CEO의 걱정이 랜섬웨어에서 사기·피싱으로 옮겨간 이유
2026년 10월 현재 사이버보안의 무게중심은 기업 전산실 안쪽에서 일반인의 메신저, 이메일, 업무 협업도구, 클라우드 계정으로 이동했다. 세계경제포럼(WEF)의 'Global Cybersecurity Outlook 2026'에서 응답자의 94%가 인공지능(AI)을 올해 사이버보안 변화를 이끄는 핵심 요인으로 꼽았다는 점은 이 변화를 압축한다. 같은 보고서에서 2025년 가장 빠르게 커진 위험으로 AI 취약성을 지목한 비율은 87%였다.
이는 보안 이슈가 더 이상 서버실과 보안 솔루션 예산만의 문제가 아니라, 은행 알림 문자와 회사 결재 메일, 가족 사진을 보관한 클라우드 계정의 문제로 번졌다는 뜻이다. 핵심은 공격자가 더 정교한 코드를 쓰기 시작했다는 사실이 아니라, 공격의 단가와 시간이 급격히 낮아졌다는 데 있다.
WEF 보고서에 따르면 일부 공격자는 AI를 활용해 첫 접촉 이후 5분 이내에 악성코드를 배포했다. 5분은 직장인이 회의 초대 메일을 확인하고 첨부파일을 열어보기에 충분한 시간이며, 소비자가 택배 안내 메시지의 링크를 눌러볼 수 있는 시간이다.
본지 편집부 판단으로는, AI가 만든 문장과 음성·이미지가 결합할수록 이용자가 사기를 알아차리는 기준은 '맞춤법이 어색한가'에서 '내가 요청한 일인지 확인했는가'로 바뀔 수밖에 없다. Programs.com, Allendevaux & Company, shattered.io, Telecom Review Leaders' Summit, Palo Alto Networks 자료를 종합하면 2026년 보안 환경의 특징은 세 갈래다.
첫째, 인공지능(AI)이 공격 속도와 규모를 키웠다. 둘째, 악성코드(malware)를 심는 방식보다 계정과 권한을 빌려 들어오는 방식이 늘었다. 셋째, 양자 컴퓨팅(quantum computing)이 현재의 암호 체계를 미래의 취약점으로 만들 가능성이 제기됐다.
광고
원본 자료에 구체 발행일이 모두 제시되지는 않았으므로, 이 기사에서는 각 수치를 2026년 기준 원자료 인용으로 한정해 해석한다. CEO의 걱정이 바뀐 대목은 일반 독자에게도 중요하다. WEF 'Global Cybersecurity Outlook 2026'에 따르면 최고경영자(CEO)의 최대 사이버보안 우려는 2025년 랜섬웨어(ransomware)에서 2026년 사이버 기반 사기와 피싱(phishing)으로 이동했으며, AI 취약성이 두 번째 우려 사항으로 부상했다.
랜섬웨어는 기업 서버를 잠그고 몸값을 요구하는 식으로 피해가 비교적 눈에 띄었다. 반면 사기와 피싱은 피해자가 결재 승인, 계좌 이체, 비밀번호 입력, 전자서명 같은 정상 행동을 하도록 유도한다.
회사 입장에서는 해킹당했다기보다 스스로 문을 열어준 모양새가 되기 때문에 책임 규명과 보상 절차가 더 복잡해진다. 이 변화는 출근길 스마트폰 화면에서 시작된다.
회사 임원을 사칭한 메시지, 거래처 청구서처럼 보이는 이메일, 내부 협업도구에 올라온 링크는 모두 일상적 업무 흐름을 흉내 낸다. 인공지능(AI)은 이런 공격을 더 자연스럽게 만든다.
과거 피싱 메일은 문장 오류와 어색한 번역투가 단서였지만, 생성형 인공지능(generative AI)은 수신자의 직무와 조직 문화를 반영한 문장을 만들 수 있다. 이용자 교육만으로 막기 어려운 이유가 여기에 있다.
악성코드 없는 공격과 비인간 정체성이 바꾸는 보안 기준
더 큰 문제는 공격이 악성코드 없이 이뤄지는 비율이다. Palo Alto Networks를 포함한 복수 보안기관 자료는 2025년 탐지된 공격의 82%가 악성코드 없는 형태였다고 제시했다. 이는 백신 프로그램이 파일을 검사해 잡아내는 방식만으로는 충분하지 않다는 의미다.
