낯선 번호로 전화가 온다. 상대는 은행 직원이라며 내 이름을 부르고, 대출 한도가 얼마인지, 연소득이 얼마인지 정확히 읊는다. 이 정도로 아는 사람이 사기꾼일 거라고 선뜻 생각할 수 있을까. 나는 그러기 어렵다고 본다. 그리고 이런 전화가 앞으로 훨씬 흔해질 거라고 본다.
지난 9월 29일 이후 열흘 가까이, 은행 이름이 하루가 멀다 하고 '유출' 기사에 오르고 있다. 신한은행에서는 대출 신청 고객 약 2만5000명의 이름과 전화번호, 연소득, 대출 산출한도가 빠져나갔다. 일부는 주민등록번호와 연계정보(CI, 금융사들이 같은 사람임을 확인하는 고유 값)까지 포함됐다. 이튿날 국민은행과 하나은행에서도 유출이 확인됐고, 금융당국은 7개 금융사에서 같은 공격자 IP를 찾아냈다. AI 도구를 쓴 자동화 공격 가능성도 들여다보고 있다.
언론의 관심은 'AI 해킹'에 쏠려 있다. 국내 은행 공격에서 AI의 흔적이 나온 건 처음이니 그럴 만하다. 하지만 2013년부터 온라인에 남은 기록을 지워 온 내 눈에는 다른 것이 먼저 보인다. 이번 공격에 쓰인 재료는 새로 훔친 정보가 아니었다. 오래전에 새어 나가고도 아무도 치우지 않은 우리의 과거였다.
◇문을 연 열쇠는 이미 밖에 있었다
보안업계가 지목하는 수법은 크리덴셜 스터핑이다. 다른 곳에서 샌 아이디와 비밀번호를 로그인 창에 될 때까지 넣어 보는 방식이다. 신한은행에서는 대출모집인이 쓰는 모바일 간편조회 페이지가 뚫린 것으로 알려졌다.
해커는 은행 비밀번호를 알아내려고 애쓰지 않았다. 몇 해 전 어느 쇼핑몰이나 커뮤니티에서 흘러나간 계정 정보가 지워지지 않고 돌아다녔고, 그 비밀번호를 은행에서도 똑같이 쓰던 사람이 있었을 뿐이다. 지난해에도 같은 방식으로 한 유통 대기업 홈페이지에서 158만명이 피해를 봤다. 그때 나간 기록이 지금 누구 손에 있는지는 아무도 모른다.
나는 이런 기록을 '디지털 유품'이라고 부른다. 주인은 잊었는데 인터넷은 잊지 않은 기록이다. 유출 사고는 뉴스가 끝나도 끝나지 않는다. 한 번 샌 정보는 어딘가에 쌓이고, 다음 공격이 올 때 탄약으로 꺼내 쓰인다.
◇AI는 흩어진 조각을 순식간에 이어 붙인다
크리덴셜 스터핑 자체는 오래된 수법이다. AI가 바꾼 건 속도와 비용이다. 정보 수집, 취약점 탐색, 침투 시도처럼 사람이 며칠씩 하던 일을 AI 에이전트가 맡으면서 공격에 드는 시간과 인력이 크게 줄었다. 한 시중은행 정보보호 책임자는 AI가 대중화된 뒤 공격 빈도가 체감상 두세 배 늘었다고 말했다.
내가 더 무서워하는 건 그다음이다. 이번에 나간 연소득과 대출 한도는 '지금 돈이 급한 사람'을 골라내는 데 쓸 수 있는 정보다. 여기에 예전 사고로 흘러나간 주소, 가족관계, SNS 게시물이 붙으면 어떻게 될까. AI는 한 사람의 생활을 훤히 꿰는 프로필을 몇 분이면 만든다. 흩어진 조각을 맞추는 데 품이 너무 들어서 사실상 안전했던 정보들이 이제는 그렇지 않다.
그 프로필이 향하는 곳은 보이스피싱이다. AI로 만든 목소리와 얼굴로 가족이나 금융사 직원을 사칭하는 범죄는 이미 늘고 있다. 내 사정을 속속들이 아는 목소리를 의심하기란 쉽지 않다. 글머리의 그 전화가 바로 이 지점에서 나온다.
현장에서도 같은 변화가 느껴진다. 9월 말 은행권 유출 사고 이후 우리 회사에 들어오는 의뢰는 그 전보다 40% 늘었다.
◇“과장이다”라는 반론에 대해
이 사태를 부풀리면 안 된다는 목소리도 있다. 들어 볼 만하다.
