[국내보안뉴스] '이상 없음' 보고서의 함정… 금융권 해킹 사고가 보여준 보안 사각지대

최근 금융권을 겨냥한 연쇄 해킹 사고 이후, 많은 기업이 예산을 증액하고 AI 기반 모의해킹 등 취약점 점검을 대폭 강화하고 있습니다. 하지만 수십 회에 걸친 모의해킹을 수행하고 결과 보고서에 '이상 없음'이라고 명시되었던 기업조차 침해 사고를 피하지 못했습니다. 이는 표면적인 웹사이트와 정형화된 서버만을 대상으로 하는 기존 보안 점검 방식의 한계를 여실히 드러냅니다.

공격자들은 기업이 인지하고 있는 주요 웹페이지를 정면으로 노리기보다, 보안 관리 체계에서 누락된 '섀도 IT(Shadow IT)' 자산이나 백엔드에서 고객 데이터를 주고받는 API 엔드포인트를 적극적으로 탐색합니다. 자산 목록에서 빠진 서비스와 검증되지 않은 API는 아무리 고도화된 AI 모의해킹을 반복하더라도 점검 대상 자체에서 제외되므로, 기업 전체 시스템을 위협하는 치명적인 접점이 될 수 있습니다.

따라서 진정한 대응을 위해서는 단순히 점검 횟수를 늘리거나 최신 기술을 도입하는 것에 그쳐서는 안 됩니다. 우선 기업 내·외부에 노출된 모든 디지털 자산과 API를 실시간으로 자동 식별하는 식별 체계를 갖추어야 합니다. 더불어 알려진 표면 외에도 데이터 흐름 전반에 걸친 종합적인 위협 진단을 정례화함으로써 보안 사각지대를 최소화하는 실질적인 체질 개선이 시급합니다.