‘M이코노미뉴스’에서 한 주간 놓치지 말아야 할 국내외 주요 IT 이슈 3가지를 선정, 요약해 보고자 합니다. 이번 주에는 미·에스토니아 19세 이중국적 해커, 해킹 혐의로 미국에 송환·기소됐다는 소식, 직장 내 ‘섀도 AI’ 확산하면서 생산성 높이지만 기밀 유출 위험이 커졌다는 소식, 일본 총무성이 SNS 연령 확인 강화를 추진하지만 일률적 연령 제한은 ‘부적절’하다는 소식 등 세 가지를 단신으로 소개합니다.
1. 미국 19세 이중국적 해커, ‘스캐터드 스파이더’ 연루 혐의로 미국 송환·기소
미국·에스토니아 이중 국적자 19세 피터 스톡스가 악명 높은 해킹 조직 ‘스캐터드 스파이더’ 활동에 연루된 혐의로 미국에 송환돼 기소됐다. 스톡스는 ‘부케’, ‘스펜서’, ‘요르단’ 등의 온라인 핸들을 사용하며 활동한 것으로 알려졌으며, 올해 4월 10일 일본행 비행기에 탑승하려던 중 핀란드 헬싱키 공항에서 체포됐다. 미국 검찰은 그가 전 세계 주요 기업을 대상으로 한 랜섬웨어 공격과 네트워크 침입에 관여해 수백만 달러의 금전적 피해를 초래했다고 밝혔다. 특히 2023년 당시 16세의 나이로 온라인 커뮤니케이션 플랫폼을 해킹한 사건을 포함해 최소 4건의 침해 행위에 연루된 것으로 보고 있다.
법원 문서에 따르면 스톡스는 해커들이 직원으로 위장해 IT 헬프데스크에 접근, 관리자 계정을 탈취한 뒤 몸값을 요구한 사건에도 관여했다. 피해 기업 중에는 2025년 5월 공격을 받은 ‘수십억 달러 규모의 명품 소매업체’도 포함된다. 해당 기업은 해커들이 100GB의 데이터를 탈취했다고 주장하며 800만 달러를 요구했으나 이를 거부했다. 그러나 운영 중단과 복구 비용으로 200만 달러 이상의 손실이 발생한 것으로 알려졌다. 스톡스는 사기, 음모, 컴퓨터 침입 혐의로 기소돼 시카고 연방법원에 출두했으며, 현재 구금 상태를 유지하고 있다. 검찰은 그가 100건 이상의 네트워크 침입에 연루돼 총 1억 달러 이상의 몸값 요구와 막대한 피해를 초래한 핵심 조직원이라고 지적했다.
스캐터드 스파이더는 2022년 등장한 느슨한 구조의 해킹 집단으로, 미국과 영국의 청소년·청년층이 주축을 이루고 있다. 이들은 소셜 엔지니어링, MFA 폭격, SMS 피싱 등을 활용해 기업 네트워크를 침해하고 민감 정보를 탈취하는 방식으로 악명을 떨쳤다. 검찰은 이들이 특정 안드로이드 에뮬레이터를 활용해 MFA 공격을 수행하고, 영국 소매업체를 대상으로 별도의 암호화기를 사용한 랜섬웨어 공격도 했다고 설명했다. 피해 기업에는 MGM 리조트, 시저스, 라이엇 게임즈, 도어대시, 레딧, 트윌리오, 알리안츠 라이프, TfL, 코옵, M&S, 해로즈, 웨스트젯, 재규어 랜드로버 등 글로벌 대기업과 기관이 다수 포함되어 있다.
2. 직장 내 ‘섀도 AI’ 확산...생산성 높이지만 기밀 유출 위험 커져
직장에서 승인되지 않은 AI 도구 사용, 즉 ‘섀도 AI’가 확산하며 기업 보안 위험이 커지고 있다. 직원들은 이메일 정리, 회의록 요약 등 반복 업무를 빠르게 처리하기 위해 챗GPT나 제미나이 같은 도구를 활용하지만, 승인되지 않은 AI에 기밀 문서나 고객 정보를 입력하는 순간 기업은 데이터 저장·활용 방식을 통제할 수 없게 된다. 에드워드 우 드롭존 AI CEO는 “기밀 정보가 외부로 나가면 되돌릴 수 없다”고 경고했다. 대부분 악의 없이 편의를 위해 사용하지만, 그럼에도 의도치 않은 데이터 유출이 발생할 수 있다는 점이 가장 큰 문제로 지적된다.
