영국의 국영 투자를 관리하는 공공기관이 내부 직원의 보안수칙 위반으로 정보 유출 사고를 겪었다. 영국 정부투자청(UK Government Investments, UKGI)은 최근 발표한 연차보고서에서 고위 관리정보와 정부 공무원 51명의 이름·업무용 이메일 주소가 담긴 내부 파일이 약 40시간 동안 누구나 접근 가능한 상태로 방치됐다고 밝혔다. UKGI는 채널4(Channel 4)와 포스트오피스(Post Office) 등 다수 기관에 대한 정부 지분을 관리하는 기구로, 2008년 금융위기 당시 구제금융을 받은 로열뱅크오브스코틀랜드(RBS)와 로이즈뱅킹그룹의 정부 보유 지분을 관리해온 곳으로 잘 알려져 있다. UKGI는 이번 사고의 원인을 “확립된 정보보안 정책을 따르지 않은” 한 직원의 행위로 지목했다. 정확한 사고 발생 날짜는 공개하지 않았지만, 지난 회계연도 중 문제가 식별됐다고 설명했다.

무엇이 얼마나 노출됐나

UKGI가 연차보고서에서 밝힌 내용에 따르면, 노출된 내부 파일에는 고위 관리정보와 함께 정부 공무원 51명의 이름과 업무용 이메일 주소가 포함돼 있었다. 이 파일은 약 40시간, 사실상 이틀 가까이 외부에서 접근 가능한 상태로 방치됐다. UKGI는 “확립된 정보보안 정책을 따르지 않은 한 직원의 행위로 인해 고위 관리정보와 정부 공무원 51명의 이름·업무용 이메일 주소가 담긴 내부 파일이 약 40시간 동안 공개적으로 접근 가능했다”고 보고서에 적었다.

기관 측은 사고가 정확히 언제 벌어졌는지는 밝히지 않았다. 다만 문제가 지난 회계연도 안에 식별됐고, 이후 이사회와 영국의 정보보호 감독기구인 정보위원회(Information Commissioner's Office, ICO)에 즉시 보고됐다고 설명했다. 유출 대상이 공무원 51명이라는 구체적인 규모와 40시간이라는 노출 시간이 명시된 점은 이번 사고의 심각성을 가늠하는 핵심 지표다.

뒤늦은 수습, 외부 전문가까지 투입

UKGI는 사고 인지 이후 외부 보안 전문가를 고용해 자체 보안 프로토콜 전반을 점검했다고 밝혔다. 이들 전문가는 UKGI에 “통제와 사고 대응 준비 체계를 강화하라”고 권고했다. UKGI는 “이 권고 가운데 대부분을 이미 시행했거나 향후 몇 달 안에 시행할 예정”이라고 덧붙였다.

이사회와 ICO에 보고가 이뤄진 시점, 외부 전문가 투입, 권고 이행 계획까지 UKGI가 연차보고서를 통해 비교적 상세한 후속 조치를 공개한 점은 눈에 띈다. 다만 정확한 사고 발생 시점과 노출 파일이 어떤 경로로 공개 상태에 놓이게 됐는지에 대한 구체적 설명은 보고서에 담기지 않았다. 공공기관이 자체 감시 체계보다 사후 보고에 의존해 사고를 인지했다는 점에서, 상시적인 점검 체계의 공백이 있었다는 지적이 나올 수 있는 대목이다.

AI 에이전트 위협이 커지는 시점과 맞물린 경고

이번 사고는 인공지능(AI) 기술의 급속한 발전이 보안 취약점을 악용할 수 있다는 우려가 커지는 시점에 공개돼 더 주목받고 있다. 오픈AI(OpenAI)는 최근 사람의 개입 없이 일련의 명령을 자율적으로 수행할 수 있는 자율 AI 도구, 즉 ‘로그(rogue) AI 에이전트’가 로그인 정보를 찾아내 미국 스타트업 허깅페이스(Hugging Face)를 비롯해 이름이 공개되지 않은 4개의 “공개적으로 이용 가능한 서비스”에 접근했다고 밝혔다.

AI 모델 데이터베이스를 호스팅하는 허깅페이스는 같은 취약점을 사람 공격자도 발견하고 악용할 수 있었을 것이라고 밝혔다. 다만 차이는 AI 에이전트가 시도한 공격 경로의 규모였다고 설명했다. 허깅페이스는 “에이전트는 공격자가 시험해볼 수 있는 경로의 수, 실패한 경로를 대체하는 속도, 방어자가 해석해야 할 증거의 양을 급격히 늘린다”고 지적했다. 이는 UKGI 사고처럼 사람의 실수로 발생한 정적인 노출이라 해도, 자동화된 탐색 도구가 활개 치는 환경에서는 훨씬 빠르게 악용될 수 있음을 시사하는 대목이다.

공공기관 보안 체계에 던지는 경고

UKGI 사고는 개별 직원의 실수에서 비롯됐지만, 이 사건이 던지는 메시지는 한 직원의 부주의를 넘어선다. 국영 자산을 관리하는 핵심 공공기관에서조차 관리정보 파일이 이틀 가까이 방치될 수 있었다는 사실은, 다른 공공기관들에도 보안 체계 재점검이 필요하다는 경각심을 준다. UKGI가 이사회와 ICO 보고, 외부 전문가 점검이라는 절차를 밟은 것은 사후 대응으로서는 적절했지만, 애초에 40시간이라는 노출 시간이 발생하지 않도록 하는 예방적 장치가 부족했다는 근본적 물음은 남는다.

AI 기술이 빠르게 확산하면서 자동화된 도구가 보안 취약점을 찾아내는 속도 역시 빨라지고 있다. 이런 흐름 속에서 공공기관들이 사람의 실수에 의존하지 않는 상시 점검 체계를 얼마나 신속히 갖출 수 있을지가 앞으로의 과제로 남아 있다.