일본이 잇따른 사이버 공격을 사실상 사이버 공간의 비상 상황으로 다루고 있습니다. 일본 경찰청 자료로는 랜섬웨어(데이터를 잠그거나 빼낸 뒤 돈을 요구하는 악성 프로그램) 피해를 본 일본 국내 조직이 적어도 53곳이고, 한 대형 철도 회사에서는 600만 건이 넘는 고객 기록이 유출됐을 수 있습니다. 렌터카 업체에서 빠져나간 운전면허증 이미지 때문에 금융 당국이 은행의 본인 확인 방식까지 손보라고 권고했습니다. 이웃한 한국에서도 은행과 교회를 노린 공격이 이어졌고, 보안 기업 CrowdStrike는 그 배후로 Anthropic의 Claude Code를 활용한 AI agent(목표를 주면 스스로 단계를 나눠 작업을 이어 가는 AI 프로그램)를 지목했습니다. 어제까지 충분했던 방어가 오늘은 통하지 않을 수 있다는 경고로 읽힙니다.
병원부터 철도까지, 드러난 피해는 일부
교도통신은 일본 경찰청 자료를 인용해 최근 랜섬웨어 공격을 받은 일본 국내 조직이 최소 53곳이라고 전했습니다. 피해는 특정 업종에 머물지 않습니다. 제조업체와 건설 회사는 물론 학교 같은 교육 기관과 병원처럼 사회에 꼭 필요한 서비스까지 공격을 받았습니다.
이번 공격으로 피해가 알려진 주요 기업은 다음과 같습니다.
| 기업 | 업종 | 알려진 피해 |
|---|---|---|
| Bookoff Group | 중고품 판매 | 시스템 침입 사실을 직접 공개 |
| East Japan Railway Company | 철도 | 침입을 인정, 고객 기록 600만 건 이상 유출 가능성 |
| Times Car | 렌터카 | 해킹으로 보관하던 고객 운전면허증 이미지 대량 유출 |
다만 이것이 전부는 아닙니다. 당국은 수사가 이어지고 있다는 이유로 피해 조직의 전체 명단을 밝히지 않고 있습니다. 53곳 가운데 이름이 드러난 곳은 아직 일부에 그칩니다.
렌터카 업체의 면허증 유출이 은행 창구까지
눈여겨볼 대목은 한 회사의 유출이 다른 업계로 번진 과정입니다. 렌터카 브랜드 Times Car가 해킹당하면서 고객 운전면허증 이미지가 대량으로 빠져나갔고, 그 뒤 여파가 금융권에 닿았습니다. 일본 금융청은 은행들에 새 계좌를 열 때 운전면허증 하나로만 본인 확인을 하지 말라고 권고했습니다. 대규모 유출이 일어난 뒤에는 면허증 외에 다른 확인 수단을 함께 써야 한다는 것입니다.
같은 면허증 이미지가 대량으로 바깥에 돌면 면허증 한 장만 보고는 본인인지 믿기 어렵다는 판단으로 보입니다. 신분증 사본을 받아 보관하는 서비스가 뚫리면 피해가 그 회사에서 끝나지 않고 다른 업계의 본인 확인 체계까지 흔들 수 있다는 점을 보여 주는 사례입니다.
▲ 신분증 유출과 본인 확인
일본 정부가 사이버 위기를 인정하기까지
언론도 일본의 상황을 심각하게 전하고 있습니다. Gizmodo는 일본이 ’사이버 보안 지옥’에 들어섰다고 세계에 경고했다는 제목을 달았고, Financial Times는 일본이 여러 산업에 걸쳐 조직적인 사이버 공격에 시달리고 있다고 보도했습니다. 일본 금융 당국은 금융 기관의 업무에 치명적인 차질이 생기지 않도록 보호할 방안을 서둘러 검토하고 있습니다.
피해가 이렇게 커지자 일본 정부 관계자들은 사이버 위기를 공식적으로 인정했습니다. 일본 집권 자민당은 정부의 사이버 보안 담당 기관과 긴급회의를 열어, 전례 없이 늘어난 공격에 맞설 방어 전략을 논의했습니다.