섀도 AI는 단순한 정보 노출을 넘어 기업 운영 전반에 영향을 미치는 위험 요소로 꼽힌다. 승인되지 않은 AI 도구는 보안 장치가 부족해 입력된 데이터가 학습에 활용되거나 장기간 저장될 가능성이 있으며, 고객 불만, 법률 문서, 재무 자료 등 민감한 정보를 붙여넣을 경우 위험은 더욱 커진다. IBM 보고서에 따르면 조직의 20%가 승인되지 않은 AI를 사용하고 있고, 63%는 AI 거버넌스 정책이 없거나 개발 중이다. 여기에 ‘AI 환각’ 문제까지 더하면, 이를 재무 분석이나 기술 문서에 활용할 때 더 큰 문제가 발생할 수 있다. 기업이 승인한 도구는 검증 체계를 갖췄지만, 무료 챗봇이나 확장 프로그램은 안전장치가 부족하다기 때문이다.
직원들이 섀도 AI를 사용하는 이유는 생산성 때문이다. 이메일 작성, 보고서 요약, 데이터 분석 등 반복 업무를 빠르게 처리해 시간을 절약할 수 있기 때문이다. 실제로 마이크로소프트 조사에서도 응답자의 절반 이상이 AI 덕분에 이전에는 불가능했던 업무를 수행하게 됐다고 답했다. 그러나 직원들의 사용 속도는 기업 정책보다 훨씬 빠르며, 일부 기업은 명확한 규칙이 없거나 대안을 제시하지 않은 채 공개 AI 사용만 금지한다. 섀도 AI는 브라우저 확장이나 플러그인처럼 눈에 띄지 않는 형태로 숨어 있어 직원들이 AI 사용 사실을 인지하지 못하는 경우도 많다. 전문가들은 생산성 향상 효과에도 불구하고 통제되지 않은 데이터 노출 위험이 가장 크다며 기업의 명확한 정책과 직원 교육이 필수적이라고 강조한다.
3. 일본 총무성, SNS 연령 확인 강화 추진...일률적 연령 제한은 ‘부적절’
일본 총무성 전문가 패널이 소셜미디어 운영자에게 사용자 연령 확인 절차를 강화하도록 요구하는 방안을 검토해야 한다는 제안서를 마련했다. 이 패널은 아동·청소년을 온라인 학대와 유해 콘텐츠로부터의 보호 대책을 논의했지만, 오스트레일리아 등 일부 국가에서 시행 중인 포괄적·일률적 연령 제한 조치에 대해 “바람직하지 않다”는 결론을 내렸다. 이는 SNS가 청소년의 소통과 자기표현 수단으로 기능하고, 서비스별 특성이 크게 다르다는 점을 고려한 판단으로, 향후 법 개정에서도 이러한 강력한 연령 제한이 포함될 가능성은 낮은 것으로 보인다.
총무성은 이번 제안서를 바탕으로 교육부·아동가족청과 협력해 ‘청소년 인터넷 환경 정비법’ 개정 여부를 올해 안에 결정할 예정이다. 현재 인스타그램과 틱톡 등 주요 플랫폼은 12~13세 미만 이용을 금지하고 있으나, 생년월일 입력만으로 가입이 가능해 실제로는 많은 아동이 나이를 속이고 서비스를 이용하는 것으로 추정된다. 이에 패널은 연령 확인 절차의 엄격화 필요성을 강조했지만, 구체적인 기술 방식이나 의무화 여부에는 신중한 태도를 유지하며 ‘개인정보 보호와 보안을 고려한 실현 가능한 기술을 활용해야 한다’고만 명시했다.
또 제안서는 소셜미디어 사업자에게 서비스 위험성 평가, 기능 제한 조치 도입, 관련 정보 공개 등을 요구해야 한다고 밝혔다. 이는 각 플랫폼이 청소년에게 미칠 수 있는 부적절한 콘텐츠 노출, 장시간 이용, 온라인 범죄 위험 등 부정적 영향 최소화하기 위한 조치다. 전문가들은 SNS 규제가 세계적으로 강화되는 흐름 속에서도 일본은 청소년의 디지털 접근권과 표현의 자유를 고려한 ‘선별적 규제’ 방향을 택할 가능성이 크다고 분석하고 있다.