광고
공격자가 합법적 원격관리 도구, 탈취한 자격 증명(credentials), AI 생성 콘텐츠를 활용하면 시스템 입장에서는 정상 사용자와 공격자를 구분하기 어렵다. 보안의 기준이 '나쁜 파일 차단'에서 '이 행동이 평소와 다른가'로 옮겨가는 배경이 바로 이것이다.
비인간 정체성(NHI·Non-Human Identity)의 급증도 가볍게 볼 사안이 아니다. Palo Alto Networks의 2026년 보고서는 비인간 정체성이 인간 정체성보다 109대 1 수준으로 많아졌다고 밝혔다.
여기서 비인간 정체성은 애플리케이션 프로그래밍 인터페이스(API), 자동화 스크립트, 서비스 계정, 인공지능 에이전트(AI agent)처럼 사람이 직접 로그인하지 않아도 권한을 갖는 주체를 뜻한다. 기업이 업무 자동화를 늘릴수록 이런 계정은 증가한다. 문제는 관리되지 않은 자동화 계정 하나가 사람 직원 수십 명보다 넓은 시스템 권한을 가질 수 있다는 점이다.
일반 독자에게 이 숫자는 다소 멀게 느껴질 수 있다. 그러나 모바일뱅킹 앱이 다른 인증 서비스와 연결되고, 쇼핑몰 계정이 간편결제와 묶이며, 회사의 문서도구가 외부 일정 앱과 연동되는 순간 비인간 정체성은 생활 속 인프라가 된다.
한 번 권한을 받은 앱은 이용자가 잊은 뒤에도 접근 권한을 유지할 수 있다. 본지 편집부 판단으로는, 향후 소비자 보호 정책이 개인정보 수집 동의 화면을 넘어 '외부 앱 권한의 만료와 회수를 얼마나 쉽게 만들 것인지'로 확장될 가능성이 크다. 실제로 앱 권한 관리의 자동 만료 제도는 유럽연합(EU) 디지털시장법(DMA) 논의에서 이미 쟁점으로 올라와 있다.
양자 컴퓨팅 위협은 당장 내일 은행 암호가 깨진다는 의미는 아니다. 원천 자료들은 일부 위협 행위자가 미래에 양자 컴퓨터로 암호를 해독할 수 있다는 기대 아래 데이터를 모으는 장기 전략을 취한다고 설명했다.
광고
보안업계에서는 이를 '지금 수집해 나중에 해독(harvest now, decrypt later)'하는 방식으로 부른다. 의료기록, 주민등록 관련 정보, 장기 계약 문서처럼 시간이 지나도 가치가 남는 데이터는 지금 유출돼도 몇 년 뒤 더 큰 피해로 돌아올 수 있다. 그래서 양자 내성 암호화(quantum-safe encryption)는 연구소의 먼 이야기가 아니라 공공기관, 금융회사, 병원, 통신사의 중장기 투자 과제가 됐다.
정책 측면에서 우선순위도 달라져야 한다. WEF 및 Palo Alto Networks 등 전문가 집단은 원천 자료에서 제로 트러스트(Zero Trust), AI 기반 행동 분석, 양자 내성 암호화 전환을 대응책으로 제시했다.
제로 트러스트는 사내망에 들어온 사용자라고 해서 자동으로 믿지 않고, 접속할 때마다 신원과 기기 상태, 행동 패턴을 다시 확인하는 접근법이다. AI 기반 행동 분석은 평소 로그인 시간, 접속 지역, 파일 접근 방식과 다른 움직임을 탐지한다.
양자 내성 암호화는 장기 보관 데이터와 핵심 인프라를 중심으로 먼저 적용 범위를 정해야 한다.
제로 트러스트와 양자 내성 암호화가 생활 인프라 과제가 됐다
한국 기업과 기관이 이 흐름을 생활 정책으로 번역하려면 세 가지 조정이 필요하다. 첫째, 보안 교육은 '수상한 링크를 누르지 말라'는 문구에서 벗어나 결재 승인, 계좌 변경, 비밀번호 재설정 같은 위험 업무를 별도 확인 절차로 묶어야 한다. 둘째, 회사는 인간 계정만 관리하는 인사 중심 보안에서 API 키와 서비스 계정까지 추적하는 자산 중심 보안으로 옮겨야 한다.
셋째, 공공 부문은 양자 내성 암호화 전환 로드맵을 조달 기준과 인증 체계에 반영해야 한다.
