BoB 뉴스레터 2026년 6월 호

안녕하세요, 구독자 님!

뉴스레터를 구독하신 분들께 매번 감사드립니다.

🍎 BoB 뉴스레터 06월호 스토리

📢 06월 BoB 수료생&멘토 소식

🍧 동문들의 소식들을 기다립니다

뉴스레터가 여러분의 소식을 함께 전달해드립니다. 🎉

🔏 AI가 보안 업무를 바꾸자, 기업들은 검증할 수 있는 사람을 찾기 시작했다

최근 1년 국내외 자료로 보는 2026년 AI 시대 보안 직무 변화

🔎 AI는 보안 일자리를 없애기보다, 검증할 사람을 요구한다

AI가 보안 업무에 들어오면서 가장 먼저 바뀐 것은 속도였다. 과거에는 사람이 직접 다 했다. 관제 인력은 경보를 분류했고, 진단 인력은 스캔 결과를 정리했으며, 침해대응 담당자는 로그를 따라가며 공격 흐름을 짚었다. 이제는 AI가 경보를 요약하고 우선순위를 제안하며, 관련 로그를 묶어 보고서 초안까지 만든다.

겉으로 보면 보안팀의 일이 줄어든 것처럼 보인다. 하지만 변화는 그렇게 단순하지 않다. AI는 반복 업무를 줄이는 동시에 보안팀이 검증해야 할 대상도 늘리고 있다. 이제 보안팀은 서버와 네트워크, 계정과 애플리케이션만 보지 않는다. AI 모델과 프롬프트, 입력 데이터와 출력 결과, AI 에이전트의 권한과 AI가 호출하는 API까지 함께 봐야 한다.

OECD, Businesses using AI, based on OECD ICT Access and Usage Database, 2026.

AI가 일부 실험실 기술이 아니라 기업 운영 환경 전반으로 들어왔다는 신호는 통계에서도 보인다. OECD에 따르면 2025년 OECD 국가 기업의 AI 도입률은 20.2%로, 2024년 14.2%와 2023년 8.7%에서 2년 만에 두 배 넘게 늘었다. ICT 분야는 57.3%에 이른다. 한국에서도 2026년 1월 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」이 시행되면서 AI의 활용뿐 아니라 신뢰성과 안전성, 책임 있는 운영이 핵심 정책 과제로 올라왔다.

그래서 2026년 보안 직무의 변화는 AI가 인력을 없앤다는 쪽이 아니다. 더 정확히는 AI가 만든 결과를 검증하고, AI가 조직 안에서 안전하게 작동하도록 통제하는 일이 중요해지고 있다. 실제로 새로 커지는 직무는 대부분 검증과 평가, 통제 쪽이다. AI 보안관제 담당자는 AI가 만든 결과를 검증한다. 레드티머는 프롬프트 인젝션이나 정책 우회, 민감정보 노출을 파고든다. 거버넌스 담당자는 사용 정책과 접근통제, 감사 체계를 설계한다. 기업이 찾기 시작한 사람은 AI를 잘 돌리는 사람이 아니라, AI가 내놓은 결과를 검증하고 잘 활용할 수 있는 사람이다.

🧑‍💻 신입 보안 인력의 문제는 소멸이 아니라 진입 경로의 변화다

가장 먼저 체감되는 곳은 신입의 자리다.

기존에는 신입이 1차 로그 확인과 이벤트 분류, 오탐 판단, 보고서 초안 작성 같은 반복 업무를 거치며 현장 감각을 익혔다. 그런데 바로 이 업무들이 AI가 가장 먼저 보조하는 영역이 됐다. 신입이 걸으면서 배우던 구간 자체가 자동화되고 있는 셈이다.

ISC2의 2025년 AI 보안 도입 조사에서도 이 우려가 확인된다. 응답자의 52%는 AI 보안 도구가 입문급 인력 수요를 줄일 수 있다고 봤다. 반면 31%는 오히려 새로운 형태의 주니어 역할이 생길 수 있다고 답했다. 신입이 사라지는 게 아니라 맡는 일이 달라지는 것에 가깝다.

그렇다면 한국의 신입 보안 채용은 지금 실제로 어떻게 이뤄질까. 우선 대규모 정기 공채보다 신입과 경력을 묶은 수시채용이 일반적이다. 신입이 들어가는 통로도 한 번의 공채가 아니라 채용연계형·전환형 인턴십, K-Shield 주니어, 차세대 보안리더 양성(BoB), 정보보호 특성화대학 같은 교육 연계 과정으로 넓어졌다.

공고를 열어 보면 신입을 뽑으면서도 요구 역량은 꽤 구체적이다. SIEM·EDR·DLP 같은 보안 솔루션을 다뤄 봤는지, 보안관제나 사고대응을 실습해 봤는지, 정보보안기사·CPPG·CEH 같은 자격증이 있는지를 본다. 졸업장만으로는 부족하고, 인턴이나 교육과정, CTF, 개인 프로젝트로 쌓은 실무 흔적을 증거로 내놓아야 한다. 결국 신입에게 요구되는 것도 결이 같다. 도구를 쓸 줄 안다는 말이 아니라, 그 역량을 바로 검증할 수 있게 보여주는 일이다.

🇰🇷 한국 채용 시장: 경력 중심 구조 위에 검증·통제 직무가 더해진다

KISIA, 「2025년 국내 정보보호산업 실태조사 보고서」

한국 시장은 한 가지를 먼저 짚어야 한다. 정보보안 기업의 채용은 이미 신입보다 경력 중심에 가까웠다. KISIA 자료를 보면 2024년 정보보안 분야 신규 채용은 신입 1,359명, 경력 1,800명이었다. 이 수치만으로 AI 때문에 신입이 줄었다고 말하기는 어렵다. 경력 선호는 AI 확산 전부터 있던 구조이기 때문이다. 보안 업무가 고객사 환경과 시스템 구조, 네트워크 흐름, 권한 체계까지 함께 이해해야 하는 일이라, 기업은 교육이 필요한 신입보다 바로 투입할 수 있는 경력자를 선호해 왔다.

KISIA, 「2025년 국내 정보보호산업 실태조사 보고서」

그렇다고 산업이 줄어드는 것도 아니다. KISIA의 「2025년 국내 정보보호산업 실태조사」에 따르면 2024년 정보보안 매출은 7조 1,244억 원으로 전년 대비 15.9% 늘었고, 국내 정보보호 기업은 정보보안 876개와 물리보안 904개를 합쳐 1,780개였다. 산업이 줄어드는 게 아니라 축이 옮겨가는 중이다.

옮겨가는 방향은 정책에서 더 분명하게 드러난다. KISA와 과학기술정보통신부는 2026년 AI 기반 차세대 보안 제품 상용화 지원사업에서 위협 데이터 분석과 탐지·대응 자동화, 지능화된 보안 운영을 지원 대상으로 제시했다. 금융보안원은 2026년 핵심 AI 전략으로 금융 AI 평가·인증체계 개발과 AI 레드티밍 전담 조직 신설을 내세웠다. 개인정보보호위원회는 2026년 AI 프라이버시 민·관 정책협의회를 출범시켜 AI 거버넌스 기준을 민·관이 함께 설계하기로 했다. 방화벽과 백신, 관제, 취약점 진단이 사라지는 게 아니라 그 위에 AI 보안관제와 보안성 검증, AI 레드티밍, 거버넌스가 얹히는 구조다. 국내에서 자리가 늘어나는 쪽도 여기다.

