호 변경이나 피싱 주의를 당부하는 것만으로는 2차 피해를 모두 막기 어렵다는 지적이다. 이용자는 서비스별로 독립된 비밀번호와 다중 인증을 사용하고 로그인 기록을 확인하는 등 계정 보안을 관리해야 하며, 기업은 고객용 홈페이지와 앱을 넘어 API와 관리자 페이지, 내부 업무 시스템까지 접근통제 범위를 확대해야 한다는 것이다. 양하영 안랩 ASEC 실장은 "계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다"며 "서비스별로 서로 다른 비밀번호를 사용하고 다중 인증을 설정하는 등 일상에서 실천할 수 있는 기본적인 보안 수칙을 지키는 것만으로도 계정 탈취와 2차 피해 위험을 줄이는 데 도움이 된다"고 말했다. 이어 "서비스 이용자는 평소 사용하는 서비스의 보안 설정을 점검하고, 서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 점검해야 한다"고 덧붙였다.2026-10-03 09:00:00
-
고객정보 2만5000명 유출·173억 대출사기…흔들리는 신한은행 정상혁號 [경제일보] 신한은행이 잇단 금융사고로 내부통제 시험대에 올랐다. 최근 외부 공격으로 고객 2만5000여명의 개인·신용정보가 유출된 데 이어 앞서 발생한 부동산 관련 대출사기 사고 규모도 조사 과정에서 173억원까지 확대됐다. 두 사건 모두 은행 임직원의 횡령·배임과는 성격이 다르다. 개인정보 유출은 외부 비인가자의 공격, 대출사기는 외부인의 사기 행위가 직접적인 원인이다. 다만 외부에서 발생한 위험을 은행의 보안·여신관리 시스템이 얼마나 신속하게 탐지하고 차단했는지가 금융당국의 점검 대상으로 떠올랐다. 2일 금융권과 금융당국 등에 따르면 신한은행에서는 최근 외부 비인가자가 인증 절차를 우회해 일부 서비스에 접근하면서 약 2만5000명의 고객정보가 유출됐다. 유출 정보에는 고객 이름과 전화번호, 연소득, 대출 산출한도 등이 포함됐다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. 금융감독원은 긴급 현장점검에 착수해 정확한 사고 경위와 피해 범위, 신한은행의 정보보호 체계 등을 들여다보고 있다. ◆대출모집인 서비스가 공격 통로…금감원 조사 착수 이번 사고는 신한은행의 핵심 전산망이나 고객용 모바일뱅킹 시스템이 아닌 대출모집인이 사용하는 별도 서비스를 통해 발생한 것으로 알려졌다. 해당 서비스는 대출모집인이 자신이 접수한 고객의 대출 진행 상황 등을 조회하는 데 사용된다. 외부 공격자는 정상적인 본인 확인 절차를 우회해 고객정보에 접근한 것으로 파악되고 있다. 금융당국은 구체적인 공격 방식과 보안상 취약점, 이상접속 탐지·차단 시스템의 작동 여부 등을 조사할 것으로 보인다. 핵심 전산망이나 모바일뱅킹 시스템 자체가 침해된 것으로 확인된 것은 아니다. 2일에는 공격에 이용된 것으로 추정되는 서버에서 중국어 기반 오픈소스 인공지능(AI) 침투테스트 도구와 관련된 흔적이 발견됐다는 보도도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지는 확인되지 않았다. 신한은행은 사고 인지 이후 외부 IP를 차단하고 관련 서비스를 중단하는 등 긴급 조치를 취했다. 정상혁 신한은행장은 사과문을 통해 개인정보 보호체계를 전면 재점검하고 이번 사고로 고객에게 실제 손해가 발생할 경우 전액 보상하겠다고 밝혔다. ◆대출사기 29억→69억→173억원…사고 규모 계속 늘어 앞서 신한은행에서는 외부인이 개입한 부동산 관련 대출사기도 발생했다. 신한은행이 최종 정정 공시한 사고 금액은 173억4355만원이다. 지난해 12월 최초 공시 당시 29억6440만원이었던 사고 규모는 자체 조사와 경찰 수사 과정에서 올해 6월 69억6890만원으로 늘었고, 8월 다시 173억4355만원으로 확대됐다. 최초 공시액의 약 5.9배다. 신한은행은 조사 과정에서 같은 유형의 사고가 추가로 확인돼 사고 금액을 정정했다는 입장이다. 해당 사건은 외부인이 허위 서류 등을 이용해 대출을 받은 사기 사건으로 신한은행 역시 피해자다. 다만 사고 금액이 조사 과정에서 세 차례 확대되면서 대출심사와 이상거래 탐지, 사고 발생 이후 유사 거래 점검 과정이 적절했는지는 점검 대상이 될 것으로 보인다. 유사한 대출사기는 다른 금융회사에서도 발생했다. 공개된 금융당국 자료에 따르면 은행·상호금융권에서 확인된 관련 사고는 136건, 1091억원 규모다. 금융회사별로는 IBK기업은행 182억원, 신한은행 173억원, 우리은행 99억원, KB국민은행 36억원 등이다. 이에 따라 금융권에서는 개별 금융회사의 사고 책임과 별도로 허위 분양·재직·소득서류 등을 이용한 이른바 '작업대출'에 대한 은행권 여신심사 체계를 강화해야 한다는 지적이 나온다. ◆책무구조도 실효성도 도마…정상혁 행장 연말 임기 만료 최근 사고는 신한은행이 책무구조도를 시행하고 있다는 점에서도 주목된다. 신한은행은 2024년 금융당국에 책무구조도를 제출했다. 정 행장도 올해 신년사에서 책무구조도 시행 이후 내부통제 체계를 고도화하고 사고 예방 중심의 금융소비자 보호 시스템을 강화하겠다고 밝혔다. 