먼저, 수천만 명이 털린 다른 사고에 비하면 이번 피해는 작고 인터넷o모바일뱅킹 금전 피해도 아직 확인되지 않았다는 점이다. 맞는 말이다. 다만 주민번호와 소득, 대출 한도가 한 묶음으로 나간 데이터는 범죄자에게 그대로 '잘 정리된 표적 명단'이다. 위험은 숫자보다 조합에서 나온다.
다음은 AI 개입이 아직 확인되지 않았고, 'AI 해킹'이라는 말이 비밀번호 재사용이나 허술한 외부 페이지 인증 같은 기본기 문제를 가린다는 지적이다. 이 부분은 나도 동의한다. 그래도 AI가 쓰였든 아니든 공격의 재료가 과거 유출 기록이었다는 사실은 달라지지 않는다.
마지막으로, 다크웹에 넘어간 데이터는 지울 수 없으니 디지털 장의사가 할 일이 없다는 시각이다. 원본을 지울 수 없다는 건 사실이다. 그래서 오히려 그 원본과 맞물릴 수 있는 공개된 조각을 줄이는 일이 중요해진다. 퍼즐 한 조각을 되찾을 수 없다면 나머지 조각을 치워서 그림이 완성되지 못하게 해야 한다.
◇막는 것만으로는 부족하다
개인에게, 비밀번호는 오늘 바꾸면 끝이다. 하지만 이미 인터넷에 남은 이름, 주소, 가족 이야기, 옛 게시물은 바꿀 수가 없다. 해커가 사람을 정확히 겨냥할 때 쓰는 재료가 바로 이것들이다. 지워서 줄이는 것이 유출 이후 개인이 할 수 있는 가장 확실한 대비다.
우선 안 쓰는 오래된 계정과, 실명과 연락처가 남아 있는 옛 게시물부터 정리하자. 그다음 각 은행이 연 유출 확인 메뉴에서 내가 해당되는지 보고, 여러 사이트에 같은 비밀번호를 쓰고 있다면 바로 바꾸자. 가능하면 2단계 인증이나 패스키(비밀번호 대신 지문·얼굴로 로그인하는 방식)로 옮기는 게 좋다. 그리고 내 대출 정보와 소득을 정확히 아는 전화일수록 일단 끊고 공식 대표번호로 다시 걸어야 한다.
금융사에게. 이번 공격은 대출모집인 페이지처럼 관리가 허술한 외곽을 정확히 노렸다. 외부 협력자용 페이지에도 고객과 같은 수준의 다중 인증이 필요하다. 상담이 끝난 개인신용정보를 웹 서버에 쌓아 둘 이유도 없다. 갖고 있지 않은 데이터는 털릴 수 없다. AI 공격은 AI로 막아야 한다는 원칙에도 속도를 내야 한다. 올해 은행권 모의해킹(은행이 일부러 해커처럼 공격해 보는 보안 점검) 가운데 AI 에이전트를 쓴 경우는 열 건 중 한 건 남짓이었다.
정부와 국회에게. 보유기간이 끝난 개인정보가 정말 지워졌는지 확인하는 장치가 필요하다. '파기했다'는 서류와 실제 삭제는 다른 문제다. 피해 보상이 금전 손해에서 멈추면 2차 피해는 막을 수 없다. 유출 이후의 노출 모니터링과 삭제 지원을 피해 구제 범위에 넣는 방안을 검토해 주기 바란다. 과징금 강화와 집단소송 논의도 필요하지만, 기업이 데이터를 덜 갖고 있을수록 이익이 되는 구조를 함께 고민할 때다.
◇잊힐 권리는 이제 보안의 언어다
나는 지나간 기록 때문에 오늘이 괴로운 수만 명을 상담해 왔다. 그동안 잊힐 권리는 주로 명예와 평판의 언어로 이야기됐다. AI 시대에는 재산과 안전의 문제가 됐다.
방화벽은 문을 지킨다. 하지만 문밖에 쌓인 탄약까지 치워 주지는 않는다. 그 탄약이 그대로라면 방화벽을 아무리 높여도 다음 공격은 다른 문으로 들어온다. 지금까지 우리는 문 지키는 일에만 돈과 시간을 썼다. 문밖은 너무 오래 방치해 왔다.
누구도 자신의 과거 기록 때문에 현실이 괴로워서는 안 된다. 그 기록이 범죄의 탄약이 되는 세상이라면 더욱 그렇다.
김호진 산타크루즈컴퍼니 대표·대한민국 1호 디지털 장의사 hobarce27@naver.com