🌍 해외 채용 시장: AI 시스템 자체가 보안 통제 대상이 됐다

해외 자료에서 반복적으로 보이는 흐름은 하나다. AI 보안은 더 이상 AI 도구를 보안팀에 붙이는 단계가 아니라, AI 시스템 자체가 보안 통제 대상이 되는 단계로 넘어갔다.

World Economic Forum, Global Cybersecurity Outlook 2026, Figure 12

도입은 이미 보편적이다. WEF의 「Global Cybersecurity Outlook 2026」에 따르면 조사 대상 조직의 77%가 이미 사이버보안에 AI를 도입했다. ISC2 조사에서도 30%가 AI 보안 도구를 운영에 통합했고, 42%가 평가나 테스트 단계라고 답했다. 그 위에 통제 프레임워크가 빠르게 쌓이고 있다. 미국 NIST는 2025년 12월 Cyber AI Profile 초안에서 사이버보안을 세 축으로 정리했다. AI 시스템을 보호하는 것, AI로 방어를 강화하는 것, AI를 악용한 공격에 대응하는 것이다. CISA는 2026년 5월 G7과 함께 AI용 SBOM 최소요소 문서를 내놓았고, EU는 2025년 7월 범용 AI 모델 Code of Practice로 투명성과 저작권, 안전, 보안 의무 이행을 다뤘다.

!World Economic Forum, Global Cybersecurity Outlook 2026, Figure 8

World Economic Forum, Global Cybersecurity Outlook 2026, Figure 8

위험 신호도 뚜렷하다. WEF 응답자의 87%는 2025년 한 해 AI 관련 취약점이 가장 빠르게 증가한 사이버 리스크라고 봤다. AI 도구의 보안성을 평가하는 조직 비율은 2025년 37%에서 2026년 64%로 늘었다. 잘못 구현된 AI와 과도한 자동화 의존, 적대적 조작, 편향된 판단은 모두 사람이 직접 관리해야 할 문제다. 그래서 해외에서 커지는 직무도 결국 검증과 평가, 통제 쪽으로 모인다. AI 레드티머, AI 거버넌스 담당자, AI triage 결과를 다시 확인하는 보안관제 인력이 대표적이다. 자동화가 속도를 주는 만큼, 그 속도가 틀렸을 때를 잡아내는 사람의 값어치도 함께 오른다.

결론: AI가 줄인 것은 일자리가 아니라, 단순 반복에 머무를 여지다

AI가 보안 직무 전체를 없애고 있다는 근거는 아직 약하다. 국내 정보보호산업은 여전히 큰 규모를 유지하고 있고, 국내외 정부와 기관은 AI 보안관제와 AI 레드티밍, AI 프라이버시 리스크 관리에 투자를 이어가고 있다.

다만 AI가 보안 업무의 일부를 바꾸고 있다는 점은 분명하다. 1차 로그 확인과 이벤트 분류, 알림 triage, 보고서 초안 작성 같은 반복 업무는 AI가 빠르게 보조하기 시작했다. 이 변화는 특히 신입이 경험을 쌓던 방식을 흔든다. 그 위에는 새로운 일이 생긴다. AI가 만든 결과를 검증하고, 보안관제 룰을 고도화하고, LLM의 취약성을 점검하고, 프롬프트 인젝션을 막고, AI 에이전트의 권한을 통제하는 일이다.

신입이 준비해야 할 역량도 따라 달라진다. 많은 경보를 처리하는 능력보다 그 경보가 왜 위험한지 설명하는 능력이 중요하다. AI가 쓴 보고서를 다듬는 능력보다 그 보고서가 실제 로그와 맞는지 확인하는 능력이 중요하다. KISA 아카데미의 2026년 교육 목록에 AI 보안운영·위협탐지 실무인력 양성 같은 과정이 등장한 것도, 보안관제가 사라지는 직무가 아니라 AI를 전제로 다시 교육되는 직무가 되고 있다는 신호다.

보안의 중심은 자동화가 아니라 검증이다. AI가 더 빨라질수록, 사람에게 요구되는 것은 더 정확한 판단이다.

[참고자료]

📑 규제의 시계는 얼마나 빠른가: 각국의 AI 개인정보 규제 현황

출처: GPT 생성

규제의 시계는 얼마나 빠른가: 각국의 AI 개인정보 규제 현황

AI 기술의 발전 속도와 규제의 속도는 언제나 불균형하다. 기술은 기하급수적으로 진화하는 반면, 규제는 입법 과정이라는 느린 시계를 따른다. 그러나 최근 수년간 각국 정부는 이 간극을 좁히기 위해 전례 없는 속도로 움직이기 시작했다. 문제는 방향이 제각각이라는 점이다. EU는 강한 규제로, 미국은 혁신 우선으로, 한국은 그 사이 어딘가에서 자신만의 균형점을 찾고 있다.

AI와 개인정보보호 규제를 이해하기 위해서는 세 축을 동시에 봐야 한다. EU의 이중 규제 체계(GDPR + AI Act), 연방 공백 속 주별 난립이라는 미국의 특수성, 그리고 2026년 1월 시행에 들어간 한국의 AI 기본법이 그것이다. 이 세 가지 접근은 단순한 정책 비교를 넘어, 글로벌 AI 서비스를 운영하는 기업이 실무적으로 마주해야 할 컴플라이언스 지형도이기도 하다.

EU: GDPR과 AI Act의 이중 레이어

EU는 2018년부터 GDPR을 시행하며 전 세계 개인정보보호의 기준을 선도해왔다. GDPR은 개인의 프라이버시 권리를 최우선으로 하며, 개인정보 처리 과정에서 투명성과 책임성을 법적 의무로 규정했다. 그러나 생성형 AI의 등장은 GDPR이 상정하지 않았던 새로운 문제들을 만들어냈다. AI 학습 데이터의 적법성, 자동화된 의사결정의 설명 가능성, 대규모 언어 모델의 개인정보 처리 방식 등이 대표적이다.

이 공백을 메우기 위해 등장한 것이 EU AI Act다. 2024년 8월 1일 공식 발효된 EU AI Act는 2025년 2월부터 금지된 AI 활동에 관한 규정이 실제 적용되기 시작했다. AI Act는 위험 기반 접근 방식을 채택해 AI 시스템을 허용 불가·고위험·저위험으로 분류하고, 위험 등급에 따라 차등 규제를 적용한다. 위반 시 기업은 전 세계 매출의 최대 7%에 달하는 과징금 대상이 된다. 주목할 점은 AI Act를 준수한다고 해서 GDPR 등 기타 법령상 의무가 면제되는 것은 아니라는 점을 집행위원회가 명확히 하고 있다는 것이다. 즉, EU에서 AI 서비스를 운영하려면 GDPR과 AI Act라는 이중 레이어를 모두 통과해야 한다.

미국: 연방 공백, 50개 주의 난립

미국은 EU와 정반대의 그림을 그리고 있다. 현재까지 미국 연방정부는 AI 기술을 포괄적으로 규제하는 법률을 제정하지 못한 상태다. 바이든 행정부가 2023년 10월 행정명령으로 연방 차원의 AI 안전 기준을 제시했으나, 트럼프 행정부는 2025년 1월 취임과 동시에 이를 철회했다. 연방 차원의 공백은 곧 각 주의 독자적인 입법으로 이어졌다. 2025년 기준 미국 50개 주 모두 AI 관련 법안을 도입했으며, 특히 공공 부문, 의료, 안면 인식, 생성형 AI 등 4가지 분야에서 규제 움직임이 두드러졌다.