책무구조도는 금융회사 임원별 담당 업무와 내부통제 책임을 구체화한 제도다. 금융사고 발생 자체보다 담당 임원이 자신의 책무 범위에서 필요한 관리조치를 제대로 이행했는지가 책임 판단의 주요 기준이 된다. 금감원은 이번 현장점검에서 대출모집인 관련 서비스의 보안점검과 접근권한 관리, 이상접속 탐지체계 등이 적절하게 운영됐는지를 살펴볼 것으로 예상된다. 이번 사고는 연말 신한은행장 인선을 앞두고 발생했다는 점에서도 부담이다. 정 행장은 2023년 취임한 뒤 한 차례 연임해 올해 말 임기가 끝난다. 금융권에서는 그동안 추가 연임 가능성이 거론돼 왔지만 개인정보 유출 사고와 이에 대한 금융당국의 조사 결과가 향후 인선 과정에서 변수로 작용할 가능성이 있다. 다만 현재 조사가 진행 중인 만큼 정 행장 개인의 책임이나 제재 여부는 확정되지 않았다. 국정감사 출석 여부도 관심사다. 정 행장은 금융권 관련 1차 증인 명단에서는 제외됐지만 이번 개인정보 유출 사고 이후 추가 증인 채택 가능성이 거론되고 있다. 금융감독원 국정감사와 금융위·금감원 종합감사가 남아 있어 여야 협의 결과에 따라 증인으로 추가될 가능성이 있다. 금융권에서는 이번 사고를 계기로 신한은행의 외부채널 보안과 개인정보 접근권한, 이상거래 탐지 체계 등이 금융당국의 집중 점검 대상이 될 것으로 보고 있다. 특히 대출모집인 등 외부채널을 통한 고객정보 접근 관리와 이상접속 차단, 대출 과정에서 반복되는 비정상 거래 탐지 등이 주요 점검 대상으로 꼽힌다. 신한은행 관계자는 개인정보 유출 사고와 관련해 고객 피해 방지를 최우선으로 필요한 조치를 시행하고 있으며 개인정보 보호체계 전반을 재점검하겠다는 입장이다.2026-10-02 15:33:33
-
보험사·대형 GA 소비자보호 협약 잇따라…판매단계 공동관리 강화 [경제일보] 보험업계가 법인보험대리점(GA)과 업무협약을 맺고 소비자보호·내부통제 협력을 강화하고 있다. 사후 민원 처리에 그치지 않고 보험을 권유·판매하는 단계부터 위험요인을 함께 점검하려는 취지다. GA가 주요 보험 판매채널로 자리 잡으면서 보험사의 위탁판매 관리책임도 커지고 있다. 보험사가 GA에 판매를 맡기더라도 모집 과정에서 발생할 수 있는 위험을 직접 살피고 관리해야 하는 만큼 양측의 협력 필요성이 높아졌다. 9일 업계에 따르면 신한라이프는 지난달 글로벌금융판매와 금융소비자보호 및 내부통제 강화를 위한 업무협약을 체결했다. 양사는 △판매위탁에 따른 제3자 위험 관리 △민원 예방 △고객정보 보호 △소비자가치 중심 판매문화 구축 등을 추진하기로 했다. 신한라이프는 보험사 본사와 GA 영업현장에서 사전 예방 중심의 소비자보호 활동을 이어갈 방침이다. 판매 이후 발생한 민원을 처리하는 데 그치지 않고 보험 모집 과정에서 소비자 피해를 예방하는 데 협력한다는 계획이다. KB라이프와 KB손해보험도 지난 7월 영진에셋과 공동으로 협약을 맺었다. 생명·손해보험 계열사가 함께 참여해 위탁업무 위험에 대한 자율점검과 민원 예방·처리, 개인정보 보호체계 강화 등을 추진한다. 삼성화재는 지난 6월 KGA에셋과 협약을 체결했다. 양사는 보험 모집 과정의 투명성을 높이기 위해 판매 위·수탁 관련 내부통제와 자율점검, 민원 예방·처리 등을 공동으로 추진하기로 했다. 삼성화재는 주요 GA와 협력을 확대해 소비자보호 중심의 내부통제를 강화할 방침이다. 보험사들의 GA 협력 확대는 판매위탁 관리책임 강화에 대응하기 위한 것으로 풀이된다. GA가 주요 보험 판매채널로 자리 잡으면서 보험사 밖에서 이뤄지는 모집 과정에 대한 관리 필요성도 커졌다. 지난해 말부터 시행된 보험회사의 제3자 리스크관리 가이드라인도 배경 중 하나로 꼽힌다. 금감원은 지난 6월 판매위탁에 따른 위험과 소비자 피해의 최종 책임이 보험회사에 있다며 GA의 개인정보 관리실태 점검과 위법행위에 대한 계약상 조치 등을 주문한 바 있다. 최근에는 정보보안 분야로도 협력이 확대됐다. 금융보안원은 지난달 보험사와 GA 등이 참여하는 정보보안 협의체를 출범시켰다. 협의체는 GA에 특화된 보안점검 기준을 마련하고 현장점검과 모집인 교육 등을 추진할 계획이다. 금감원은 내년부터 GA를 금융소비자보호 실태평가 대상에 포함하는 방안도 추진하고 있다. 보험사뿐 아니라 실제 상품을 권유·판매하는 GA의 소비자보호 체계와 판매 과정까지 직접 평가하려는 목적이다.2026-09-09 17:38:23
-
티빙, 접속키 하나로 개발망·운영망 연쇄 침투…3954만 계정 유출 [경제일보] 온라인동영상서비스(OTT) 티빙에서 중복을 포함한 이용자 계정 3954만개와 소스코드 등 개발 프로젝트 361건이 유출됐다. 접속키를 소스코드에 그대로 넣어두고 개발자에게 과도한 접근 권한을 부여한 보안 관리 부실이 피해를 키운 것으로 조사됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 등으로 구성된 민관합동조사단은 3일 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사단은 개발자 단말기 9대와 보안장비, 데이터베이스(DB), 시스템 로그를 분석해 공격 경로와 피해 규모를 확인했다. ◆ 활성·휴면·탈퇴 계정까지 유출…피해자 수는 미확정 조사단이 확인한 유출 계정은 3954만697개다. 