AI를 이용한 해킹, 소규모 병원과 기업 위협

지난 3월, 재니스 말론은 자신이 운영하는 비영리단체 비비안스 도어(Vivian’s Door)에서 돈을 요구하는 이메일이 발송되고 있다는 연락을 받았다. 앨라배마주에 있는 이 단체는 IT 업체가 조사에 나서 취약점을 해결하는 동안 사흘간 시스템을 중단했다. 대응 비용은 약 3,000달러였다. 말론은 이번 공격에 AI가 어떤 역할을 했는지 아직 알지 못한다.

말론의 의문은 더 큰 우려를 보여준다. AI 도구가 사이버 공격을 더 빠르고 대규모로 수행하도록 돕고 있다는 점이다. 기술이 부족한 사람도 자동화 시스템을 이용해 취약점을 찾을 수 있고, 숙련된 해커는 한 번에 더 많은 조직을 노릴 수 있다. Anthropic은 2025년 8월, 사이버 범죄 집단이 자사의 Claude Code 도구를 이용해 의료기관, 응급 서비스, 종교기관, 정부 기관 등을 공격했다고 밝혔다.

소규모 조직은 자원이 부족하다

대기업은 전담 보안팀을 고용하고 첨단 도구를 활용해 취약점을 찾을 수 있다. 하지만 Anthropic의 Mythos와 OpenAI의 Astra를 비롯한 강력한 사이버 보안 모델은 제한된 조직에만 제공된다. 이용 대상이 확대되더라도 소규모 기관에는 비용이 너무 비쌀 수 있다.

그 결과 지역 병원과 은행, 소매업체, 비영리단체는 더 적은 예산과 IT 인력으로 같은 종류의 위협에 맞서야 한다. 비비안스 도어는 긴급 지원 비용을 지불하는 한편 업무를 중단해야 했다. 메릴랜드주의 식료품 협동조합 타코마 파크 실버 스프링 코옵(Takoma Park Silver Spring Co-op)에서는 해커들이 온라인 결제 시스템을 이용해 도난당한 신용카드를 시험했고, 결제가 거부된 경우에도 수수료가 발생했다.

의료 분야는 특히 위험 부담이 크다

사이버 공격은 데이터뿐 아니라 환자 진료에도 영향을 미칠 수 있다. 병원은 병력과 알레르기 정보, 복용 약 목록 등을 디지털 시스템에 의존하기 때문에 시스템이 멈추면 치료가 지연되고 인근 의료기관에 환자가 몰릴 수 있다. 오하이오주 피셔-타이터스 메디컬 센터의 린다 스티븐슨 운영·정보 책임자에 따르면, 이 병원에는 2년 전 채용된 사이버 보안 분석가가 한 명 있다.

모든 취약점이 AI 때문에 생기는 것은 아니며, 비비안스 도어 공격에 AI가 관여했다는 사실도 확인되지 않았다. 하지만 AI가 공격을 쉽게 수행하도록 만든다면 소규모 조직은 대응할 시간과 자원이 더 부족할 수 있다.