금융권 해킹 확산 속 민간 취약점 523건 확인…AI 점검 예산은 '0원'

• 2026-10-06
• 경제
• 편집국

정부가 올해 6월부터 9월 말까지 민간 주요정보통신기반시설과 상용 소프트웨어(SW), 오픈소스를 점검한 결과 취약점이 총 523건 확인된 것으로 나타났다. 최근 금융권 해킹 사고에서 인공지능(AI) 해킹 도구가 활용된 정황이 포착되는 등 AI 기반 사이버 위협이 커지는 가운데 나온 결과다.

민간 기반시설·SW·오픈소스서 523건

6일 국회 과학기술정보방송통신위원회 소속 이주희 더불어민주당 의원실이 과학기술정보통신부로부터 제출받은 자료에 따르면, 민간 주요정보통신기반시설 16개사(대기업 6곳, 중견기업 3곳, 중소기업 2곳, 비영리단체 5곳)를 점검한 결과 취약점 304개가 발견됐다. 상용SW는 5개사(중견기업 1곳, 중소기업 4곳)에서 135개, 오픈소스는 144종에서 84개의 취약점이 각각 확인됐다. 오픈소스의 경우 개인 또는 공동 개발하는 경우가 많아 점검 대상(개발 주체)을 특정하지 않았다.

금융권 침해 사고와 맞물려

이번 점검 결과는 최근 금융권을 강타한 해킹 사고와 맞물려 주목된다. 최근 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해 사고에서 동일한 공격자의 인터넷주소(IP)가 여러 곳에서 발견됐다. 공격자는 IP를 바꿔가며 다수 금융사를 대상으로 대량의 자동화된 공격을 한 것으로 파악됐다.

은행을 공격한 IP에서는 중국어를 중심으로 깃허브(GitHub)에 오픈소스로 공개된 대규모언어모델(LLM) 기반 자율형 침투테스트 시스템인 'ARTEX AI'의 흔적이 확인돼 경찰청이 조사 중이다. 민간 기업은 그러나 폐쇄망 기반 보안 체계를 갖춘 금융권보다 오히려 보안이 취약한 경우가 많아, 금융권을 넘어 산업·기업 전반으로 AI 보안 우려가 확산하는 양상이다.

AI 취약점 점검 예산 '0원'

하지만 정작 AI를 활용한 민간 취약점 점검 사업에는 별도 예산이 편성되지 않은 것으로 나타났다. 앞서 과기정통부는 지난 5월 과학기술관계장관회의에 보고한 '민간 정보보호 추진계획(안)'에서 AI 취약점 공개에 대응하기 위한 민관합동 대응체계를 마련하고, 한국인터넷진흥원(KISA) 내 취약점관리센터를 중심으로 취약점·패치 관리를 일원화하고 긴급대응체계를 갖추겠다고 밝힌 바 있다.

당시 계획안은 해당 센터를 1개 단 40명 규모로 구성하되 "기존 인력을 우선 활용"하는 방식으로 꾸리겠다고 명시했다. 그러나 실제로는 프론티어 AI를 활용한 취약점 점검이 별도 예산 없이 추진되고 있으며, 과기정통부는 내년도 예산을 요청했으나 정부안에 반영되지 않은 상황이라고 밝혔다.

이 같은 취약점 점검은 오픈AI의 'GTAC' 프로그램에 참여해 고성능 보안 AI 모델인 'GPT-5.5 Cyber'를 무상으로 지원받고 있어 가능한 형편이다. 정부가 내세운 취약점·패치 관리 일원화 체계가 자체 예산 없이 해외 빅테크의 무상 프로그램에 의존해 운영되고 있는 셈이다.

자동화 공격 대응 위한 예산 확보 과제

전문가들은 AI를 활용한 공격이 갈수록 대량화·자동화하는 만큼 민관 대응체계의 안정적 운영을 위한 예산 확보가 필요하다고 지적한다. 무상 지원 프로그램이 중단되거나 지원 조건이 바뀔 경우 점검 공백이 발생할 수 있다는 우려도 나온다.

이번 점검에서 드러난 523건의 취약점 가운데 상당수가 중소기업과 비영리단체 등 보안 인력과 자원이 부족한 곳에 집중된 점도 향후 대응 과제로 꼽힌다. 금융권을 겨냥한 자동화 공격이 다른 산업군으로 번질 가능성이 제기되는 가운데, 정부가 자체 예산과 인력으로 상시 점검 체계를 구축할 수 있을지가 관건이 될 전망이다.