과학기술정보통신부와 한국인터넷진흥원(KISA)이 8월 8일 발표한 ‘2025년 상반기 사이버위협 동향’ 보고서에 따르면, 올해 상반기 국내 침해사고 신고 건수는 1,034건으로 전년 동기 899건 대비 약 15% 증가한 것으로 나타났다. 인공지능(AI) 기술을 악용한 새로운 형태의 공격이 확산되는 가운데 디지털 금융 서비스를 겨냥한 침해 시도가 두드러졌으며, 9월 초 발생한 KT 무단 소액결제 사건은 이러한 위협이 실제 피해로 이어질 수 있음을 보여준 사례로 꼽힌다.
보고서에 따르면 상반기 침해사고 신고 중 정보통신 분야의 비중이 32%로 가장 높았고, 유형별로는 서버해킹 공격이 51.4%로 절반 이상을 차지했다. 이어 분산서비스거부(DDoS) 공격이 23.0%, 악성코드 감염이 11.1%였으며 이 가운데 랜섬웨어 감염이 7.9%를 기록했다. 과기정통부는 공격 방식이 기존의 단순 침입에서 벗어나 자동화되고 정교해지는 추세라고 분석했다.
같은 시기 발생한 KT 무단 소액결제 사건은 이러한 흐름을 상징적으로 보여준다. 경찰은 9월 1일 특정 지역에서 발생한 KT 가입자 무단 소액결제 피해 정황을 KT 측에 전달했고, KT는 9월 5일 이상 통신 패턴을 발견해 관련 회선을 차단하는 조치를 취했다. 이후 9월 8일 KT는 등록되지 않은 불법 소형 기지국(펨토셀)이 내부망에 접속한 사실을 확인하고 과기정통부에 침해사고를 신고했으며, 과기정통부는 9월 9일 민관합동조사단을 구성해 사고 원인 조사에 착수했다. 조사 과정에서는 국제단말기식별번호(IMEI), 국제이동가입자식별번호(IMSI), 전화번호 등 다량의 개인정보가 유출된 정황도 확인됐다. 통신사 결제 시스템의 보안 취약점이 실제 소비자 피해로 이어진 이번 사건을 계기로, 국가 차원의 체계적인 사이버 보안 대응 전략 수립 필요성이 다시 부각되고 있다.
AI 악용 사이버 공격의 새로운 양상
KISA 보고서는 2025년 상반기 주요 위협 유형으로 AI 기반 개인화 피싱 공격, 딥페이크를 활용한 사회공학적 공격, 양자 컴퓨팅 위협에 대비한 암호화 기술 전환 압박, 클라우드 서비스 대상 공격 증가 등을 제시했다. 생성형 AI로 대상별 맞춤형 피싱 메일을 대량으로 만들어내거나, 음성을 합성해 실존 인물을 사칭하는 이른바 ‘음성 피싱 2.0’ 형태의 시도가 늘고 있다는 점이 특징으로 지적됐다. 다만 이러한 수법으로 실제 기업이 금전 피해를 입은 구체적 사례는 이번 보고서에서 개별적으로 특정되지 않았다.
보안 업계에서는 생성형 AI의 확산으로 공격자들도 상대적으로 손쉽게 고도화된 도구에 접근할 수 있게 됐다는 점이 위협 확대의 배경으로 거론된다. 기존의 정형화된 보안 교육만으로는 정교해진 사회공학적 공격에 대응하기 어렵다는 지적도 나온다. 실제로 ChatGPT 등 생성형 AI를 악용해 악성 코드를 자동으로 생성하거나 시스템의 보안 취약점을 탐색하는 시도가 늘어난 것으로 파악되며, 이는 기존 보안 솔루션의 탐지 능력만으로는 한계가 있다는 우려로 이어지고 있다.
디지털 금융 서비스 보안 강화 방안
KT 소액결제 사건을 계기로 금융위원회와 과기정통부는 디지털 금융 서비스에 대한 보안 기준을 강화하는 방안을 검토하고 있다. 간편결제와 소액결제 등 일상생활과 밀접한 서비스에서 드러난 보안 취약점이 사회적 문제로 부각된 데 따른 조치다. 검토 중인 방안에는 실시간 이상 거래 탐지 체계 강화, 다단계 인증 확대, 결제 한도에 대한 실시간 모니터링, 이용자 행동 패턴 분석에 기반한 위험 평가 등이 포함된 것으로 알려졌다. 통신사와 금융기관 간 정보 공유 체계를 구축해 위험 상황에 신속하게 대응할 수 있도록 한다는 방향도 함께 논의되고 있다.
디지털 금융 서비스 이용이 일상화되면서 보안 위협도 함께 진화하고 있다는 것이 관계 당국의 공통된 진단이다. 이에 따라 사용자 편의성을 크게 해치지 않으면서도 실효성 있는 보안 수준을 확보하기 위한 기술 개발과 제도 개선이 병행될 필요성이 제기된다. 정부는 2025년 하반기부터 디지털 금융 서비스 제공업체를 대상으로 한 정기 보안 점검 체계를 강화하고, 보안 사고 발생 시 신고 절차를 신속화하는 방안도 함께 검토하고 있는 것으로 전해졌다.
한편 양자 컴퓨팅 기술의 발전으로 기존 암호화 기술이 장기적으로 무력화될 가능성에 대비해 양자내성암호(PQC) 기술 도입도 추진되고 있다. 과기정통부는 주요 정부 시스템과 금융기관을 대상으로 양자내성암호를 단계적으로 적용해 나갈 계획이라고 밝힌 바 있다. 이는 아직 현실화되지 않은 미래의 양자 컴퓨팅 위협에 선제적으로 대응하기 위한 조치로, 중장기 국가 사이버 보안 역량 강화 과제의 하나로 다뤄지고 있다.
업계에서는 AI를 이용한 공격과 방어 기술이 동시에 고도화되는 국면에서, 단발성 대응이 아니라 민관이 협력하는 상시적인 위협 정보 공유와 점검 체계가 뒷받침돼야 한다는 목소리가 나온다. KT 사건에 대한 민관합동조사단의 최종 조사 결과와 후속 제도 개선안이 나오는 대로, 통신·금융 분야 전반의 보안 기준 개편 논의도 속도를 낼 것으로 전망된다.