AI가 사이버 공간 전체를 무너뜨리는 대재앙이 현실이 된 것은 아닙니다. 그래도 공격이 한 나라를 뒤흔드는 재난 수준에 위험할 만큼 가까워지고 있다는 신호로 볼 수 있습니다.
낡은 IT 시스템과 부족한 투자, 일본이 취약한 이유
일본이 공격에 특히 취약한 까닭은 구조에 있다는 분석이 나옵니다. 한 사이버 보안 전문 매체는 일본의 국가 차원 사이버 대응력에 구조적인 결함이 있다고 짚었습니다.
- 오래된 IT 시스템에 대한 의존: 낡은 IT 시스템을 널리 쓰고 있다는 점이 취약성을 키운 가장 큰 원인으로 꼽힙니다.
- 기본 방어에 대한 투자 부족: 사이버 보안의 기초를 다지는 투자가 오랫동안 모자랐습니다.
- 노출된 핵심 기반 시설: 그 결과 주요 기반 시설이 공격에 드러난 채로 남았습니다.
한국 공격에 쓰였다는 AI agent, 낮아진 해킹 문턱
일본만 공격받는 것은 아닙니다. 이웃한 한국도 비슷한 공격에 시달리고 있습니다. Reuters는 한국의 여러 금융 기관과 종교 단체가 조직적인 공격을 받았다고 보도했습니다. 은행과 교회가 잇따라 표적이 된 것입니다.
CrowdStrike는 이 공격들의 배후로 중국에서 개발된 AI agent를 지목했습니다. CrowdStrike의 분석에 따르면 이 agent는 Anthropic의 Claude Code를 활용했습니다.
▲ AI agent가 낮춘 공격 문턱
이 사례가 무거운 이유는 생성형 AI가 공격에 필요한 기술의 문턱을 크게 낮추기 때문입니다. 공격자는 AI에 일을 맡겨 공격을 자동화하고 효율적으로 규모를 키울 수 있습니다. 필요한 기술 수준이 내려갈수록 공격과 방어의 균형은 공격자 쪽으로 기울 수밖에 없어 보입니다.
일본의 랜섬웨어 피해 53곳이 AI agent의 공격이라는 직접 증거는 아직 나오지 않았습니다. 다만 그럴 가능성은 매우 높아 보이며, 사실로 드러나더라도 놀랄 일은 아닐 것입니다.
어제의 보안 기준부터 다시 점검할 때
일본의 사례는 낡은 IT 기반과 부족한 보안 투자를 안은 조직이 대규모 랜섬웨어와 신분증 유출 앞에서 얼마나 취약한지 드러냅니다. 한국 공격에 AI agent가 쓰였다는 분석까지 나온 만큼, 악의적인 자동화는 이미 현실의 위협으로 봐야 합니다. 자동화되고 AI로 강화된 공격이 앞으로 사이버 위협의 분명한 방향으로 보이고, 어제까지 충분하다고 여긴 방어 설정과 절차는 지금의 자동화된 공격 도구 앞에서 이미 모자랄 수 있습니다.
지금 할 일은 다음과 같습니다.
- 인터넷에 노출된 시스템부터 점검하기: 외부에서 접근할 수 있는 서버와 장비, 네트워크 경계를 미루지 말고 지금 평가하고 감사해 보안을 강화합니다.
- 낡은 IT 기반 교체와 보안 예산 확대: 오래된 IT 시스템을 새것으로 바꾸고, 최신 사이버 방어에 쓰는 예산을 늘립니다.
- 신분증 한 장에 기대지 않는 본인 확인: 금융 기관처럼 새 고객의 신원을 확인하는 곳은 대규모 유출이 일어난 뒤 운전면허증 외의 다른 확인 수단을 함께 씁니다.
한국도 이미 비슷한 공격을 겪은 만큼, 일본의 일을 남의 일로 보기는 어려워 보입니다.