로그인 가능한 계정 2206만3021개뿐 아니라 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개까지 포함됐다. 티빙 시스템에 남아 있던 계정이 사실상 모두 유출된 것이다. 실제 피해자는 계정 수보다 적을 것으로 보인다. 한 사람이 여러 경로로 가입한 경우가 많았고, 최대 13개 계정을 가진 이용자도 확인됐다. 연계정보(CI)가 있는 1904만개 계정의 중복을 확인한 결과 약 580만개가 동일인 계정이었다. 이를 제외하면 CI로 구분되는 이용자는 약 1324만명이다. 문제는 CI가 없는 나머지 2040만개 계정이다. 이들 계정은 동일인 여부를 가려내기 어려워 현재로서는 전체 피해자 수를 확정할 수 없다. 휴면·탈퇴 회원 정보를 계속 보유한 것이 적절했는지를 포함해 정확한 피해 규모는 개인정보보호위원회가 추가 조사할 예정이다. 가입 경로별로는 네이버·카카오·애플 등 SNS 간편가입 계정이 2247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체 가입은 726만개였다. 임정규 과기정통부 정보보호네트워크정책관은 SNS 간편가입과 관련해 외부 SNS 계정까지 해킹된 것은 아니라고 설명했다. 간편가입 과정에서 티빙에 전달된 정보와 티빙이 별도로 수집한 휴대전화 번호, CI, 생년월일 등이 유출됐다는 것이다. 유출 정보는 아이디와 성명, 생년월일, 휴대전화 번호, 이메일 주소, CI 등 20개 항목·세부 유형 약 70종이다. CI 보유 계정에서는 평균 11.1개 항목, CI가 없는 계정에서는 평균 4.6개 항목이 유출됐다. 비밀번호는 일방향 암호화돼 복호화가 불가능한 상태였다. 반면 휴대전화 번호와 이메일 주소는 암호화키까지 함께 빠져나가 복호화할 수 있는 것으로 확인됐다. 조사단은 이를 사실상 평문으로 유출된 것과 같은 수준으로 판단했다. ◆ 개발키 탈취한 공격자, 운영 접속키 43개까지 확보 공격자는 5월 29일부터 31일 사이 티빙 개발자의 개발환경 접속키를 이용해 내부 시스템에 침투했다. 이 키로 전체 개발 프로젝트에 접근해 추천·검색 알고리즘과 이용자 관리·인증, 결제, 유료서비스 운영체계 등이 포함된 프로젝트 361건, 30.35GB를 빼냈다. 개발 소스코드 안에는 운영환경 접속키 43개가 숨김 처리 없이 입력돼 있었다. 이른바 ‘하드코딩’ 방식이다. 프로그램 설정값과 DB 아이디·비밀번호도 별도 암호화 없이 저장돼 공격자는 개발환경에서 운영환경까지 접근 범위를 넓힐 수 있었다. 공격자는 5월 30일 DB에 공격 도구를 삽입해 1차 유출을 시도했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 사용률이 100%까지 치솟자 티빙이 해당 작업을 차단했다. 박용규 KISA 디지털위협대응본부장은 “1차 시도 때 발생한 것은 보안 알람이라기보다 시스템 이상 알람이었다”며 “티빙이 원인을 조사하는 사이 2차 시도가 발생했다”고 설명했다. 공격자는 다음 날 별도 운영환경 접속키로 가상서버를 만들었다. CPU 사용률을 10% 이하로 유지해 과부하 경보를 피하면서 이용자 정보 24GB를 저장한 뒤 외부 서버로 전송했다. 이후 흔적을 줄이기 위해 가상서버를 삭제했다. 조사단은 개발환경 침투 이후의 이동 경로는 복원했지만 최초 개발자 접속키가 어떻게 탈취됐는지는 확인하지 못했다. 임 정책관은 “개발자 단말기 포렌식과 여러 공격 시나리오를 분석했지만 최초 탈취 경로를 확인하는 것은 불가능했다”며 “공격자와 최초 침투 경로는 경찰 수사를 통해 밝혀질 것으로 기대한다”고 말했다. ◆ 2년 전 접속키 노출 경고받고도 개선 안 해 티빙은 2024년 모의해킹에서 접속키 노출 취약점을 지적받았지만 개선하지 않았다. 접속키를 평문으로 저장하거나 사내 메신저로 공유했고, 키 발급·변경·폐기 절차도 제대로 마련하지 않은 것으로 나타났다. 개발자별 업무 범위를 구분하지 않고 모든 개발자에게 전체 프로젝트 접근 권한을 준 점도 피해를 키웠다. 업무에 필요한 만큼만 권한을 부여하는 ‘최소권한 원칙’이 적용되지 않아 접속키 하나가 전체 개발 프로젝트 유출로 이어졌다. 접근제어와 관제에도 허점이 있었다. 인가된 인터넷주소(IP)만 접속하도록 제한하거나 다중인증(MFA)을 적용하는 통제가 미흡했다. 티빙은 CPU 부하 등 시스템 상태를 주로 감시했지만 대량 정보 조회와 비정상적인 데이터 이동을 실시간으로 탐지·차단할 체계는 갖추지 못했다. 시스템 로그도 선별적으로 저장했다. 새로 도입한 가상사설망(VPN) 장비에는 기존 로그 관리정책을 적용하지 않아 접속기록이 약 6일치만 남아 있었다. 업무용 PC의 백신 설치 여부와 최신 버전 관리 등 정기적인 보안점검도 미흡했던 것으로 조사됐다. 전체 임직원 265명 가운데 개발자는 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다. 