이 파편화된 구조는 기업 입장에서 상당한 컴플라이언스 부담을 낳는다. 캘리포니아에서 합법인 AI 활용 방식이 콜로라도에서는 문제가 될 수 있고, 뉴욕의 기준은 또 다르다. 트럼프 행정부는 2025년 12월 주정부의 AI 규제를 차단하고 연방 차원의 단일 AI 정책 체계를 구축하기 위한 행정명령에 서명했다. 그러나 2025년 7월 미국 상원은 99대 1의 압도적 표차로 주별 AI 규제를 최대 10년간 금지하는 유예 조항을 폐기하며 주 정부의 독자적 규제 권한을 유지했다. 연방과 주 사이의 긴장은 당분간 지속될 전망이다.

한국: EU와 미국 사이의 혼합형 모델

한국은 2026년 1월 22일, 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법)을 시행했다. 2024년 12월 국회 본회의를 통과하고 2025년 1월 공포된 이 법은 EU에 이어 세계에서 두 번째로 AI에 관한 포괄적 기본법을 시행하는 국가가 됐다는 점에서 의미가 있다. AI 기본법의 핵심은 '고영향 AI' 개념의 도입이다. 자율주행, 의료 진단, 신용 평가 등 인간의 안전과 권리에 중대한 영향을 미치는 AI 시스템에 대해 투명성 고지 의무, 안전성 확보 의무, AI 영향 평가, 생성형 AI 결과물 표시 의무 등을 부과한다. 한국의 AI 기본법은 EU처럼 위험 기반 규제체계를 도입하면서도 미국처럼 혁신과 산업 성장을 고려한 혼합형 모델로 평가된다.

개인정보 측면에서는 개인정보보호위원회의 역할이 중요해졌다. AI 기본법과 개인정보보호법이 교차하는 지점, 즉 AI 학습 데이터의 적법한 처리 근거, 고영향 AI의 자동화된 의사결정에 대한 설명 요구권 등에서 두 법률 간 정합성을 맞추는 작업이 현재진행형이다. 정부는 법 시행 초기 기업들의 혼란을 최소화하기 위해 과태료 계도 기간을 1년 이상 운영할 계획으로, 실질적인 제재는 빨라도 2027년 이후가 될 것으로 보인다.

가장 강한 규제가 정답인가

세 지역의 접근 방식을 비교하면 하나의 공통된 딜레마가 드러난다. 강한 규제는 개인의 권리를 보호하지만 혁신을 저해할 수 있고, 느슨한 규제는 산업을 키우지만 피해자를 낳는다. EU조차 AI Act 시행 이후 규제 완화 움직임을 보이며 속도 조절 필요성을 인정하는 상황이다. 규제의 방향성보다 더 중요한 것은 실효성이다. 법조문이 아무리 촘촘해도 집행 체계와 기술적 이해가 뒷받침되지 않으면 무력하다. 다음 호에서는 규제의 한계를 기술적으로 보완하는 PPML 기술들을 살펴보며, 4개월간의 시리즈를 마무리한다.

[참고자료]

🗺 타임라인으로 알아보는 2026년 상반기 개인정보 유출 사고

[출처: 작성자 제작]

① (2026.01.28) 한국연구재단 JAMS 개인정보 유출

한국연구재단이 운영하는 온라인논문투고시스템 JAMS 사건으로, 개인정보위는 2026년 1월 28일 전체회의에서 한국연구재단에 대해 과징금 7억300만 원, 과태료 480만 원을 부과하고, JAMS 취약점 점검·재통지·개인정보 보호체계 개선·책임자 징계 권고 등을 의결했다.

공격자는 2025년 6월 6일 JAMS 내 학회 페이지의 비밀번호 찾기 URL 취약점을 악용했다. URL에 포함된 이메일 주소 값을 임의로 변경하면 비밀번호 찾기에 필요한 전체 항목을 입력하지 않아도 다른 회원의 개인정보 화면이 나타나는 구조였고, 공격자는 파라미터 변조와 이메일 무작위 대입 방식으로 JAMS 회원 약 12만 명의 개인정보를 열람했다. 유출 항목은 성명, ID, 이메일, 휴대전화번호, 계좌번호 등 44개 항목이다.

핵심 유책 사유는 장기간 취약점 점검 누락이다. 해당 취약점은 2013년부터 존재했지만 연구재단은 이를 장기간 탐지·개선하지 못했다. 더 큰 문제는 점검 범위였다. JAMS는 포털과 2025년 기준 1,617개 학회 페이지로 구성되어 있었는데, 연구재단은 JAMS 포털만 취약점 점검 대상으로 삼고 1,600여 개 학회 페이지는 점검하지 않았다. 유출 통지에서도 휴대전화번호, 계좌번호, 연구자등록번호 등 일부 항목을 누락한 것으로 확인되었다.

이 사건은 “대표 포털만 점검하고 하위 테넌트·학회별 페이지를 점검하지 않은” 전형적인 범위 누락 사고이다. SaaS형·멀티테넌트형 시스템을 운영하는 기관이라면 취약점 진단 범위를 대표 도메인, 서브도메인, 기관별 인스턴스, 학회별 페이지, 관리자 페이지, 비밀번호 재설정·본인확인 기능까지 확장해야 한다. 특히 비밀번호 찾기 기능은 계정 탈취의 관문이므로 파라미터 변조, 인증 우회, 임시 비밀번호 발급 로직, 이메일 무작위 대입 방어를 별도로 점검해야함을 볼수있는 사례이다.

개인정보보호위원회는 국가 핵심 연구기관이라는 특성을 고려해 처분 결과를 개인정보위 홈페이지와 연구재단 홈페이지에 공표하도록 했고, 과기정통부·교육부에도 JAMS 관리·운영 실태 점검 강화를 요청했다. 연구자 계좌정보와 연구자등록번호까지 포함된 사고라 공공 연구 인프라 신뢰성 문제가 함께 제기될 수 있다.

② (2026.01.28) 티머니 개인정보 유출 및 마일리지 도용

티머니 카드&페이 웹사이트에서 발생한 개인정보 유출 사건으로, 개인정보보호위원회는 2026년 1월 28일 전체회의에서 티머니에 대해 과징금 5억3,400만 원을 부과하고 시정명령 및 공표명령을 의결했다. 이 사건은 단순 개인정보 유출에 그치지 않고 이용자의 T마일리지 도용이라는 금전적 2차 피해까지 발생했다는 점에서 주목된다.

공격자는 2025년 3월 13일부터 3월 25일까지 외부에서 확보한 것으로 추정되는 아이디와 비밀번호 조합을 이용해 티머니 카드&페이 웹사이트에 반복적으로 로그인을 시도했다. 공격에는 국내외 9,647개 IP가 사용되었고, 총 로그인 시도 횟수는 1,226만 회에 달했다. 공격자는 5만1,691명 계정 로그인에 성공했고, 이름, 이메일 주소, 휴대전화번호, 주소 등 개인정보를 열람했다.

이 사건의 핵심 유책 사유는 크리덴셜 스터핑 공격에 대한 이상행위 탐지와 차단 조치가 미흡했다는 점이다. 공격 기간 동안 로그인 시도량은 평상시보다 비정상적으로 증가했고, 다수 IP에서 짧은 시간 동안 대량 로그인 시도가 발생했음에도 적절한 제한이나 차단이 이뤄지지 않았다. 그 결과 공격자는 4,131명 계정에서 잔여 T마일리지를 선물하기 기능으로 탈취했고, 약 1,400만 원 상당의 마일리지 피해가 발생했다.

이 사건은 계정 기반 공격 대응의 중요성을 보여준다. 크리덴셜 스터핑은 공격자가 이미 외부에서 확보한 계정정보를 활용하기 때문에 단순 비밀번호 복잡도 정책만으로는 방어가 어렵다. 로그인 실패율 급증, 동일 계정 반복 시도, 다수 IP 분산 접속, 비정상 User-Agent, 짧은 시간 내 대량 로그인 성공 등 행위 기반 탐지가 필요하다. 또한 마일리지 선물, 환불, 출금, 개인정보 조회와 같이 피해로 직결될 수 있는 기능에는 추가 인증이나 위험기반 인증을 적용해야 한다.

