보안, 이제는 방어보다 모니터링이다

YFieldYField··15 min read
보안, 이제는 방어보다 모니터링이다

침입보다 늦었던 것은 '인지'였다

2026년 9월 말 국내 금융권 연쇄 해킹에서 피해를 키운 것은 뚫린 순간이 아니라, 뚫린 사실을 알아차리기까지 걸린 시간이었다. 주요 은행 세 곳 모두 공격이 시작된 뒤 짧게는 반나절, 길게는 사흘 가까이 지나서야 상황을 파악했다.

금융사

공격받은 시스템

공격 개시 후 인지까지

신한은행

대출모집인용 모바일 조회 서비스

약 15시간 26분 (고객 25,729명 정보 유출)

하나은행

직원용 영업지원시스템(DMZ 구간)

약 41시간 44분 (공격 종료 약 31시간 후)

KB국민은행

직원용 모바일 업무지원시스템

약 67시간 41분 (공격 종료 약 25시간 후)

공격자가 노린 곳은 인터넷뱅킹 같은 핵심 시스템이 아니었다. 외부에서 접속할 수 있지만 관리가 상대적으로 느슨했던 주변 업무 시스템이었다. 수법도 데이터베이스에 악성 명령을 심는 방식이 아니라, 정상 조회 기능을 식별값을 바꿔 가며 반복 호출하는 방식이었다. IP를 차단하면 다른 IP로 바꿔 조회를 이어갔다.

금융보안원 조사에서는 AI 기반 자율 침투 도구의 흔적도 확인됐다. 다만 그 도구가 각 공격의 어느 단계에서 무엇을 했는지는 아직 조사 중이다. 확실한 것은 하나다. 이 사건이 경영진에게 던지는 질문은 "어떻게 막을 것인가"가 아니라 "뚫렸다면 얼마나 빨리 알 수 있는가"라는 점이다.

이는 금융권만의 문제가 아니다. 개인정보보호위원회에 접수된 유출 신고는 2024년 307건에서 2025년 447건으로 46% 늘었다. 개인정보위는 대규모 유출 사고의 공통 원인으로 보안 장비는 형식적으로 갖췄지만 운영과 관리가 미흡했던 점을 지목했다.

왜 방어만으로는 부족해졌나

방어 중심 보안은 "성벽을 충분히 높이면 안전하다"는 전제 위에 서 있다. 이 전제를 무너뜨린 변화는 세 가지다.

  1. 공격 속도가 패치 속도를 앞질렀다. Mandiant의 M-Trends 2026은 취약점이 악용되기까지의 평균 시간을 약 -7일로 추정했다. 패치가 나오기 전에 이미 공격이 일어난다는 뜻이다. 금융위원회도 9월 초 자체 테스트에서 AI를 쓰면 취약점을 광범위하고 빠르게 탐색할 수 있음이 확인되고 있다고 밝혔다. 모든 구멍을 먼저 막는 전략은 시간 싸움에서 이길 수 없다.
  2. 지켜야 할 경계가 흐려졌다. 이번 사고의 표적은 보안 조직의 관리 목록 밖에 있던 업무 시스템과 API, 이른바 Shadow IT였다. 협력사와 외주 시스템도 같은 위치에 있다. IBM 2026 보고서에서 공급망 침해는 두 번째로 흔한 초기 침투 경로였고, 탐지와 봉쇄까지 평균 258일로 가장 오래 걸렸다. 존재조차 모르는 자산은 방어할 수 없다.
  3. 공격이 정상 업무처럼 보인다. 인증이 허술한 조회 화면에 정상 형식의 요청을 반복하는 공격에는 악성코드도, 알려진 공격 시그니처도 없다. 방화벽과 백신 입장에서는 평범한 트래픽이다. IP 차단도 한계가 분명하다. 금융감독원이 파악한 공격 IP는 중복 제외 28개였고, 경찰은 상당수를 실제 위치를 숨기기 위한 우회용 주소로 판단했다.

세 변화의 공통점은 "들어오기 전에 걸러낸다"는 방식이 작동하지 않는 영역이 커졌다는 것이다. 그 영역에서 쓸 수 있는 유일한 수단은 안에서 무슨 일이 벌어지는지 보는 것, 즉 모니터링이다.

숫자가 말하는 것: 침해 비용은 탐지 속도의 함수다

침해 사고의 비용을 결정하는 가장 큰 변수는 "침입을 당했는가"가 아니라 "얼마나 오래 모른 채 있었는가"다. 2026년 발표된 주요 보고서들은 같은 방향을 가리킨다.