조사단은 이 인력으로 상시 보안관제와 취약점 점검, 이상행위 탐지를 수행하는 데 한계가 있었을 것으로 판단했다. ◆ CISO 보고까지 14시간…법정 신고기한도 넘겨 초동 대응도 늦었다. 5월 30일 오후 DB 서버 과부하가 발생한 뒤 정보보호 최고책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸렸다. 정보보안팀에 사고가 전달된 시점은 5월 31일 오전 10시 10분이었지만 KISA 신고는 6월 1일 오후 3시 8분에 이뤄졌다. 침해사고 인지 후 24시간 이내 신고하도록 한 정보통신망법을 위반한 것이다. 개인정보 유출 신고는 별도 절차로 진행됐다. 개인정보위는 티빙이 6월 2일 개인정보 유출 정황을 인지하고 3일 오전 2시께 신고했다고 밝혔다. 개인정보위는 안전조치와 정보 보유·파기, 이용자 통지 의무 위반 여부를 조사하고 있다. 과기정통부는 신고 지연에 대해 3000만원 이하의 과태료를 부과할 예정이다. 티빙에는 접속키 관리체계 개편과 접근권한 축소, 이상행위 탐지 강화, 보안인력·예산 확충, 로그 보관정책 개선을 요구했다. 티빙은 9월 중 재발방지 이행계획을 제출해야 한다. 정부는 2027년 1월 이행 여부를 점검하고 보완이 필요한 경우 시정조치를 명령할 방침이다. ◆ “추가 공격·다크웹 유통 아직 없어”…후속 점검 필요 소스코드 유출에 따른 위험은 남아 있다. 공격자가 인증과 결제 구조, 외부 응용프로그램 인터페이스(API), 내부 업무 로직을 분석해 새로운 취약점을 찾을 수 있기 때문이다. 접속키 폐기·재발급에 그치지 않고 유출된 코드의 취약점 점검과 주요 인증체계 교체까지 필요하다는 지적이 나온다. 임 정책관은 “소스코드 유출에 따른 취약점을 악용한 추가 공격 정황은 현재까지 확인되지 않았다”며 “이용자 피해 사례와 다크웹을 통한 불법거래·유통 정황도 탐지되지 않았다”고 밝혔다. 티빙은 홈페이지를 통해 개인정보 유출 내역 조회 페이지를 열고 사과했다. 티빙은 “회원에게 심려를 끼쳐드린 점을 깊이 사과드린다”며 이용자가 유출 여부와 항목을 개별적으로 확인할 수 있도록 했다. 한편 이용자는 티빙과 동일한 비밀번호를 다른 서비스에서도 사용했다면 함께 변경하는 것이 안전하다. 티빙이나 CJ ONE을 사칭해 본인확인·환불·보상을 내세우는 문자와 이메일의 링크도 주의할 필요가 있다. 정부 브리핑 시점까지 구체적인 피해구제와 보상 방안은 공개되지 않았다. 정확한 피해자 수와 탈퇴 회원 정보의 보유 근거, 유출된 소스코드의 교체 범위도 추가 확인이 필요한 사안으로 남았다.2026-09-03 16:42:22
-
"한 달 걸리던 클라우드 보안 점검, AI로 30분"…솔트웨어, 백패커에 SCR 공급 [경제일보] 클라우드 환경이 확대되면서 기업의 보안 점검과 정보보호 인증 대응에도 자동화 바람이 불고 있다. 기존에는 클라우드 인프라 설정을 확인하고 취약점을 분석하는 데 수주에서 한 달 이상이 걸리기도 했지만, 인공지능(AI)을 활용해 수십 분 만에 보안 상태를 진단하는 등 기업 보안이 변화하고 있다. 26일 솔트웨어는 수공예 핸드메이드 커머스 플랫폼 '아이디어스' 운영사 백패커에 AI 기반 아마존웹서비스(AWS) 클라우드 보안 점검 서비스 'SCR(시큐리티 컴플라이언스 리뷰)'를 제공했다고 밝혔다. SCR은 AWS 인프라 설정 상태를 자동 점검하는 오픈소스 클라우드 보안 플랫폼(CSPM) Prowler를 기반으로 한국형 정보보호 및 개인정보보호 관리체계(ISMS-P) 103개 핵심 항목에 맞춰 클라우드 보안 설정을 진단한다. 사용자 권한과 접근 통제, 데이터 암호화, 침해사고 대응, 재해복구 등 주요 보안 영역을 점검하도록 설계됐다. 특히 점검에 걸리는 시간을 줄인 것이 특징이다. 기존 유사 보안 점검 서비스는 사전 협의부터 결과 도출까지 통상 1개월 이상 걸렸지만, SCR은 AWS 계정 권한에 동의하면 별도의 복잡한 사전 절차 없이 약 30분 안팎에 진단 결과를 확인할 수 있다. 진단 결과는 HTML 기반 리포트로 제공되며 위험도가 높은 '크리티컬' 항목에는 AWS 서비스를 활용한 표준 운영 지침도 함께 제시한다. 보안 담당자가 취약점을 일일이 찾아내는 반복 업무를 줄이고 위험도가 높은 문제부터 개선할 수 있도록 지원하는 방식이다. 백패커는 아이디어스 서비스 성장에 따라 AWS 클라우드 환경이 확대되면서 보안 현황과 ISMS 대응을 위한 점검·증적 관리 체계를 고도화할 필요가 있던 것으로 평가된다. 이에 SCR을 통해 AWS 환경을 자동 진단하고 분산돼 있던 보안 상태를 일관된 기준으로 확인할 수 있는 체계를 마련했다. 최근 AI가 사이버 공격을 탐지하는 것을 넘어 보안 담당자의 반복적인 관리 업무를 자동화하는 방향으로 활용 범위를 넓히고 있다. 클라우드 인프라가 수시로 변경되는 만큼 한 번의 점검보다 지속적인 보안 관리가 중요해지고 있기 때문이다. 솔트웨어는 SCR을 일회성 진단 서비스에서 상시 보안 관리 플랫폼으로 확대할 계획이다. 보안 점수 기반 대시보드와 주기적인 자동 스캔 기능을 추가해 신규 취약점을 지속적으로 탐지하고, 이전 점검과 비교해 개선 완료율과 잔존 리스크까지 확인할 수 있도록 한다는 구상이다. ISMS-P 인증 대응도 자동화한다. 향후 인증 심사에 활용할 수 있는 증적 자료 자동 수집 기능을 추가해 기업의 컴플라이언스 대응 부담을 낮출 방침이다. 이에 따라 보안 진단부터 개선, 반복 점검, 증적 관리까지 보안 운영 전반을 자동화하는 것을 목표로 서비스를 확장하고 있다. 이정근 솔트웨어 대표는 "클라우드 환경에서는 보안 점검을 한 번 수행하는 것보다 지속적으로 관리하고 개선하는 체계를 갖추는 것이 더욱 중요하다"며 "SCR을 통해 기업이 보다 쉽고 빠르게 클라우드 보안 수준을 진단하고, 앞으로는 상시 모니터링 기반의 플랫폼으로 발전시켜 고객의 보안 운영 부담을 지속적으로 줄여나가겠다"고 말했다.2026-08-26 17:45:28