티머니 사건은 이용자의 비밀번호 재사용 문제와 사업자의 이상행위 대응 책임이 동시에 드러난 사례이다. 보안 담당자 입장에서는 로그인 시스템을 단순 인증 기능으로 보지 않고, 계정 탈취 방어와 금전성 기능 보호를 위한 핵심 통제 지점으로 관리해야 함을 보여주는 사건이다.

③ (2026.02.12) 루이비통·디올·티파니 명품브랜드 개인정보 유출

루이비통코리아, 크리스챤디올꾸뛰르코리아, 티파니코리아 등 명품 브랜드 3개사에서 고객 개인정보가 유출된 사건이다. 개인정보보호위원회는 2026년 2월 11일 전체회의에서 세 회사에 대해 총 360억3,300만 원의 과징금과 1,080만 원의 과태료를 부과했다. 업체별 과징금은 루이비통코리아 213억8,500만 원, 크리스챤디올꾸뛰르코리아 122억3,600만 원, 티파니코리아 24억1,200만 원이다.

이 사건의 주요 침해 경로는 고객관리 SaaS 계정 탈취와 접근통제 부실이다. 루이비통은 직원 단말이 악성코드에 감염되면서 SaaS 계정정보가 탈취되었고, 공격자는 이를 이용해 고객관리 시스템에 접근했다. 디올과 티파니의 경우 고객센터 직원이 보이스피싱에 속아 SaaS 접근 권한을 공격자에게 넘겨준 것으로 조사되었다. 세 회사 모두 고객관리를 위해 외부 SaaS를 사용하고 있었지만, 접근권한 제한과 안전한 인증수단 적용이 충분하지 않았다.

핵심 유책 사유는 SaaS 환경에서의 접근통제와 인증통제 미흡이다. 루이비통은 외부 접속 시 안전한 인증수단을 적용하지 않았고, 디올과 티파니는 IP 주소 제한이나 대량 데이터 다운로드 제한이 미흡했던 것으로 확인되었다. 특히 디올은 개인정보 다운로드 여부 등 접속기록을 정기적으로 점검하지 않아 유출 사실을 상당 기간 인지하지 못했고, 유출 사실을 인지한 뒤에도 신고·통지 기한을 넘긴 점이 문제로 지적되었다.

이 사건은 SaaS를 도입하더라도 개인정보처리자의 보호 책임이 사라지지 않는다는 점을 보여준다. 클라우드나 SaaS 기반 고객관리 시스템은 고객명, 연락처, 구매이력, VIP 등급, 상담이력 등 고가치 정보를 집중적으로 보유한다. 따라서 보안 담당자는 SSO, MFA, 조건부 접근, 관리자 IP 제한, 대량 다운로드 차단, API 토큰 관리, 접속기록 모니터링, 퇴사자 계정 회수, 단말 보안, 피싱 대응 훈련을 통합적으로 관리해야 한다.

명품 브랜드 고객정보는 구매이력과 결합될 경우 재산 수준, 소비 성향, 고가 상품 보유 가능성 등으로 해석될 수 있어 2차 피해 가능성이 크다. 이 사건은 편의성과 비용 효율성을 이유로 SaaS를 도입하더라도, 접근권한과 다운로드 권한을 최소화하지 않으면 대규모 개인정보 유출로 이어질 수 있음을 보여주는 사례이다.

④ (2026.03.11) 롯데카드 개인정보 유출

롯데카드 온라인 간편결제 시스템 해킹 과정에서 대규모 개인정보가 유출된 사건이다. 개인정보보호위원회는 2026년 3월 11일 전체회의에서 롯데카드에 대해 과징금 96억2,000만 원과 과태료 480만 원을 부과하고, 시정 및 공표 명령을 의결했다.

사고는 온라인 간편결제 시스템 해킹으로 시작되었지만, 피해 규모를 키운 핵심 원인은 로그 파일에 과도한 개인정보가 기록되어 있었다는 점이다. 해킹 과정에서 로그 파일에 저장된 이용자 약 297만 명의 개인신용정보가 유출되었고, 그중 약 45만 명의 주민등록번호도 함께 유출된 것으로 확인되었다. 개인정보위 조사 결과 롯데카드는 온라인 결제 관련 로그에 주민등록번호를 포함한 다수의 개인정보를 평문으로 기록하고 있었으며, 법에서 허용한 범위를 벗어나 주민등록번호를 처리한 것으로 판단되었다.

핵심 유책 사유는 로그 설계와 주민등록번호 처리의 부적정성이다. 운영 로그는 장애 분석과 거래 추적을 위해 필요하지만, 주민등록번호나 고유식별정보, 인증정보, 결제 관련 민감정보가 평문으로 남을 경우 침해사고 발생 시 유출 피해가 급격히 커진다. 롯데카드 사건은 외부 해킹 자체보다, 해킹됐을 때 노출될 수 있는 데이터가 과도하게 남아 있었던 내부 운영 구조가 문제였던 사례이다.

이 사건은 로그 관리의 중요성을 보여준다. 개발·운영 단계에서 로그에 어떤 값이 남는지, 마스킹 또는 토큰화가 적용되는지, 로그 접근 권한은 누구에게 있는지, 로그 보존기간은 적절한지, 로그 파일이 암호화되어 있는지 등을 점검해야 한다. 특히 금융·결제 시스템에서는 장애 분석 편의성을 이유로 주민등록번호, 카드번호, 계좌번호, 인증값, 세션정보, 토큰값이 로그에 남지 않도록 별도의 보안 리뷰 체계를 갖춰야 한다.

개인정보보호위원회는 이 사건을 계기로 금융분야 사업자의 주민등록번호 처리 관행에 대한 사전 실태점검을 추진하겠다고 밝혔다. 롯데카드 사건은 보안사고 대응에서 “침입 방어”만큼이나 “침입 후 노출될 수 있는 데이터 최소화”가 중요하다는 점을 보여주는 대표적인 사례이다.

⑤ (2026.04.22) KS한국고용정보·듀오·금릉공원묘원 개인정보 유출

KS한국고용정보, 듀오정보, 금릉공원묘원 3개 사업자에서 개인정보 보호조치 미흡으로 개인정보 유출이 발생한 사건이다. 개인정보보호위원회는 2026년 4월 22일 전체회의에서 세 사업자에게 총 47억8,820만 원의 과징금과 1,740만 원의 과태료를 부과하고, 시정명령 및 공표명령을 의결했다.

KS한국고용정보 사건에서는 공격자가 개인정보처리시스템 관리자 계정정보를 획득해 관리자 페이지에 접속한 뒤 상담사, 본사 직원, 입사지원자 등 4만875명의 개인정보를 다운로드했다. 또한 파일 다운로드 기능에서 파일 경로와 파일명을 파라미터로 받아 처리하면서 입력값 검증이 제대로 이루어지지 않았고, 공격자는 이 취약점을 이용해 서버 내 인사서류 약 5만 건을 추가로 탈취했다. 해당 서류에는 주민등록등본, 신분증 사본, 통장 사본, 가족관계증명서 등 고위험 개인정보가 포함되어 있었다.

