취약점 공격 31%, 비밀번호 도난을 앞질렀다
2026년 10월 현재 데이터 유출(Data Breach)은 대기업 서버실 안에서만 벌어지는 사고가 아니다. 버라이즌(Verizon)의 2026년 데이터 유출 조사 보고서(Data Breach Investigations Report·DBIR)는 3만1000건 이상의 보안 사고와 2만2000건 이상의 확인된 침해 사례를 분석한 결과, 소프트웨어 취약점 악용이 침해 시작점의 31%를 차지했다고 밝혔다. 도난당한 자격 증명은 13%에 그쳤다.
회사원이 외부 AI 도구에 업무 문서를 붙여 넣고, 가정의 공유기가 오래된 소프트웨어(Software)를 그대로 쓰며, 병원·쇼핑몰·교육 서비스 계정이 하나의 비밀번호로 묶이는 순간 일상 전체가 공격 표면이 된다. 비밀번호 관리라는 오래된 처방만으로는 이 현실에 대응하기에 이미 부족하다. 이 변화는 보안 부서의 업무 방식만 바꾸지 않는다.
개인 이용자에게는 앱 업데이트를 미루는 습관, 기업에는 승인되지 않은 AI 사용을 방치하는 문화, 정부에는 디지털 서비스 안전 기준을 다시 짜야 하는 과제가 된다. 버라이즌 2026년 DBIR이 제시한 31%라는 수치는 보안의 무게중심이 계정 관리에서 시스템 관리로 이동했다는 신호다.
그동안 보안 교육의 중심은 피싱 메일을 의심하고 비밀번호를 자주 바꾸라는 메시지였다. 여전히 필요한 조치다.
다만 보고서의 숫자는 공격자의 우선순위가 달라졌음을 보여준다. 취약점 하나가 공개되면 공격자는 자동화 도구와 AI를 이용해 노출된 시스템을 빠르게 훑고, 방어자는 패치 적용과 영향 분석을 동시에 처리해야 한다.
대응 시간이 짧아질수록 자동 업데이트와 자산 목록 관리는 선택 항목이 아니라 생활 인프라가 된다. 개인에게 이 변화는 스마트폰과 노트북의 작은 알림으로 먼저 다가온다.
운영체제 업데이트를 하루 미루는 일이 과거에는 불편함의 문제였지만, 지금은 알려진 취약점을 방치하는 행위가 될 수 있다.
광고
기업에서는 더 복잡하다. 고객 정보, 결제 기록, 소스 코드, 내부 기술 문서가 여러 클라우드(Cloud)와 협업 도구에 흩어져 있어 패치 대상과 데이터 위치를 제대로 파악하지 못하면 사고 대응이 늦어진다.
쉐도우 AI(Shadow AI)는 이 구도를 더 까다롭게 만든다. 쉐도우 AI는 조직이 승인하지 않은 AI 도구를 직원이 업무에 사용하는 상황을 뜻한다. IBM의 2025년 데이터 유출 비용(Cost of a Data Breach·CODB) 보고서에 따르면 조직의 63%는 AI를 관리하거나 쉐도우 AI를 막기 위한 거버넌스 정책을 갖추지 못했다.
같은 보고서는 쉐도우 AI 관련 침해 비용이 평균 463만 달러에 이르렀고, 다른 침해보다 약 19만 달러 더 큰 손실을 낳았다고 밝혔다. 비용 차이는 단순한 벌금 문제가 아니다.
유출 데이터의 범위가 넓어지고 사후 통지·복구·신뢰 회복에 더 많은 시간이 든다는 현실을 반영한다.
쉐도우 AI가 회사 자료와 개인 정보를 흔든다
문제는 직원들이 AI를 악의로 쓰지 않는다는 데 있다. 버라이즌 2026년 DBIR이 언급한 사례처럼 소스 코드와 기술 문서를 외부 AI 플랫폼에 올리는 행동은 생산성을 높이려는 시도에서 출발한다. 그러나 회사가 어떤 데이터가 외부로 나갔는지 모르면 사고 여부도 늦게 판단한다.
일반 독자에게도 같은 원리가 적용된다. 가족관계증명서, 진료 기록, 계약서 초안, 학교 과제에 담긴 개인정보를 AI 서비스에 그대로 입력할 때 그 정보가 어떤 방식으로 처리되는지 확인하지 않으면 편의는 곧 위험으로 전환된다. 인도 사례는 사이버 범죄가 생활비와 행정 부담으로 전환되는 속도를 보여준다.
Artificial Intelligence in Plain English의 2026년 보도에 따르면 2026년 상반기 인도에서는 127만 건의 사이버 범죄 불만이 접수됐고, 손실액은 101억7897만 루피, 약 1억2200만 달러로 집계됐다.
광고
이는 특정 국가만의 예외적 문제가 아니다. 금융 앱, 전자상거래, 원격근무, 온라인 민원 서비스가 결합한 사회에서는 데이터 유출이 계좌 피해, 신분 도용, 보험·의료·교육 서비스 불신으로 번진다. 보안 투자를 비용으로만 보는 관점은 이 피해의 사회적 가격을 계산하지 못한다.
버라이즌 2026년 DBIR과 IBM 2025년 CODB 보고서가 제시한 일곱 가지 방어 원칙은 기술 목록이 아니라 생활 규칙에 가깝다. 다중 인증(Multi-Factor Authentication·MFA)은 비밀번호가 새어 나가도 계정 탈취를 늦추는 장치다.
자동 업데이트는 취약점 공개 이후 공격자가 먼저 도착하는 시간을 줄인다. 클라우드 공유 책임을 분명히 하는 일은 서비스 제공자와 이용 기업 사이의 빈틈을 없애는 과정이다.