-
민주당 당원 1만7088명 개인정보 유출…해킹 뒤 11개월 지나 인지 [경제일보] 더불어민주당 당원 커뮤니티 ‘블루웨이브’에서 당원 1만7088명의 개인정보가 외부 해킹으로 유출된 사실이 뒤늦게 확인됐다. 민주당이 사고 발생 시점을 지난해 9월 2일로 추정하면서, 해킹 이후 약 11개월 동안 유출 사실을 인지하지 못한 셈이다. 민주당은 7일 블루웨이브 공지를 통해 “일부 회원의 개인정보가 유출되는 사고가 발생했다”며 당원들에게 사과했다. 민주당은 관계기관의 제보를 통해 전날인 6일 사고 사실을 파악했다고 설명했다. 블루웨이브는 민주당 당원 인증을 거친 뒤 계정을 만들어 이용하는 회원제 커뮤니티다. 유출된 정보는 회원 아이디와 암호화된 비밀번호, 성명, 이메일 주소다. 주민등록번호나 결제정보 등 추가 정보가 유출됐는지는 현재 공개되지 않았다. 민주당은 외부 사이버 공격으로 일부 회원 정보가 유출된 것으로 보고 있다. 비밀번호 변경을 의무화했으며, 기술적 보안 조치를 시행하고 외부 보안 전문기관에 보안 진단을 의뢰했다. 수사기관에도 신고하고 수사를 요청했다. 이번 사고는 민주당 전당대회를 앞두고 발생해 당원들의 불안이 커질 수 있다. 민주당은 블루웨이브의 당원 정보와 당원관리시스템, 전당대회 온라인투표 시스템은 서로 물리적으로 분리돼 있다고 강조했다. 이에 따라 이번 해킹이 당원 데이터베이스나 현재 진행 중인 온라인투표 시스템으로 확산된 것은 아니라고 밝혔다. 한병도 민주당 대표 직무대행 겸 원내대표는 당원들에게 정확한 사실을 안내하고 추가 피해가 발생하지 않도록 가능한 모든 보안 조치를 시행하라고 지시했다. 블루웨이브를 포함한 당내 전체 시스템에 대한 보안점검도 주문했다. 이번 사고의 핵심은 유출 규모뿐 아니라 탐지까지 걸린 시간이다. 민주당 설명대로 지난해 9월 공격이 발생했다면 보안관제나 접근기록 분석 과정에서 이상 징후가 장기간 발견되지 않았다는 의미가 될 수 있다. 아이디와 이메일 주소가 외부로 유출된 경우 다른 사이트와 동일한 비밀번호를 사용하는 회원을 대상으로 계정 탈취나 피싱 공격이 이어질 가능성도 있다. 민주당은 비밀번호가 암호화된 상태였다고 밝혔지만, 어떤 방식으로 암호화됐는지와 공격자가 실제 비밀번호 원문에 접근했는지는 설명하지 않았다. 한편 온라인투표 시스템과 물리적으로 분리돼 있다는 설명도 별도 검증이 필요하다. 시스템이 분리돼 있더라도 관리자 계정이나 외부 연계망, 인증 정보가 공유됐다면 간접적인 위험이 생길 수 있기 때문이다. 민주당은 관련 보안점검 결과와 수사기관 조사 내용을 토대로 추가 피해 여부를 공개할 계획이다. 민주당은 현재 비밀번호 변경과 보안점검, 수사 의뢰 등 후속 조치에 착수했다. 온라인투표 시스템은 별도로 안전하게 운영되고 있다고 밝혔으며, 추가 피해 차단을 위한 당내 전체 시스템 점검도 진행하면서 이번 사고 수습에 나섰다.2026-08-07 17:57:14
-
"AI도 해킹 표적 된다"…S2W, AI 취약점 진단 시장 공략 [경제일보] 기업들의 생성형 인공지능(AI) 도입이 본격화되며 AI가 직접 업무를 수행하는 '에이전틱 AI' 시대가 열리면서 AI 자체를 겨냥한 새로운 보안 위협이 빠르게 증가하고 있다. 프롬프트 인젝션과 데이터 탈취, 권한 오남용 등 기존 보안 체계만으로 대응하기 어려운 공격 기법이 등장하는 가운데, AI 서비스를 공격자의 관점에서 점검하는 'AI 레드티밍'과 취약점 진단 시장도 확대되고 있다. 30일 빅데이터 분석 AI 기업 S2W는 기업의 안전한 AI 도입과 활용을 지원하기 위해 AI 서비스 취약점 진단 사업을 본격 확대한다고 밝혔다. S2W는 이번 사업이 대규모 언어모델(LLM)과 AI 에이전트를 활용한 서비스가 빠르게 확산되는 상황에서 기업들이 AI 서비스에 대한 보안성을 사전에 검증하고 잠재적 위험을 최소화할 수 있도록 지원하기 위해 마련됐다고 설명했다. 최근 금융과 제조, 공공 분야를 중심으로 생성형 AI 도입이 확대되면서 AI가 기업의 핵심 업무 시스템과 연계되는 사례가 늘어나고 있지만, AI 특성을 고려한 보안 점검 체계는 아직 초기 단계에 머물러 있다는 것이다. 특히 AI 서비스는 기존 정보기술(IT) 시스템과 달리 프롬프트 조작을 통한 정보 유출과 권한 탈취, 악성 데이터 입력을 통한 오작동 유발 등 새로운 유형의 보안 위협에 노출돼 있다. AI 에이전트가 외부 서비스와 연동해 자율적으로 업무를 수행하는 사례가 늘어나면서 AI 보안의 중요성 역시 더욱 커지고 있다. 