듀오정보 사건에서는 직원 업무용 PC가 악성코드에 감염되면서 DB 서버 계정정보가 탈취되었고, 공격자는 이를 이용해 회원 DB 서버에 접속해 정회원 42만7,464명의 개인정보를 내려받았다. 유출 항목에는 이름, 아이디, 생년월일, 성별, 이메일, 휴대전화번호, 주소뿐 아니라 신장, 체중, 혈액형, 종교, 취미, 혼인경력, 형제관계, 학교명, 직장명 등 결혼정보 서비스 특성상 매우 민감한 프로필 정보가 포함되었다. 금릉공원묘원 사건에서는 묘지 관리비 조회·결제 페이지의 파라미터 변조 취약점이 문제된 것으로 알려졌다.

핵심 유책 사유는 관리자 계정 보호, 접근통제, 파일 다운로드 검증, 주민등록번호 처리, 보유기간 경과 정보 파기 등 기본 보호조치의 미흡이다. KS한국고용정보는 외부에서 관리자 페이지에 ID와 비밀번호만으로 접속할 수 있도록 운영했고, 접속 IP 제한이나 안전한 인증수단이 충분히 적용되지 않았다. 듀오정보 역시 DB 접속계정 탈취 이후 대량 다운로드를 막지 못했고, 유출 사실에 대한 통지와 보유기간 관리도 문제로 지적되었다.

이 사건은 단순 유출 건수보다 유출 정보의 민감도가 더 중요하다는 점을 보여준다. 채용, 결혼, 장례·묘원 관리와 같은 서비스는 신분증, 가족관계, 혼인 이력, 직장정보, 계좌정보 등 개인의 사회적 평판과 직접 연결되는 정보를 다룬다. 보안 담당자는 이런 업종의 개인정보를 일반 회원정보와 동일하게 취급해서는 안 되며, 관리자 페이지 MFA, IP 제한, 파일 다운로드 권한 통제, 문서 자동 마스킹, DB 계정 금고화, 보유기간 자동 파기, 관리자 행위 로그 모니터링을 별도로 강화해야 한다.

개인정보 유출이 단순 연락처 유출에 그치지 않고 한 사람의 직업, 가족, 혼인, 신체, 종교 정보까지 노출될 수 있음을 보여준 사례이다. 보안 담당자 입장에서는 개인정보의 민감도에 따라 보호수준을 차등 적용하고, 특히 문서형 개인정보와 첨부파일 저장소에 대한 통제를 강화해야 한다는 주의를 준다.

⑥ (2026.05.13) 보람상조 계열사 SQL 인젝션 개인정보 유출

보람상조개발 등 보람상조 7개 사업자에서 고객 개인정보가 유출된 사건이다. 개인정보보호위원회는 2026년 5월 13일 전체회의에서 보람상조개발, 보람상조리더스, 보람상조라이프, 보람상조피플, 보람상조애니콜, 보람상조실로암, 보람상조플러스 등 7개 사업자에 대해 총 과징금 5억4,250만 원과 과태료 1,140만 원을 부과하고, 시정 및 공표 명령을 의결했다.

보람상조개발은 보람그룹 내 6개 계열사로부터 온라인 고객상담 등 고객관계관리 업무를 위탁받아 수행하면서, 홈페이지를 통해 수집된 개인정보를 통합 관리하는 데이터베이스를 운영했다. 공격자는 홈페이지 취약점을 이용한 SQL 인젝션 공격으로 해당 DB에 침입했고, 이름, 휴대전화번호, 이메일 등 고객 개인정보를 탈취했다.

핵심 유책 사유는 접근제어 등 안전성 확보 조치 미흡과 수탁자 관리·감독 의무 위반이다. 보람상조개발은 통합 CRM DB를 운영하면서 SQL 인젝션 공격을 차단하기 위한 입력값 검증, 웹 취약점 점검, DB 접근통제 등을 충분히 수행하지 못한 것으로 판단되었다. 또한 6개 계열사는 개인정보 처리를 위탁한 주체로서 수탁자인 보람상조개발이 개인정보를 안전하게 관리하도록 교육·감독해야 할 의무가 있었지만, 이를 충분히 이행하지 않은 것으로 확인되었다.

이 사건은 그룹사 통합 CRM과 위수탁 구조의 위험을 보여준다. 여러 계열사의 고객정보를 한 곳에서 통합 관리하면 운영 효율은 높아질 수 있지만, 침해 발생 시 피해 범위도 그룹 전체로 확대될 수 있다. 보안 담당자는 위탁사와 수탁사의 책임경계, 위탁계약서 내 안전조치 조항, 수탁사 정기 점검, 취약점 진단 결과, DB 접근권한, 보유기간 경과 정보 파기 여부를 체계적으로 관리해야 한다.

보람상조개발은 유출 사실을 인지한 뒤 정보주체에게 법정기한 내 통지하지 않았고, 보유기간이 지난 개인정보를 파기하지 않은 사실도 확인되었다. 개인정보위는 상조 분야가 장기계약과 다수 협력업체 구조를 갖는 만큼 개인정보 장기보관과 위수탁 관리 관행을 점검할 필요가 있다고 보았다. 이 사건은 그룹 차원의 개인정보 처리 구조가 불투명할 경우 수탁사뿐 아니라 위탁사도 함께 제재 대상이 될 수 있음을 보여주는 사례이다.

⑦ (2026.05.27) 행정안전부·농촌진흥청·수탁업체 공공 개인정보 유출

행정안전부, 농촌진흥청, 국립농업과학원, 국립축산과학원, 수탁업체 미소테크 등 5개 기관·업체에서 개인정보 보호조치와 수탁자 감독 의무 위반이 확인된 사건이다. 개인정보보호위원회는 2026년 5월 27일 전체회의에서 이들 5개 기관·업체에 대해 총 과징금 5억4,660만 원과 과태료 1,200만 원을 부과하는 등 제재 처분을 의결했다.

행정안전부가 운영하는 정부24에서는 소스코드 개발 오류와 인증 취약점으로 개인정보가 타인에게 공개되는 사고가 발생했다. 2024년 4월에는 NEIS 연계 민원서류와 국세청 납세증명서 관련 개발 오류로 1,233명의 개인정보가 타인에게 공개되었고, 2025년 5월에는 정부24 주민등록증 발급상황 조회 서비스의 인증 취약점으로 주민등록증 발급상황이 타인에게 조회되는 문제가 발생했다. 또한 공유누리 홈페이지 업무게시판에 게시된 파일이 검색엔진에 노출되는 문제도 확인되었다.

농촌진흥청 및 소속기관 관련 사건에서는 시스템 유지관리 등을 위탁받은 미소테크의 NAS에 저장된 개인정보가 해커에게 탈취되어 다크웹에 게시되었다. 해당 NAS에는 이름, 주소, 연락처, 이메일, 직장정보, 과학기술인번호, 농장정보 등 개인정보 57만5천여 건이 포함되어 있었다. 미소테크는 위탁받은 개인정보를 자체 NAS에 무단 보관했고, 해당 NAS를 외부 IP에서 접근 가능한 상태로 운영하면서 관리자 ID와 비밀번호만으로 접속 가능하게 설정한 것으로 확인되었다.

핵심 유책 사유는 공공 정보화사업 과정에서의 안전조치 미흡과 수탁자 감독 공백이다. 정부24 사례는 개발·검수 단계에서 개인정보 처리 흐름과 인증 로직을 충분히 점검하지 못한 문제이고, 농촌진흥청·미소테크 사례는 수탁사가 위탁받은 개인정보를 외부 접근 가능한 저장소에 보관했음에도 공공기관이 이를 충분히 관리·감독하지 못한 문제이다. 개인정보위는 정보시스템 구축·유지관리 중 발생한 개인정보 보호 책임은 원칙적으로 공공기관에 있으나, 수탁자에게 고유 과실이 있는 경우 수탁자도 제재 대상이 될 수 있음을 분명히 했다.