지표

수치

경영 관점의 의미

침해 식별·봉쇄까지 평균 기간 (IBM 2026)

247일 (식별 183일 + 봉쇄 64일)

5년 연속 단축되던 흐름이 처음으로 반전됐다

생애주기 200일 기준 평균 비용 차이 (IBM 2026)

200일 이내 432만 달러, 초과 565만 달러

같은 유형의 사고라도 늦게 알면 약 30% 더 비싸다

보안 AI·자동화를 폭넓게 쓴 조직 (IBM 2026)

비용 193만 달러 절감, 기간 65일 단축

그러나 이를 전 주기에 활용하는 조직은 약 3분의 1에 그친다

글로벌 중위 체류 시간 (Mandiant M-Trends 2026)

14일 (전년 11일)

사이버 첩보·위장 IT 인력 침투는 중위 122일

공격자가 먼저 침해 사실을 알린 비율 (Mandiant)

14%

일곱 건 중 한 건은 협박 메시지를 받고서야 안다

이 숫자들이 경영진에게 주는 메시지는 분명하다. 보안 투자의 성과는 "몇 건을 막았는가"보다 "몇 시간 안에 알았는가"로 측정해야 한다. 차단율은 공격이 줄면 저절로 좋아 보이지만, 탐지 시간은 실제 역량이 있어야만 줄어든다.

국내 법제도도 같은 방향으로 움직인다. 개인정보 유출 시 신고와 통지에는 시한이 있고, 무엇이 언제 얼마나 빠져나갔는지 재구성하지 못하면 기한 안에 정확히 보고할 수 없다. 모니터링은 이제 기술 과제이면서 동시에 규제 대응 역량이다.

방어 중심에서 모니터링 중심으로: 무엇이 달라지나

전환의 핵심은 장비를 바꾸는 것이 아니라 보안을 바라보는 전제와 성과 지표를 바꾸는 것이다.

구분

방어 중심

모니터링 중심

전제

경계를 지키면 안전하다

이미 들어와 있을 수 있다

핵심 질문

막았는가

언제 알았고, 얼마나 빨리 멈췄는가

성과 지표

차단 건수, 장비 도입 여부, 점검 통과

평균 탐지 시간(MTTD), 평균 대응 시간(MTTR), 가시성 범위

공격 판단 기준

알려진 시그니처, 블랙리스트 IP

평소와 다른 행위, 맥락, 데이터 흐름

투자 대상

방화벽, 백신, 접근 차단 장비

자산 가시성, 로그 통합·보존, 행위 분석, 대응 자동화

점검 주기

연 1회 감사, 분기 점검

상시 관측, 이상 징후 즉시 확인

사고 후 상태

무엇이 나갔는지 추정

무엇이 언제 나갔는지 재구성 가능

표의 오른쪽 열이 왼쪽 열을 대체하는 것은 아니다. 다만 "보안을 잘하고 있는가"를 판단하는 기준이 왼쪽에서 오른쪽으로 옮겨가야 한다. 이사회 보고서에 차단 건수만 있고 탐지 시간이 없다면, 그 조직은 아직 왼쪽 열에 머물러 있는 것이다.

무엇을 봐야 하나: 모니터링의 4개 레이어

모니터링은 "모든 로그를 다 모으는 것"이 아니다. 경영 리스크와 직결되는 네 개의 층위를 순서대로 보이게 만드는 일이다.

레이어

무엇을 보나

이번 사건이 보여준 공백

1. 자산

외부에서 접근 가능한 모든 시스템, 도메인, API의 실시간 목록

공격받은 시스템은 대고객 서비스가 아닌 직원·협력사용 주변 시스템이었다

2. 행위

개인정보 대량 조회, 식별값 순차 대입, 비업무 시간 접근 같은 평소와 다른 패턴

정상 조회 기능의 반복 호출이 수십 시간 동안 이어졌다

3. 신원

사람, 서비스 계정, AI 에이전트가 누구이며 무엇에 접근하는지, 등록된 단말인지

인증 누락 경로와 세션 검증 미흡이 확인됐다

4. 기록

사고를 재구성할 수 있을 만큼의 로그를 충분한 기간 보존

금융사별 점검 범위가 최근 3개월부터 1년까지 제각각이었다

자산. 피해 은행 네 곳은 모두 금융보안원의 공격표면관리(ASM) 서비스를 이용하고 있었다. 자산을 식별하는 것만으로는 부족하다는 뜻이다. 식별된 자산마다 담당자와 인증 수준, 노출 필요성이 함께 관리돼야 한다.

행위. 이번 공격을 시그니처로 잡기는 어렵지만, "한 계정이 짧은 시간에 수천 명의 고객 정보를 조회한다"는 사실은 행위 관점에서 명백한 이상 신호다. 개인정보 조회 로그를 실시간으로 분석하는 것이 고객 데이터를 다루는 모든 기업의 최소 요건이 돼야 한다.

신원. AI 에이전트도 관측 대상이다. KB국민은행 공격자는 임직원이 쓰는 AI 서비스에 접근해 정보를 빼내려 한 정황이 확인됐다. IBM 2026에 따르면 AI 관련 침해를 겪은 조직의 92%가 AI 접근 통제를 제대로 갖추지 못했다. 사내에 도입한 AI 에이전트가 늘수록, 그 에이전트의 권한과 행동을 보는 눈도 함께 늘어야 한다.

기록. Mandiant는 체류 기간이 400일에 가까운 위협 사례를 들며, 90일 로그 보존 정책으로는 최초 침투 경로를 볼 수 없다고 경고했다. 로그 보존 기간은 비용 항목이 아니라 사고 대응 능력의 상한선이다.

