AI 해킹공격 고도화 식품 냉장고·의료기기까지 공격… AI 방어 가능할까

사이버 공격이 기업 전산망을 넘어 생산과 유통 등 실물경제 전반으로 확산하면서 보안 대응 범위도 넓어지고 있다. 인공지능(AI)을 활용한 공격 기법이 고도화되는 가운데 의료기기 생산시설과 식품 유통 설비까지 피해를 입으면서 침입을 탐지하는 기술뿐 아니라 연결된 기기의 설계 단계부터 취약점을 줄이고 공급망 전반의 보안 체계를 갖춰야 한다는 지적이 나온다.
27일 관련 업계와 로이터통신 등 에 따르면 사이버 공격으로 산업 현장의 운영이 중단되는 사례가 잇따르고 있다. 로이터통신은 지난 3월 12일 미국 의료기기 업체 스트라이커가 사이버 공격으로 주문 처리와 제품 생산, 배송에 차질을 빚었다고 밝혔다. 프랑스 일간 르몽드는 지난 13일 슈퍼마켓 냉장설비를 겨냥한 사이버 공격으로 수백 개 매장의 냉장·냉동 식품이 피해를 입었다고 전했다. 이어 17일에는 피해 매장이 700곳을 넘었으며 냉장설비 제어 소프트웨어의 보안 취약점이 공격에 악용됐다고 보도했다. 르몽드는 또 13일 별도 기사에서 딕셀(Dixell) 장비를 사용하는 사업장도 공격 대상이 됐으며, 딕셀의 모회사인 코플랜드(Copeland)가 판매하는 소프트웨어도 침해된 것으로 파악됐다고 전했다. 이들 사례는 기업 전산망뿐 아니라 생산·유통에 직접 연결된 산업 설비의 보안 취약점도 실물경제 피해로 이어질 수 있음을 보여준다.

공격 수법도 진화하고 있다. 마이크로소프트는 지난 21일 중국과 연계된 해킹 조직이 AI 기반 침투 테스트 도구인 ARTEX를 활용해 수백 개 조직을 공격했다고 밝혔다. 클라우드 백업 서비스인 커넥트와이즈가 침해된 사례도 언급됐다. AI가 공격자의 취약점 탐색과 침투 작업을 지원할 수 있는 만큼, 보안 담당자가 공격을 확인한 뒤 대응하는 방식만으로는 피해를 줄이는 데 한계가 있다는 우려가 나온다.

이 같은 위험은 금융권과 공공서비스에서도 제기된다. 국내 금융회사들을 겨냥한 AI 활용 공격 정황과 일본의 온라인 서비스 관련 보안 사고도 거론되고 있지만, 구체적인 공격 경로와 피해 범위는 개별 사례별로 확인할 필요가 있다. 보안 취약점이 실제 공격에 악용될 경우 금융 서비스나 교통·행정 시스템의 운영에도 영향을 미칠 수 있어서다.


보안 문제는 네트워크에 연결된 제품 자체로도 확대되고 있다. 전기차와 로봇청소기, 서빙 로봇 등은 카메라와 각종 센서로 주변 환경과 위치 정보를 수집할 수 있다. 수집 정보의 종류와 저장 위치, 외부 전송 여부, 제조사나 유지보수 업체의 원격접속 권한에 따라 보안 위험이 달라질 수 있다. 특정 국가에서 생산됐다는 이유만으로 위험을 단정하기보다는 제품이 어떤 정보를 수집하고 어디로 전송하는지 접근 권한을 어떻게 관리하는지 확인하는 절차가 중요하다는 지적이다.

미국은 중국·러시아와 연계된 일부 커넥티드카 소프트웨어와 하드웨어를 대상으로 규제를 추진해 왔으며, 일본 오키나와의 미군 기지에서 중국산 전기차 사용을 제한했다는 보도도 나왔다. 다만 개별 조치의 적용 범위와 공식적인 근거는 별도로 확인해야 한다. 이 같은 움직임은 차량과 각종 연결기기가 단순한 소비재를 넘어 정보 수집과 전송 기능을 갖춘 보안 관리 대상으로 인식되고 있음을 보여준다.

기업과 정부의 대응도 사후 수습에서 사전 관리로 옮겨가는 추세다. 유럽연합(EU)의 사이버복원력법(CRA)은 9월 11일부터 악용 중인 취약점과 제품 보안에 중대한 영향을 미치는 사고에 대한 보고 의무를 단계적으로 적용하기 시작했다. 해당 의무에 따르면 조기 경보는 인지 후 24시간 이내, 사고 통지는 72시간 이내에 이뤄져야 한다. 미국 증권거래위원회(SEC)도 상장사가 중대한 사이버 보안 사고라고 판단한 경우 원칙적으로 4영업일 이내에 관련 내용을 공시하도록 하고 있다.
일본에서는 AI를 활용해 공격 상황을 모의 실험하고 취약점을 점검하는 체계를 마련하려는 움직임도 나타나고 있다. 다만 AI를 방어에 도입하는 것만으로 위험을 없앨 수는 없다. 사용하지 않는 서비스의 외부 노출을 줄이고 보안 취약점을 신속히 수정하는 기본 조치에 더해 단말기와 네트워크, 인증 기록을 함께 분석해 침투 징후를 조기에 파악하는 관리 체계가 필요하다.

위정현 중앙대 가상융합대학 학장은 중국산 전기차와 관련해 차량을 ‘움직이는 스마트폰’에 비유하며, 카메라와 센서가 어떤 정보를 수집하고 어디로 전송하는지 이용자가 파악하기 어렵다는 점을 우려했다. 그는 “개인도 경각심을 갖고 자신의 정보가 외부로 흘러갈 가능성을 생각하고 제품을 선택할 필요가 있다”고 말했다.

결국 사이버 보안은 기업 내부 전산망을 지키는 문제에 그치지 않는다. 제품이 설계·제조되는 단계부터 정보 수집과 전송, 원격접속 권한, 취약점 공개와 사고 신고까지 전 과정을 관리해야 생산 중단과 정보 유출 등 현실의 피해를 줄일 수 있다는 지적이다.


최한결 글로벌이코노믹 기자 gksruf0615@g-enews.com