이 사건은 공공기관 보안 담당자에게 개발 오류, 인증 취약점, 검색엔진 노출, 수탁사 저장소 관리가 모두 개인정보보호 사고로 이어질 수 있음을 보여준다. 공공 정보화사업에서는 개발 완료 후 기능 검수만으로 충분하지 않으며, 개인정보 테스트케이스, 본인인증 우회 테스트, 권한검사, 검색엔진 노출 점검, 수탁사 저장매체 확인, 용역 종료 후 데이터 파기 검증까지 포함해야 한다. 특히 수탁사가 보유한 NAS, 백업 서버, 개발용 DB, 테스트 데이터도 개인정보 처리 범위에 포함해 관리해야 한다.

또한, 공공기관이 “수탁사가 관리하던 시스템”이라는 이유로 책임을 회피하기 어렵다는 점을 시사한다. 보안 담당자 입장에서는 위탁계약서 작성 단계부터 수탁사 데이터 보관 금지, 외부 접근 차단, 암호화, 로그 보존, 자료 반출 승인, 정기점검, 사고 신고 의무를 명확히 하고, 실제 운영 현장에서 이를 확인할 수 있는 점검체계를 갖춰야 한다.

⑧ (2026.06.03) 티빙 개인정보 유출

온라인동영상서비스 티빙에서 이용자 개인정보가 유출된 사건이다. 개인정보보호위원회는 2026년 6월 3일 오전 티빙으로부터 개인정보 유출 신고를 접수하고 조사에 착수했다. 티빙은 이용자 개인정보가 저장된 데이터베이스에 비인가 접근이 이루어진 사실을 인지한 뒤 유출 신고를 한 것으로 알려졌다.

사고 경로는 외부 공격자가 티빙의 개인정보 DB에 비인가 접근해 개인정보 파일을 외부로 전송한 것으로 설명되었다. 유출된 것으로 추정되는 항목에는 아이디, 이름, 생년월일, 성별, 연계정보인 CI, 중복가입확인정보인 DI, 휴대전화번호, 이메일, 환불 계좌번호, 비밀번호 등이 포함되었다. 일부 항목은 암호화되어 저장된 것으로 알려졌지만, CI·DI와 환불계좌 등 결합성이 높은 정보가 포함되었다는 점에서 파장이 컸다.

해당 사건은 아직 최종 처분이 나오지 않았다. 다만 조사 쟁점은 DB 비인가 접근 경로, DB 계정 및 권한 관리, 암호화 수준, CI·DI 보관 필요성과 보호조치, 환불계좌 및 비밀번호 저장 방식, 비정상 접근 탐지 여부, 사고 인지 후 신고·통지의 적정성이다. 개인정보위는 자료 제출 요구와 현장조사를 통해 구체적인 유출 경위, 피해 규모, 안전조치 의무 및 유출 통지·신고 의무 준수 여부를 확인하겠다고 밝혔다.

티빙 사건의 핵심은 단순 회원정보 유출이 아니라 대체식별자와 결합성 높은 정보가 함께 유출되었다는 점이다. CI와 DI는 여러 서비스에서 본인 식별이나 중복가입 확인에 활용될 수 있어, 다른 유출 데이터와 결합될 경우 2차 피해 가능성이 커질 수 있다. 따라서 CI·DI를 보관하는 기업은 해당 값의 저장 필요성, 암호화 방식, 접근권한, 조회 로그, API 연계 범위, 인증수단 연계 구조를 별도로 점검해야 한다.

OTT 플랫폼처럼 대규모 이용자 기반을 가진 서비스에서 개인정보 DB 접근통제가 얼마나 중요한지를 보여준다. 보안 담당자는 DB 접근권한 최소화, 관리자 계정 MFA, 클라우드 접근정책, DB 접속 모니터링, 대량 조회·다운로드 탐지, 환불계좌 등 민감 필드의 암호화와 마스킹, 사고 발생 시 72시간 내 신고·통지 체계를 점검해야 한다. 최종 제재 전 단계이지만, 보안 담당자에게는 대규모 B2C 플랫폼의 DB 보호체계를 재점검하게 하는 사례로 볼 수 있다.

⑨ (2026.06.04) CU POST 개인정보 유출

CU 편의점 택배 서비스인 CU POST를 운영하는 BGF네트웍스에서 고객 개인정보가 유출된 사건이다. 회사는 2026년 6월 4일 오후 신원 미상의 공격자가 시스템에 비인가 접근해 개인정보를 유출한 정황을 확인했고, 이후 관련 사실을 공지하고 관계기관에 신고한 것으로 알려졌다.

사고 경로는 웹 취약점을 이용한 외부 침입으로 파악되었다. 공격자는 CU POST 내부 시스템에 비인가 접근했고, 이 과정에서 이용자의 이름, 휴대전화번호, 이메일, 주소, 성별, 아이디, 단방향 암호화된 비밀번호, CI 등 개인정보가 유출된 것으로 알려졌다. 일부 보도에서는 생년월일도 유출 항목으로 언급되었으며, 회사는 사고 인지 후 공격 IP 차단과 시스템 모니터링 강화 등 긴급 조치를 취한 것으로 전해졌다.

현재, 최종 처분 전 단계이다. 해당 사건의 핵심 쟁점은 웹 취약점의 유형, 입력값 검증과 인증·권한검사 여부, 관리자 페이지 또는 API 외부 노출 여부, CI와 비밀번호의 저장·암호화 방식, 사고 인지 후 신고·통지 절차의 적정성이다. 특히 비밀번호가 단방향 암호화되어 있었다는 설명이 있더라도, 실제로 어떤 해시 알고리즘과 솔트 정책이 적용되었는지에 따라 위험 수준은 달라질 수 있다.

생활밀착형 택배 서비스의 개인정보가 유출되었다는 점이 중요하다. 택배 서비스는 이름, 주소, 휴대전화번호 등 피싱과 스미싱에 바로 악용될 수 있는 정보를 보유한다. 여기에 CI까지 포함될 경우 다른 서비스의 유출 정보와 결합될 가능성이 커진다. 따라서 웹서비스 보안점검은 단순 취약점 스캔에 그치지 않고, API 권한검사, 세션 관리, 입력값 검증, WAF 룰, 관리자 기능 접근제한, 개인정보 조회·다운로드 로그 점검까지 포함해야 한다.

CU POST 사건은 일상 서비스에서 수집되는 주소·연락처 정보가 침해되었을 때 이용자 체감 피해가 매우 크다는 점을 보여준다. 보안 담당자는 개인정보 항목을 “일반정보”로만 분류하지 말고, 택배·배송·주소록 정보처럼 사칭 범죄에 직접 악용될 수 있는 데이터에 대해 별도 보호수준을 적용해야 한다.

⑩ (2026.06.11) 쿠팡 개인정보 유출 및 대규모 제재

쿠팡 및 쿠팡풀필먼트서비스와 관련한 개인정보 유출·침해 사건으로, 개인정보보호위원회는 2026년 6월 11일 쿠팡에 대해 과징금 6,246억8,100만 원과 과태료 1,680만 원을 부과하고, 시정명령·공표명령 등을 의결했다. 또한 쿠팡풀필먼트서비스에 대해서도 개인정보 수집·이용 및 민감정보 처리 제한 위반 등을 이유로 과징금 2억4,800만 원을 부과했다.

