[기고] 해커의 탄약은 우리가 지우지 않은 과거다

김호진 산타크루즈컴퍼니 대표·대한민국 1호 디지털 장의사 낯선 번호로 전화가 온다. 상대는 은행 직원이라며 내 이름을 부르고, 대출 한도가 얼마인지, 연소득이 얼마인지 정확히 읊는다. 이 정도로 아는 사람이 사기꾼일 거라고 선뜻 생각할 수 있을까. 나는 그러기 어렵다고 본다. 그리고 이런 전화가 앞으로 훨씬 흔해질 거라고 본다. 지난 9월 29일 이후 열흘 가까이, 은행 이름이 하루가 멀다 하고 '유출' 기사에 오르고 있다. 신한은행에서는 대출 신청 고객 약 2만5000명의 이름과 전화번호, 연소득, 대출 산출한도가 빠져나갔다. 일부는 주민등록번호와 연계정보(CI, 금융사들이 같은 사람임을 확인하는 고유 값)까지 포함됐다. 이튿날 국민은행과 하나은행에서도 유출이 확인됐고, 금융당국은 7개 금융사에서 같은 공격자 IP를 찾아냈다. AI 도구를 쓴 자동화 공격 가능성도 들여다보고 있다. 언론의 관심은 'AI 해킹'에 쏠려 있다. 국내 은행 공격에서 AI의 흔적이 나온 건 처음이니 그럴 만하다. 하지만 2013년부터 온라인에 남은 기록을 지워 온 내 눈에는 다른 것이 먼저 보인다. 이번 공격에 쓰인 재료는 새로 훔친 정보가 아니었다. 오래전에 새어 나가고도 아무도 치우지 않은 우리의 과거였다. ◇문을 연 열쇠는 이미 밖에 있었다 보안업계가 지목하는 수법은 크리덴셜 스터핑이다. 다른 곳에서 샌 아이디와 비밀번호를 로그인 창에 될 때까지 넣어 보는 방식이다. 신한은행에서는 대출모집인이 쓰는 모바일 간편조회 페이지가 뚫린 것으로 알려졌다. 해커는 은행 비밀번호를 알아내려고 애쓰지 않았다. 몇 해 전 어느 쇼핑몰이나 커뮤니티에서 흘러나간 계정 정보가 지워지지 않고 돌아다녔고, 그 비밀번호를 은행에서도 똑같이 쓰던 사람이 있었을 뿐이다. 지난해에도 같은 방식으로 한 유통 대기업 홈페이지에서 158만명이 피해를 봤다. 그때 나간 기록이 지금 누구 손에 있는지는 아무도 모른다. 나는 이런 기록을 '디지털 유품'이라고 부른다. 주인은 잊었는데 인터넷은 잊지 않은 기록이다. 유출 사고는 뉴스가 끝나도 끝나지 않는다. 한 번 샌 정보는 어딘가에 쌓이고, 다음 공격이 올 때 탄약으로 꺼내 쓰인다. ◇AI는 흩어진 조각을 순식간에 이어 붙인다 크리덴셜 스터핑 자체는 오래된 수법이다. AI가 바꾼 건 속도와 비용이다. 정보 수집, 취약점 탐색, 침투 시도처럼 사람이 며칠씩 하던 일을 AI 에이전트가 맡으면서 공격에 드는 시간과 인력이 크게...