실제로 최근 정부도 AI 보안 체계 마련에 속도를 내고 있다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 최근 'AI 보안 레드티밍 가이드'를 발간하고 공격자 관점에서 AI 서비스의 보안성을 점검하기 위한 절차와 방법론을 제시했다. AI 도입이 기업 경쟁력과 직결되는 시대가 도래하면서 사전 보안 검증의 필요성이 커지고 있다는 분석이다. S2W는 해당 흐름에 맞춰 공격자의 시각에서 AI 서비스의 잠재적 취약점을 진단하는 AI 서비스 취약점 진단 사업을 확대한다. 다크웹과 텔레그램, 해킹 포럼 등에서 수집한 실제 LLM 공격 기법을 점검 과정에 즉시 적용할 수 있는 오펜시브 보안 역량을 기반으로 AI 서비스 전반의 보안성을 검증한다는 계획이다. 특히 S2W는 국제 비영리 보안 단체인 OWASP가 제정한 'OWASP Top 10 for LLM'을 기본 기준으로 활용하고, 산업별 특수성을 고려한 추가 점검 항목을 적용해 도메인 적합성을 높였다고 설명했다. 이를 통해 모델과 프롬프트, 데이터, AI 에이전트 등 AI 서비스를 구성하는 다양한 요소에 내재된 취약점을 정밀 진단하고 공격자의 악용 가능성을 다면적으로 검증할 예정이다. 기업들이 AI를 핵심 업무 시스템과 연계하는 사례가 늘어나면서 AI 서비스에 대한 보안 요구 수준도 높아지고 있다. 생성형 AI가 단순 질의응답을 넘어 업무 자동화와 의사결정 지원 역할까지 수행하게 되면서 서비스 도입 이전 단계부터 취약점을 점검하려는 수요 역시 증가하는 추세다. AI 보안 시장이 기존 정보보안의 하위 영역이 아닌 독립적인 시장으로 성장하고 있다는 평가가 나오는 이유다. S2W는 AI 서비스 취약점 진단 사업 개시와 동시에 최근 국내 대형 금융사의 AI 서비스 취약점 진단 사업도 수주했다. 금융권의 엄격한 보안 기준과 규제 환경을 고려한 취약점 진단을 수행 중이며, 향후 제조와 공공 등 다양한 산업 분야로 사업 영역을 확대할 계획이다. 또한 각 산업별 AI 활용 방식과 서비스 구조, 보안 요구사항 등을 종합적으로 반영한 맞춤형 취약점 진단 서비스를 제공하고, 자체 개발한 AI 기반 점검 도구와 오펜시브 보안 전문가들의 노하우를 결합해 AI 서비스의 안전한 도입을 지원한다는 방침이다. 양종헌 S2W 통합분석실장은 "AI 서비스의 잠재적 위험을 사전에 찾아내기 위해서는 AI를 활용한 정교한 점검과 공격자 관점의 전문적인 검증이 함께 이뤄져야 한다"며 "S2W는 자체 개발한 AI 기반 도구에 오펜시브 보안 전문가의 노하우를 결합해 기업이 AI 서비스를 보다 안전하게 도입하고 운영할 수 있도록 실효성 높은 진단 서비스를 제공하고 있다"고 말했다.2026-07-30 14:51:19
-
"AI가 개발하고 사람이 검증한다"…AWS, AI 주도 개발 방법론 공개 [경제일보] "AI를 도입한 개발 조직의 94%가 기대했던 성과를 내지 못하고 있다" 생성형 인공지능(AI)이 소프트웨어 개발 생산성을 끌어올릴 것이라는 기대와 달리 실제 서비스 출시까지 이어지는 사례는 많지 않다는 분석이 나온다. AI가 코드 작성 속도는 높였지만 보안과 검증, 운영 등 개발 전 과정까지 해결하지는 못하고 있기 때문이다. 아마존웹서비스(AWS)는 AI 코딩을 넘어 AI가 개발 전 과정에 참여하고 사람이 이를 검증하는 'AI 주도 개발(AI-DLC)'이 새로운 개발 방식이 될 것이라고 강조했다. 16일 AWS는 서울 강남구 AWS 코리아 사옥에서 'AI-DLC & Kiro 기자간담회 및 핸즈온 세션'을 열고 AI 기반 개발 방법론인 'AI-DLC(AI-Driven Development Life Cycle)'와 스펙 기반 개발 도구 '키로(Kiro)'를 소개했다. 이날 발표를 맡은 박혜영 AWS 코리아 수석 솔루션즈 아키텍트(SA)는 "AI는 기존의 소프트웨어 개발 역량을 강화하고 있으나 모두에게 균등하게 효과가 있진 않다"며 "강한 기술을 가진 조직이 더 앞서가고 있고 나머지는 제자리에 오히려 머물고 있다"고 말했다. AWS가 제시한 서클CI의 '2026 소프트웨어 딜리버리 보고서'에 따르면 AI를 도입한 개발 조직의 94%는 기대했던 성과를 내지 못하고 있는 것으로 나타났다. 기능을 개발하는 속도는 85% 빨라졌지만 실제 프로덕션 환경에 배포되는 속도는 26% 개선에 그쳤다. 박 SA는 "AI 코딩으로 피처를 개발하는 것은 무려 85%나 빨라졌지만 서비스까지 올리는 것은 어렵다"며 "만드는 건 빨라졌지만 고치는 건 더 오래 걸린다"고 설명했다. 이어 "이것이 지금 AI 코딩의 현실"이라고 강조했다. AI 코딩 도구 사용자들의 가장 큰 불만 사항 역시 '거의 맞지만 완벽하지 않은 코드'였다. 개발자 1만6000명을 대상으로 진행된 설문조사에서는 응답자의 45%가 이를 가장 큰 불만 사항으로 꼽았으며, 상당수는 AI가 작성한 코드를 수정하는 데 더 많은 시간을 쓰고 있다고 답했다. AWS는 해당 한계의 원인으로 AI가 소프트웨어 개발의 일부만 담당하고 있다는 점을 지목했다. 실제 코딩은 전체 개발 과정의 일부에 불과하며 설계와 테스트, 검증, 운영 등 나머지 과정 역시 중요하다는 설명이다. 