개인정보보호위원회는 쿠팡의 인증 서명키 관리 및 접근통제 소홀 등 기본적인 안전관리 체계 미흡으로 약 3,755만 명의 개인정보가 유출되었다고 판단했다. 유출 관련 쟁점 외에도 유출통지·파기 의무 위반, 개인정보보호책임자 독립성 보장 위반, 조사 방해 등이 추가로 확인되었다. 대형 플랫폼 사업자가 방대한 이용자 정보를 처리하면서도 인증체계와 접근통제, 키 관리, 이상행위 탐지 체계를 충분히 운영하지 못했다는 점이 핵심 문제로 지적되었다.

이 사건은 유출 사고뿐 아니라 개인정보 수집·활용의 적법성 문제도 함께 다루어졌다. 개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만 명의 온라인 활동기록을 무단 수집해 DB에 저장한 사실을 확인했다고 밝혔다. 온라인 활동기록에는 쿠팡 광고가 게재된 타사 웹·앱 방문기록, 접속일시, 접속 IP 등이 포함되었다. 또한 부정광고를 게재하는 광고 파트너를 적절히 관리·감독하지 않아 이용자 의사에 반해 쿠팡 서비스 이용기록이 수집되도록 한 점도 문제로 지적되었다.

쿠팡 사건의 핵심은 인증 서명키 관리와 접근통제이다. 인증 서명키가 부실하게 관리되면 공격자는 정상 인증 흐름을 우회하거나 내부 서비스 간 신뢰관계를 악용할 수 있다. 따라서 대규모 플랫폼은 키 생성, 보관, 접근권한, 회전, 폐기, 사용 로그, 비정상 API 호출 탐지, 내부 서비스 간 인증 검증을 별도로 관리해야 한다. 특히 퇴사자 계정, 장기 미사용 키, 개발·운영 환경 간 키 공유, 로그에 남은 토큰값 등은 대형 사고의 시작점이 될 수 있다.

쿠팡 사건은 국내 개인정보 제재에서 매우 큰 분기점으로 볼 수 있다. 과징금 규모도 이례적으로 컸지만, 더 중요한 점은 개인정보보호 이슈가 단순 유출 사고를 넘어 온라인 활동기록 수집, 광고 파트너 관리, CPO 독립성, 조사 협조, 탈퇴회원 정보 처리체계까지 확장되었다는 점이다. 보안 담당자 입장에서는 개인정보보호를 침해사고 대응 부서만의 업무가 아니라, 인증·광고·데이터 분석·마케팅·위탁관리·컴플라이언스 전반을 포괄하는 운영 거버넌스 문제로 봐야 함을 보여주는 사례이다.

[참고자료]

🔒 왜 Identity Security는 더 중요해지고 있을까?(2) - 정상 접근처럼 보이는 공격의 증가

공격 방식이 바뀌었다

과거의 사이버 공격을 떠올리면 악성코드, 취약점 공격, 방화벽 우회 같은 장면이 먼저 떠오른다. 공격자는 시스템의 약점을 찾아 침투하고, 내부에 악성 파일을 심어 권한을 확장했다.

하지만 최근의 공격 방식은 조금 달라지고 있다. 공격자는 반드시 시스템을 ‘뚫고’ 들어오지 않는다. 이미 탈취한 계정으로 정상 사용자처럼 로그인하고, 허용된 권한을 이용해 내부 시스템에 접근한다. 보안 장비 입장에서는 이것이 공격인지, 정상적인 업무 활동인지 구분하기가 훨씬 어려워진다.

CrowdStrike의 Global Threat Report는 최근 공격에서 악성코드를 사용하지 않는 침투가 큰 비중을 차지한다고 분석했다. 공격자들이 유효한 자격 증명, 신뢰된 인증 흐름, 승인된 SaaS 연동을 이용해 이동한다는 점도 함께 지적된다. Microsoft 역시 Digital Defense Report에서 대다수의 identity 공격이 password spray와 같은 비밀번호 기반 공격에서 시작된다고 설명한다.

즉, 공격의 시작점이 바뀌고 있다. 이제 보안의 핵심 질문은 “외부 침입을 막았는가?”에서 “누가, 어떤 권한으로, 어떤 맥락에서 접근하고 있는가?”로 이동하고 있다.

Identity Security란 무엇인가

출처: GPT 생성

Identity Security는 사용자, 계정, 권한, 인증 정보가 안전하게 사용되고 있는지를 보호하는 보안 영역이다. 쉽게 말하면 “누가 무엇에 접근할 수 있는지”를 관리하고, 그 접근이 정상적인지 지속적으로 확인하는 것이다.

여기서 Identity는 단순히 사람 계정만 의미하지 않는다. 직원 계정, 관리자 계정, 클라우드 계정, SaaS 계정뿐 아니라 API key, access token, service account, certificate 같은 비인간 계정도 포함된다. 최근에는 AI agent나 자동화 도구가 업무 시스템에 접근하는 경우도 늘어나면서, Identity의 범위는 더 넓어지고 있다.

기존의 IAM이 계정 생성, 로그인, 권한 부여에 초점을 맞췄다면, Identity Security는 한 단계 더 나아간다. 계정이 탈취되지는 않았는지, 권한이 과도하지는 않은지, 사용하지 않는 계정이 방치되어 있지는 않은지, 정상 계정처럼 보이는 이상행위가 발생하지는 않는지까지 살펴본다.

왜 Identity Security는 더 중요해지고 있을까?

1. 공격자는 정상 계정을 선호한다

정상 계정은 공격자에게 매우 매력적인 침투 경로다. 악성코드를 설치하거나 취약점을 이용하지 않아도, 탈취한 계정 하나만으로 내부 시스템에 접근할 수 있기 때문이다.

특히 비밀번호가 약하거나 재사용되고, MFA가 적용되어 있지 않다면 공격자는 password spray, credential stuffing, phishing, infostealer 등을 통해 계정을 노릴 수 있다. 일단 로그인에 성공하면 이후 활동은 정상 사용자 행위처럼 보일 수 있다.

이 점이 Identity 기반 공격의 가장 큰 위험이다. 시스템을 강제로 뚫고 들어오는 공격보다, 정상 권한을 이용하는 공격이 더 조용하고 탐지하기 어렵다.

2. 클라우드와 SaaS 환경에서는 Identity가 새로운 경계선이 된다

과거에는 회사 내부망과 외부망의 경계가 중요했다. 하지만 지금은 업무 환경이 클라우드와 SaaS로 확장되었다. Microsoft 365, Google Workspace, AWS, GitHub, Slack, Notion 같은 서비스는 회사 네트워크 밖에서도 접근할 수 있다.

이 환경에서는 회사 내부망에 대한 침투보다 계정과 그 계정에 부여된 권한이 더 중요해진다. 계정 하나가 이메일, 문서, 코드 저장소, 클라우드 리소스, 고객 데이터까지 연결할 수 있기 때문이다.

따라서 클라우드 시대의 보안 경계는 네트워크 장비 하나로 설명하기 어렵다. 실제 접근을 결정하는 중심에는 Identity가 있다.

3. Non-Human Identity가 빠르게 늘고 있다

Identity Security가 더 중요해진 또 다른 이유는 사람이 아닌 Identity가 급격히 늘고 있기 때문이다.

서비스 간 연동에는 API key가 쓰이고, 자동화 작업에는 service account가 쓰인다. CI/CD 파이프라인은 배포를 위해 클라우드 권한을 사용하고, 애플리케이션은 데이터베이스 접근을 위해 secret이나 token을 가진다.

문제는 이러한 비인간 Identity가 눈에 잘 띄지 않는다는 점이다. 오래된 API key가 회수되지 않거나, 사용하지 않는 service account가 남아 있거나, 만료되지 않는 long-lived secret이 방치될 수 있다. OWASP의 Non-Human Identities Top 10도 과도한 권한, 장기 사용 secret, 부적절한 폐기 등을 주요 위험으로 제시한다.