광고
기술 이름보다 중요한 것은 권한을 줄이고, 확인 절차를 자동화하며, 오래 보관할 데이터를 먼저 보호하는 순서다. 물론 비용 부담을 이유로 속도 조절을 주장할 수 있다. 중소기업 입장에서는 제로 트러스트와 행동 분석 시스템, 암호체계 전환이 한꺼번에 밀려오면 예산과 인력 모두 버겁다.
이 지적은 현실적이다. 그러나 2025년 탐지 공격의 82%가 악성코드 없는 형태였다는 수치는 기존 보안 장비만으로 버티는 선택의 비용도 커졌음을 보여준다. 본지 편집부 판단으로는, 모든 기업이 같은 수준의 투자를 즉시 집행하기보다 고객정보와 결제권한, 외부 연동 계정부터 먼저 분리·감사하는 단계형 전환이 더 현실적이다.
개인 이용자에게도 대응 원칙은 분명하다. 비밀번호를 자주 바꾸는 것보다 다중 인증(MFA)을 켜고, 오래 쓰지 않는 앱 연동 권한을 끊고, 계좌 변경이나 상품권 구매 요청을 별도 채널로 확인하는 습관이 더 효과적이다.
가족이나 직장 동료의 말투를 흉내 낸 메시지가 늘어날수록 '아는 사람에게서 왔다'는 사실은 안전의 근거가 되지 못한다. 기업 보안이 생활 보안과 분리되던 시대는 끝났다. AI 피싱과 비인간 정체성, 양자 위협은 한국 사회가 보안을 비용 항목이 아니라 신뢰 인프라로 볼 것인지 묻고 있다.
※ 이 기사는 세계경제포럼(WEF)의 'Global Cybersecurity Outlook 2026', Palo Alto Networks 2026년 보고서, 그리고 Programs.com, Allendevaux & Company, shattered.io, Telecom Review Leaders' Summit의 관련 자료를 참조하여 작성했다. 원자료 일부의 구체적 발행일과 개별 작성자 정보는 확인되지 않았다.
FAQ
Q. 일반 이용자는 AI 피싱을 어떻게 구별해야 하나
A. AI 피싱은 맞춤법 오류나 어색한 표현만으로 구별하기 어렵다. 생성형 AI는 수신자의 직무와 조직 문화를 반영한 자연스러운 문장을 만들 수 있어, 링크 클릭 전 발신 주소·요청 내용·금전 또는 권한 변경 여부를 별도로 확인하는 습관이 필수다. 계좌 변경, 인증번호 전달, 비밀번호 재설정 요청은 메신저가 아니라 전화나 사내 공식 채널로 재확인해야 한다. 다중 인증(MFA)을 설정하고 오래된 앱 연동 권한을 정리하면 계정 탈취 이후 피해 범위를 줄일 수 있다.
Q. 기업은 제로 트러스트를 어디서부터 적용해야 하나
A. 모든 시스템을 한 번에 바꾸는 방식은 비용과 운영 부담이 크다. 고객정보, 결제 승인, 관리자 권한, 외부 접속 계정처럼 피해 규모가 큰 영역부터 접속 조건을 강화하는 것이 현실적인 출발점이다. 비인간 정체성(NHI)도 같은 기준으로 관리해야 하며, API 키와 서비스 계정의 소유자·권한·만료일을 기록해야 한다. 이후 행동 분석 도구를 연결해 평소와 다른 접속 시간·위치·대량 다운로드 같은 신호를 탐지하는 순서가 단계적 전환에 적합하다.
Q. 양자 내성 암호화는 지금 준비해야 하나
A. 양자 컴퓨터가 현재 모든 암호를 즉시 무력화한다는 공식 확인은 없다. 다만 '지금 수집해 나중에 해독(harvest now, decrypt later)' 전략을 구사하는 위협 행위자가 존재하기 때문에, 장기간 가치가 유지되는 의료정보·개인정보·금융기록은 지금 유출돼도 미래에 더 큰 피해로 돌아올 수 있다. 공공기관과 금융·의료·통신 기업은 보관 데이터를 먼저 분류하고 핵심 시스템부터 양자 내성 암호화 전환 계획을 세워야 한다. 일반 기업도 신규 시스템 도입 시 향후 암호 전환 비용을 계약 조건과 기술 요건에 반영하는 편이 안전하다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}