오해 바로잡기: 방어를 버리자는 말이 아니다

"모니터링이 더 중요하다"는 말을 방어 투자를 줄여도 된다는 뜻으로 읽으면 안 된다. 이번 사건에서도 기본기는 결과를 갈랐다.

  • 우리은행과 NH농협은행에도 같은 유형의 공격이 들어왔지만, 공격이 노린 취약점이 없어 침해로 이어지지 않았다.
  • 금융당국은 피해를 입은 7개사 외 금융회사들의 경우 다중인증 도입 여부와 알려진 취약점 사전 조치 여부가 침해 여부를 갈랐다고 분석했다.
  • 카카오뱅크는 같은 공격 IP의 취약점 탐색 시도를 보안 체계로 탐지하고 차단했다. 방어와 탐지가 함께 작동한 사례다.

정리하면 이렇다. 방어는 사고가 날 확률을 낮추고, 모니터링은 사고가 났을 때 피해의 크기를 정한다. 다중인증, 패치, 인증 누락 경로 제거 같은 기본 위생은 협상의 대상이 아니다. 바뀌어야 하는 것은 그 다음 단계, 즉 추가 예산이 어디로 가고 성과를 무엇으로 재는가다.

또 하나의 오해는 "경보를 많이 띄우면 모니터링을 잘하는 것"이라는 생각이다. 아무도 판단하지 않는 경보는 소음일 뿐이다. 모니터링의 가치는 신호를 판단으로, 판단을 차단과 보고 같은 실행으로 이어주는 데서 나온다. 신한은행은 이상을 감지한 뒤에도 공격자가 IP를 바꿔 조회를 이어가 최종 차단까지 약 30시간이 걸렸다. 탐지만큼 "탐지 이후"의 속도도 설계해야 한다.

실행 로드맵과 경영진이 물어야 할 질문

전환은 대형 프로젝트가 아니라 180일 안에 단계적으로 끝낼 수 있는 일이다. 순서가 중요하다. 보이지 않는 것은 분석할 수 없으므로 가시성이 먼저다.

  1. 첫 30일: 보이게 만든다
    • 외부에 노출된 시스템, 도메인, API를 전수 조사하고 자산마다 책임자를 지정한다.
    • 인증 없이 내부 정보에 닿는 경로를 찾아 차단하거나 수정한다.
    • 현재의 평균 탐지 시간(MTTD)을 처음으로 측정한다. 모르면 "모른다"가 기준선이다.
  2. 90일까지: 이상을 알아본다
    • 개인정보 조회, 관리자 접근, 외부 반출 로그를 한곳으로 모은다.
    • 대량 조회, 순차 대입, 비업무 시간 접근 같은 핵심 이상 행위 규칙부터 적용한다.
    • 로그 보존 기간을 최소 1년 이상으로 재설정하고, 사내 AI 에이전트의 권한과 활동 기록도 포함한다.
  3. 180일까지: 빠르게 멈춘다
    • 탐지부터 차단, 내부 보고, 당국 신고, 고객 통지까지의 의사결정 권한과 시간 목표를 문서로 정한다.
    • 반복되는 대응은 자동화하고, 보안 AI로 분석 부담을 줄인다.
    • 실제 공격 시나리오로 모의 훈련을 하고, 탐지·대응 시간을 분기마다 이사회에 보고한다.

경영진이 다음 보안 보고 자리에서 물어야 할 다섯 가지 질문

  1. 우리 회사의 외부 노출 자산 목록은 언제 마지막으로 갱신됐고, 각 자산의 책임자는 누구인가?
  2. 오늘 침입이 일어났다면 몇 시간 안에 알 수 있는가? 그 숫자를 측정하고 있는가?
  3. 한 계정이 고객 정보를 비정상적으로 대량 조회하면 누가, 몇 분 안에 알게 되는가?
  4. 로그는 얼마나 오래 보존되며, 1년 전 침투 경로까지 추적할 수 있는가?
  5. 탐지 이후 차단과 신고를 결정하는 사람은 누구이며, 그 결정까지 목표 시간은 얼마인가?

다섯 질문 중 셋 이상에 즉답이 나오지 않는다면, 그 조직의 보안 수준은 장비 목록이 아니라 그 공백으로 평가받게 된다.

맺음말: 보안은 "신호를 읽는 능력"이 됐다

보안의 질문은 "뚫리지 않았는가"에서 "뚫렸다면 언제 알고, 얼마나 빨리 멈추는가"로 바뀌었다. AI가 공격을 자동화하는 시대에 완벽한 성벽은 없다. 남는 경쟁력은 이상 신호를 먼저 읽고, 판단하고, 실행으로 옮기는 속도다.

이 구조는 보안만의 이야기가 아니다. 고객 경험이든 생산 현장이든, 흩어진 신호를 모아 판단과 행동으로 잇는 조직이 위기에 강하다. 와이필드가 신호(Signal), 판단(Decision), 실행(Action)의 흐름을 중심에 두는 이유도 여기에 있다. 보안 역시 같은 원리로 다시 설계돼야 할 때다.

참고 자료