박 SA는 "우리가 흔히 보는 AI 코딩은 개발의 일부일 뿐"이라며 "실제 이게 프로덕션 레벨로 나가기 위해서는 설계도 해야 되고 테스트도 해야 되고 검증도 해야 되고 소통도 해야 된다"고 말했다. 이어 "나머지 80%는 AI가 제공을 하고 있지 않기 때문에 이 80%를 건드려야 전체적인 생산성이 올라간다"며 "그것이 오늘 말씀드릴 AI-DLC가 하는 역할"이라고 설명했다. AWS는 현재 AI 개발 방식이 크게 사람이 직접 개발하고 AI가 일부를 보조하는 방식, AI에게 개발을 맡기는 이른바 '바이브 코딩', AI가 실행하고 사람이 검증하는 방식으로 나뉜다고 설명했다. AWS는 이 가운데 세 번째 방식인 AI-DLC를 새로운 개발 방법론으로 제시했다. AI-DLC는 프로젝트 '정의'와 '구축', '운영' 등 3단계로 구성되며 요구사항 정의부터 실제 코드 작성, 운영과 배포까지 AI가 작업을 수행하고 사람이 이를 검증하는 구조다. AI-DLC의 특징은 하나의 AI가 모든 작업을 수행하는 것이 아니라 총 11개의 전문 AI 에이전트가 역할을 나눠 협업한다는 점이다. 설계 단계에서는 설계 전문 AI가, 구축 단계에서는 개발 전문 AI가 각각 역할을 수행한다. 또한 요구사항 정의서와 사용자 스토리, API 명세서, 보안 설계 문서, 테스트 코드, 배포 가이드 등 개발 전 과정의 산출물을 AI가 자동으로 생성한다. 각 단계에서 이뤄진 의사결정 과정 역시 모두 문서로 남겨 추적이 가능하다. 박 SA는 "하나의 AI 에이전트가 아니라 11개의 전문 AI 에이전트가 이 역할들을 수행하면서 각각 역할을 교대로 수행한다"며 "설계 단계에서는 설계 에이전트가, 구축 단계에서는 구축 에이전트가 서로 협업하게 된다"고 말했다. 이어 "AI가 무엇을 했고 사람이 무엇을 했는지를 다 감사 기능으로 남겨 놓는다"며 "AI가 바뀌거나 사람이 나중에 바뀌거나 신입이 들어오더라도 전체를 누구나 이해할 수 있는 형태로 유지하는 맥락을 축적하는 기능이 있다"고 덧붙였다. AWS는 AI-DLC를 구현하는 대표 도구로 스펙 기반 AI 개발 도구인 키로도 소개했다. 키로는 프롬프트를 입력하면 즉시 코드를 생성하는 기존 AI 코딩 도구와 달리 요구사항과 설계를 먼저 문서화한 뒤 코드를 생성하는 방식이다. 단계별 사람의 승인을 거치는 스펙 기반 개발과 테스트·문서화·보안 점검 등을 자동 수행하는 '에이전트 훅', 조직의 개발 규칙을 AI가 학습하는 '스티어링', 외부 시스템과 연동하는 'MCP' 등을 지원한다. AWS가 공개한 오픈소스 벤치마크 결과에 따르면 동일한 AI 모델로 같은 작업을 수행했을 때 키로의 작업당 비용은 경쟁 도구 대비 6분의 1에서 10분의 1 수준으로 나타났다. 이어진 파이어사이드 챗에서는 AWS 서밋 서울 2026 'AI-DLC 챌린지' 우승팀인 현대해상과 LG유플러스, SK AX가 각각 AI 업무 인텔리전스 플랫폼과 차량 내 다중 화자 AI 에이전트, RFP 분석 자동화 시스템 등을 소개하며 AI 주도 개발 활용 사례를 공유했다. AWS는 앞으로 AI 시대 개발자의 역할 역시 크게 변화할 것으로 전망했다. 단순히 코드를 작성하는 역할에서 벗어나 AI와 함께 설계하고 검증하는 역할이 중요해질 것이라는 설명이다.2026-07-16 14:00:38
-
금융사, AI 보안패치 중 경미한 장애 땐 제재 면책 [경제일보] 금융당국이 금융회사의 인공지능(AI) 보안테스트와 보안패치 과정에서 발생하는 경미한 전산장애에 대한 제재를 면책하기로 했다. 프런티어 AI 보안위협에 금융사가 적극 대응할 수 있도록 부담을 낮추고 실무 가이드라인도 마련했다. 2일 업계에 따르면 금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책조치를 심의·의결했다. 금융사의 AI 보안위협 대응 행동요령을 담은 프런티어 AI 보안위협 금융분야 대응요령'도 마련해 배포했다. 프런티어 AI는 현재 가장 높은 수준의 성능과 범용성을 갖춘 AI 모델을 뜻한다. 금융당국은 '미토스' 등 프런티어 AI의 보안위협에 대응하기 위해 금융권이 취약점 점검과 보안패치에 적극 나설 필요가 있다고 보고 있다. 그동안 금융업계에서는 AI를 활용한 보안점검이나 긴급 보안패치 과정에서 전산시스템 오작동이 발생할 수 있어 일정한 면책조치가 필요하다는 의견이 제기돼 왔다. 임직원이 제재 리스크를 의식하면 취약점 확인과 패치 적용이 지연될 수 있다는 이유다. 앞으로 금융사가 보안목적 AI를 활용해 취약점·포트 스캐닝, 자동화 침투 시도 등 보안테스트를 진행하거나 금융위·금감원·금융보안원 등이 전파한 보안취약점에 대해 긴급 보안패치를 실행하는 과정에서 경미한 전산장애가 발생하면 면책 대상이 된다. 다만 신속한 복구와 소비자 보호조치가 이뤄져야 한다. 면책 범위는 기관·임직원 신분제재와 과태료 등이다. 개인신용정보 유출 사고가 발생한 경우에는 이번 면책과 관계없이 신용정보법에 따른 제재가 적용된다. 경미한 전산장애 기준도 제시됐다. 고의성이 없고 금전피해가 1억원 미만이며 시스템 장애 시간이 최대 4시간 이내인 경우 등이 해당된다. 고객정보 유출은 개인신용정보를 제외하고 1만건 미만이어야 한다. 금융사는 사전 테스트와 복구 수단을 갖춰야 한다. 