사람 계정만 관리하는 방식으로는 이제 충분하지 않다. 기업은 사람뿐 아니라 애플리케이션, 자동화 도구, 클라우드 워크로드가 사용하는 Identity까지 함께 관리해야 한다.

4. AI와 자동화는 권한 관리를 더 복잡하게 만든다

AI 도구와 agent가 업무에 들어오면서 Identity Security의 중요성은 더 커지고 있다. AI가 문서를 읽고, 메일을 작성하고, 코드를 분석하고, 외부 도구를 호출하려면 결국 어떤 형태로든 접근 권한이 필요하다.

문제는 AI가 어떤 권한으로 어떤 데이터에 접근했는지 명확히 관리되지 않을 때 발생한다. 권한이 과도하게 부여되거나, 사용 범위가 통제되지 않으면 AI는 편리한 업무 도구를 넘어 새로운 보안 위험이 될 수 있다.

IBM의 Cost of a Data Breach Report도 AI 도입 속도에 비해 보안과 거버넌스가 뒤처지는 문제를 지적한다. 특히 AI 관련 보안 사고에서 적절한 access control이 부족했던 사례가 매우 높은 비중을 차지했다.

AI가 업무를 자동화할수록 권한도 함께 자동화된다. 따라서 앞으로의 Identity Security는 사람, 시스템, SaaS, 클라우드, AI agent의 접근을 함께 통제하는 방향으로 확장될 수밖에 없다.

어떻게 대응할 수 있을까?

대응의 핵심은 복잡하지 않다. 모든 접근을 한 번 더 확인하고, 필요한 권한만 주며, 오래된 권한은 빠르게 정리하는 것이다.

첫째, 비밀번호 중심 보안에서 벗어나야 한다. MFA를 기본으로 적용하고, 가능한 경우 passkey나 phishing-resistant authentication을 도입해야 한다. NIST도 높은 인증 보증 수준에서 phishing-resistant 인증의 중요성을 강조한다.

둘째, 최소 권한 원칙을 적용해야 한다. 모든 계정에 필요한 만큼의 권한만 부여하고, 관리자 권한은 상시 부여하지 않는 것이 좋다. 고위험 권한은 승인, 기록, 만료 조건을 함께 두는 방식이 필요하다.

셋째, 사용하지 않는 계정과 권한을 정리해야 한다. 퇴사자 계정, 오래된 service account, 만료되지 않는 API key, 방치된 token은 모두 공격 표면이 될 수 있다.

넷째, 로그인 이후의 행위도 관찰해야 한다. 평소와 다른 위치에서의 로그인, 갑작스러운 권한 상승, 대량 다운로드, 낯선 SaaS 앱 연동 같은 신호는 Identity 기반 공격의 단서가 될 수 있다.

결국 Identity Security는 특정 솔루션 하나로 끝나는 문제가 아니다. 인증, 권한, 계정 수명주기, 이상행위 탐지, 비인간 Identity 관리가 함께 맞물려야 한다.

결론

Identity Security가 중요해진 이유는 단순히 계정 탈취가 많아졌기 때문만은 아니다. 클라우드, SaaS, 자동화, AI가 확산되면서 Identity 자체가 기업 시스템을 움직이는 핵심 권한 단위가 되었기 때문이다.

공격자는 이제 항상 악성코드를 통해 권한을 얻어 침투하지 않는다. 때로는 정상 계정으로 로그인하고, 허용된 권한을 이용하며, 신뢰된 경로를 따라 이동한다. 그래서 앞으로의 보안은 “침입을 막는 것”만으로는 충분하지 않다.

이제는 누가 접근하는지, 어떤 권한을 가지고 있는지, 그 접근이 정상적인 맥락인지, 그리고 그 권한이 여전히 필요한지를 계속 확인해야 한다.

Identity Security는 로그인 보안을 넘어선다. 사람, 관리자, 서비스 계정, API key, token, AI agent까지 포함하는 새로운 보안의 중심축이다. 보안의 경계가 흐려질수록, Identity를 제대로 관리하는 능력이 기업 보안의 핵심 경쟁력이 될 것이다.

[참고자료]

💌 26년 05월호의 퀴즈 정답 💌

퀴즈 이벤트는 홀수달마다 진행됩니다! 많은 참여 부탁드려요😍😍

1. 2023년 발생한 삼성전자의 기밀 유출 사건 이후 국내 주요 기업들이 생성형 AI 사용 정책을 강화하게 되었습니다. 다음 중 '우리 뉴스레터에서 소개된' 당시 임직원들의 ChatGPT 오용 사례(기밀 유출 행위)가 아닌 것은 무엇인가요? - 4월호

2. 2023년 3월 OpenAI가 발표한 ChatGPT 개인정보 유출 사고의 기술적 원인이 되었던 오픈소스 기반 캐시 솔루션의 이름은 무엇인가요? - 4월호

3. Stanford HAI가 발간한 'Artificial Intelligence Index Report 2026'에 서술된 내용 중, 첨단 AI 칩 제조 생태계가 사실상 전 세계에서 유일하게 집중되어 있어 글로벌 AI 체계의 구조적 취약점(병목 지점)으로 지목된 기업은 어디인가요? - 4월호

4. 정보보안 분야에서 글로벌 스탠다드로 널리 활용되는 국제 표준인 'ISO/IEC 27001'의 모태가 된 영국의 국가 표준 규격 번호는 무엇인가요? - 5월호

5. 최근 주요 운영체제, 웹브라우저 등에서 수천 개의 zero-day 취약점을 식별해 내며 방어자와 공격자 모두에게 큰 논란과 화두를 던진 Anthropic의 최신 AI 모델 Preview 명칭은 무엇인가요?

6. 다음 중 뉴스레터 본문에서 설명한 'AI가 사이버 보안 및 공격 영역에 미치는 영향'과 가장 거리가 먼 것은 무엇인가요?

📢 이번 호 퀴즈 이벤트 종료 및 신규 '친구 초대 누적 레이스' 예고

안녕하세요, BoB 뉴스레터 구독자 여러분!

매달 뜨거운 성원을 보내주셨던 ‘BoB 뉴스레터 퀴즈 이벤트’가 예산상의 이유로 이번 호(6월호)를 마지막으로 잠정 중단하게 되었습니다. 그동안 퀴즈에 적극적으로 참여하며 반짝이는 보안 지식을 나눠주신 모든 분께 진심으로 감사드립니다.

하지만 아쉬워하긴 이릅니다! 더욱 묵직한 혜택을 담은 장기 프로젝트가 찾아옵니다! 💎

퀴즈 이벤트의 아쉬움을 달래기 위해, 다음 달(7월호)부터는 [BoB 뉴스레터 친구 초대 누적 레이스]를 새롭게 시작합니다.

주변에 보안 트렌드를 함께 나누고 싶은 분들이 있다면, 이번 6월호 링크를 활용해 지금부터 미리미리 나만의 초대 포인트를 빌드업해 두세요! 😉

E D I T O R

🚨 BoB 가족들의 소중한 소식을 기다리고 있습니다. 🚨

함께 공유하고 싶은 소식, 수상 내역, 행사기타 소소한 일상까지 구독자분들의 공유를 기다립니다.

- 함께 만들어가는 BoB 뉴스레터 -  

bobnews@bobnews.kr

Best of the Best 뉴스레터팀 7기

(13449) 경기도 성남시 수정구 대왕판교로 815(시흥동 321) 기업지원허브 혁신기술존 4층

대표번호: 02-405-6512~5 | Fax: 02-565-6052