여기에 데이터 공유 최소화, 백업과 복구 계획 수립, 침해 대응 훈련, 반복적인 보안 교육이 더해져야 한다. 일부 기업은 이런 조치가 업무 속도를 떨어뜨리고 직원 피로를 키운다고 반박할 수 있다.
다중 인증을 매번 거치게 하면 불편하고, 외부 AI 사용을 제한하면 생산성이 낮아질 수 있다는 주장도 현실적이다. 그러나 이 반론은 사고가 난 뒤 조직이 치르는 시간을 과소평가한다.
IBM 2025년 CODB 보고서가 제시한 쉐도우 AI 관련 평균 침해 비용 463만 달러는 보안 절차의 불편함과 견줄 수 있는 규모가 아니다. 생산성을 이유로 통제를 미루는 조직은 빠른 업무 처리를 얻는 대신 사고 탐지와 복구 비용을 뒤로 넘긴다.
다중 인증·자동 업데이트가 새 생활 규칙 된다
정책 방향도 달라져야 한다. 기업은 AI 사용 금지라는 단순한 문구보다 어떤 자료를 넣으면 안 되는지, 어떤 도구를 승인했는지, 입력 기록을 누가 점검하는지 명확히 정해야 한다.
광고
공공기관과 규제 당국은 데이터 유출 신고 체계, 클라우드 책임 범위, AI 도구 사용 기준을 더 구체적으로 요구받을 가능성이 크다. 개인에게는 보안 교육이 회사 연 1회 동영상 시청으로 끝나지 않아야 한다. 은행 앱의 다중 인증, 가족 공용 기기의 업데이트, 주요 계정의 비밀번호 분리 같은 행동이 디지털 시민의 기본 문법이 된다.
본지 추가 분석에 따르면 한국 독자가 이 보고서를 남의 일로 넘기기 어려운 이유도 여기에 있다. 국내에서도 금융, 유통, 통신, 교육, 의료 서비스가 하나의 휴대전화 번호와 이메일 계정에 연결된 생활 구조가 굳어졌다.
특정 서비스에서 유출된 정보가 다른 서비스의 본인 확인 절차를 흔들 수 있고, 회사에서 쓰던 AI 습관이 가정의 개인정보 관리 방식으로 이어질 수 있다. 두 보고서가 공통으로 지적하는 핵심은 보안 기술의 고도화가 아니라 책임의 재배치다. 공격자는 AI와 자동화를 이용해 더 빨리 움직이는데, 이용자와 조직이 사고가 난 뒤에야 자신의 데이터 위치를 파악하는 방식을 유지하는 것은 더 이상 허용 가능한 선택이 아니다.
※ 이 기사는 Artificial Intelligence in Plain English의 2026년 보도, IBM 2025년 Cost of a Data Breach 보고서 및 Verizon 2026년 Data Breach Investigations Report 원문을 참조하여 작성하였다.
FAQ
Q. 개인 이용자는 무엇부터 바꿔야 하는가
A. 가장 먼저 주요 계정에 다중 인증(MFA)을 설정하고, 같은 비밀번호를 여러 서비스에서 반복 사용하지 않아야 한다. 버라이즌 2026년 DBIR에서 도난당한 자격 증명이 침해 시작점의 13%를 차지한 만큼 계정 관리는 여전히 기본 방어선이다. 동시에 스마트폰, PC, 공유기, 업무용 앱의 자동 업데이트를 활성화해야 한다. 취약점 악용 비중이 31%로 가장 높게 나타난 만큼 업데이트를 미루는 습관은 실제 위험을 키운다. 진료 기록이나 계약서 초안처럼 민감한 정보를 AI 서비스에 입력할 때는 해당 서비스의 데이터 보관·학습 정책을 반드시 확인한 뒤 사용해야 한다.
Q. 회사에서 AI 도구를 쓰면 모두 위험한가
A. AI 도구 사용 자체가 곧 데이터 유출을 의미하지는 않는다. 문제는 승인 여부, 입력 데이터 종류, 보관·학습 설정을 확인하지 않은 채 소스 코드나 기술 문서, 개인정보를 외부 서비스에 넣는 행위다. IBM 2025년 CODB 보고서는 조직의 63%가 AI 거버넌스 정책을 갖추지 못했다고 밝혔으며, 쉐도우 AI 관련 침해 비용은 평균 463만 달러로 일반 침해보다 약 19만 달러 더 높았다. 기업은 금지만 앞세우기보다 허용 도구와 금지 데이터, 입력 기록 점검 절차를 문서로 명확히 정해야 한다. 직원 개인도 사용 전에 해당 AI 서비스가 조직의 승인 목록에 있는지 확인하는 것이 출발점이다.
Q. 중소기업은 어떤 보안 투자를 우선해야 하는가
A. 대규모 보안 조직을 갖추기 어렵다면 다중 인증, 자동 업데이트, 정기 백업, 침해 대응 비상 연락망부터 마련해야 한다. 이 네 가지는 비용 대비 효과가 크고 사고 발생 후 복구 시간을 줄이는 기반이 된다. 클라우드를 사용한다면 서비스 제공자가 맡는 영역과 이용 기업이 직접 관리해야 하는 영역을 계약서와 관리자 화면에서 반드시 확인해야 한다. 이후에는 직원 교육을 반복해 AI 도구 사용 기준과 데이터 공유 범위를 업무 습관으로 굳혀야 하며, 연 1회 침해 대응 모의훈련을 통해 실제 사고 시 혼란을 최소화할 수 있다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