보안테스트나 패치 일시·대상·내용·대체 서비스 경로 등을 홈페이지나 문자메시지로 사전에 안내하고 소비자 피해가 발생하면 구제조치도 마련해야 한다. 금융당국은 면책조치와 함께 6개 분야 대응요령도 제시했다. 가이드라인에는 △경영진 책임 강화 △취약점 및 패치관리 △자산·공급망 관리 △AI 기반 방어 자동화 △금융권 공동대응과 복원력 강화 △침해확산 방지 체계 등이 담겼다. 금융당국은 가이드라인을 보안목적 AI 테스트 결과 등을 반영해 지속 업데이트할 계획이다. 금융위 관계자는 "금융사의 불안감을 낮추고 적극적인 보안강화 조치를 유도하는 데 방점을 뒀다"며 "전산자원 관리와 취약점 탐지, 보안패치 적용 등 관리강화 조치에 나서주길 기대한다"고 말했다.2026-07-02 08:54:28
-
![[현장] AI 코딩 넘어 개발 전 과정 관리…IBM, IBM 밥 국내 출시](https://image.ajunews.com//content/image/2026/06/04/20260604130521776727.jpg)
"AI 코딩 넘어 개발 전 과정 관리"…IBM, 'IBM 밥' 국내 출시 [경제일보] "'IBM 밥'이 제공하는 가치는 팀 전체의 개발 흐름에서 마찰을 줄이고, 더 빠르고 안정적으로 소프트웨어를 제공할 수 있도록 만드는 것" 4일 여의도 IFC 사무실에서 열린 한국IBM 기자간담회에서 마이클 쿽 IBM 밥 솔루션 부사장 및 캐나다 연구소장은 자사의 신규 솔루션 'IBM 밥'을 소개하며 이렇게 말했다. 'IBM 밥'은 기존 AI 코딩만 다루는 것을 넘어 기획·개발·테스트·배포·운영·보안까지 소프트웨어 개발 전 과정(SDLC)을 하나의 흐름으로 통합 지원하는 엔터프라이즈 전용 AI 개발 파트너다. 기존 단순 코드 생성 도구를 넘어 대규모 애플리케이션 구조와 시스템 환경을 이해하고 개발 전 과정을 조율하는 방식으로 설계됐다. 한국IBM은 이날 간담회를 통해 IBM 밥이 단순한 개발 보조 도구를 넘어 기업의 소프트웨어 개발 방식 자체를 바꾸는 플랫폼이라는 점을 강조했다. 특히 복잡한 레거시 시스템과 규제 환경, 보안 요구사항이 높은 엔터프라이즈 환경에서 AI 활용이 제한적이었던 기존 한계를 해결하는 데 초점을 맞춘 것이다. 마이클 쿽 부사장은 "많은 사람들은 AI 도구를 쓰면 20~30% 정도 빨라질 것이라고 기대하지만 실제 대규모 엔터프라이즈 코드베이스에서는 오히려 AI를 사용하는 것이 더 느려지는 경우도 있다"며 "AI는 단순히 코드가 명확한 환경에서는 매우 효과적이지만 엔터프라이즈 개발처럼 맥락이 복잡하고 불명확한 환경에서는 제대로 성과를 내기 어렵다"고 말했다. IBM은 기존 AI 코딩 도구들이 개발자 개인 생산성 향상에는 기여했지만, 시스템 전체 복잡성이나 운영·보안 요소가 결합된 기업 환경에서는 실제 성과로 이어지기 어려웠다고 설명했다. 이에 IBM은 이러한 문제를 해결하기 위해 애플리케이션 구조와 코드 자산 전반을 이해하고 여러 단계의 개발 작업을 자동으로 수행하는 구조로 IBM 밥을 설계했다고 강조했다. 이를 통해 IBM은 개발자가 단순 구현 작업에서 벗어나 시스템 설계와 의사결정 중심 역할로 전환할 수 있을 것으로 전망했다. IBM이 공개한 내부 데이터에 따르면 IBM 밥의 내부 업무 도입 이후 개발 생산성은 평균 45% 향상됐으며 애플리케이션 현대화 속도는 최대 93% 개선된 것으로 나타났다. 문서화 작업은 기존 대비 10배 이상 빨라졌고 반복 작업 역시 크게 감소했다. 제이 탈레카 IBM 밥 수석 기술 연구원은 "시스템은 단순한 개발 도구가 아니라 소프트웨어 개발 생애주기 전체를 조율하는 AI 파트너"라며 "'IBM 밥'은 코드 이해를 돕고, 문서와 아키텍처 다이어그램을 자동으로 생성하며, 나아가 새로운 기능 개발까지 지원한다"고 말했다. 특히 IBM 밥은 레거시 시스템 현대화 영역에서 강점을 가진 것이 특징이다. 기존에는 수주 이상 걸리던 메인프레임 및 자바 기반 시스템 전환 작업을 수일 수준으로 단축하고, 복잡한 의존 관계를 자동 분석해 안정적인 전환을 지원하는 것으로 알려졌다. 보안 측면에서도 개발 초기 단계부터 정책과 규제 요건을 자동으로 반영하는 구조를 적용해 개발 완료 이후 별도로 진행되던 보안 점검 과정을 개발 전 과정에 내재화했다. 이를 통해 규제 산업에서도 개발 속도와 안정성을 동시에 확보한 것이다. 또한 개발 과정에서 발생하는 자원 사용량과 비용을 실시간으로 분석하고 최적화하는 기능도 제공한다. IBM은 이를 통해 기업이 AI 활용을 확대하면서도 비용 통제와 효율성을 동시에 확보할 수 있다고 설명했다. IBM은 IBM 밥을 현재 서비스형 소프트웨어(SaaS) 형태로 제공하고 있으며, 향후 온프레미스 환경 지원과 특정 산업 및 개발 환경에 최적화된 패키지를 순차적으로 확대할 계획이다.2026-06-04 13:12:54
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] AI가 내 돈을 쓰는 시대, 책임은 누가 지나](https://image.ajunews.com/content/image/2026/10/16/20261016135030302549_518_323.jpeg)