취약점 악용이 자격 증명 탈취를 앞섰다
2026년 현재 기업 보안 예산을 둘러싼 질문은 더 이상 방화벽을 얼마나 늘릴 것인가에 머물지 않는다. 인공지능(AI)이 개발, 고객 응대, 문서 작성에 스며든 뒤 데이터 유출(Data Breach)의 출발점과 비용 구조가 바뀌었다.
버라이즌(Verizon)의 2026년 데이터 유출 조사 보고서(DBIR)는 3만1천건 이상의 보안 사고와 2만2천건 이상의 확인된 침해 사례를 분석해 소프트웨어 취약점 악용이 침해 시작점의 31%를 차지했다고 밝혔다. 도난당한 자격 증명은 13%였다. 보안의 무게중심이 계정 관리에서 소프트웨어 공급망과 AI 사용 통제로 이동했다는 의미다.
이번 변화의 본질은 보안 부서만의 업무 증가가 아니다. 데이터 보안은 비용 센터가 아니라 매출, 기업가치, 인수합병 실사, 클라우드 계약 조건을 좌우하는 경영 변수로 전환됐다.
IBM의 2026년 데이터 유출 비용(Cost of a Data Breach, CODB) 보고서는 조직의 63%가 AI를 관리하거나 쉐도우 AI(Shadow AI)를 막는 거버넌스 정책을 갖추지 못했다고 집계했다. 승인받지 않은 AI 도구와 관련된 침해는 평균 463만달러 비용을 냈고, 다른 침해보다 약 19만달러 더 많은 손실을 유발했다.
이 수치는 보안 투자가 보험료처럼 사후 비용을 줄이는 장치가 아니라, AI 전환의 속도를 결정하는 사전 인프라라는 점을 드러낸다. 과거 기업 보안의 상식은 훔친 비밀번호와 피싱 메일을 막는 데 집중했다. 자격 증명 탈취는 여전히 위험하다.
그러나 버라이즌 2026년 DBIR에서 취약점 악용이 31%로 최다 침해 시작점에 올랐다는 사실은 공격자의 전략이 달라졌음을 방증한다. 공격자는 AI를 활용해 취약점 탐색과 악용 속도를 끌어올린다. 방어자는 패치 적용, 자산 식별, 취약점 우선순위 결정에 쓸 시간을 잃는다.
이 간극이 커질수록 보안 예산의 효율성은 장비 구매 규모가 아니라 자동 업데이트와 소프트웨어 자산 관리 체계에서 갈린다.
광고
이 변화는 소프트웨어 기업과 클라우드 사업자에 직접적인 시장 압력을 만든다. 고객사는 이제 서비스형 소프트웨어(SaaS) 계약을 검토할 때 기능 목록만 보지 않는다. 취약점 공개 절차, 패치 배포 속도, 다중 인증(MFA) 적용 범위, 침해 대응 계획 테스트 여부를 함께 따진다.
클라우드 환경에서는 공유 책임 모델이 비용 분쟁의 출발점이 된다. 인프라는 사업자가 관리하더라도 데이터 분류, 접근 권한, 외부 AI 도구로의 업로드 통제는 고객사의 몫으로 남는다.
이 경계가 불명확하면 침해 뒤 책임 소재와 복구 비용을 두고 협상이 길어진다. 쉐도우 AI는 이 문제를 한층 복잡하게 만든다. 버라이즌 2026년 보고서는 직원들이 소스 코드와 기술 문서를 외부 AI 플랫폼에 올리는 사례를 언급했다.
이는 단순한 보안 수칙 위반이 아니다. 기업 내부 지식이 외부 서비스의 처리 환경으로 이동하면서 영업비밀, 고객 정보, 제품 로드맵이 통제 밖으로 나갈 수 있다.
IBM 2026년 보고서가 제시한 평균 463만달러 비용은 재무제표에 직접 닿는 숫자다. 특히 스타트업이나 중견 소프트웨어 기업은 한 번의 유출로 고객 신뢰와 후속 투자 협상력을 동시에 잃을 수 있다.
쉐도우 AI가 만든 새 비용 구조
투자 관점에서도 보안 지출의 성격이 바뀐다. 이전에는 보안 예산을 경기 둔화기에 줄일 수 있는 관리비로 보는 시각이 있었다.
AI 확산 이후에는 그 판단이 위험해졌다. 다중 인증(MFA), 자동 업데이트, 백업과 복구 계획, 침해 대응 훈련, 정기 보안 교육은 각각 따로 움직이는 체크리스트가 아니다. 취약점 악용이 늘고 쉐도우 AI가 확산되는 환경에서는 이 요소들이 하나의 운영 체계로 묶여야 한다.
본지 분석에 따르면, 투자자는 기업의 AI 도입 속도만 볼 것이 아니라 데이터 반출 통제와 사고 복구 역량이 그 속도를 감당하는지 확인해야 한다.
광고
개인과 소비자 시장에도 파급이 적지 않다. 데이터 유출 비용이 커지면 기업은 보안 강화 비용을 서비스 가격, 인증 절차, 이용 약관에 반영한다.
사용자는 로그인 단계에서 더 많은 인증을 거치고, 기업은 데이터 수집 범위를 줄이라는 압박을 받는다. 이는 마케팅, 핀테크, 헬스케어, 전자상거래 기업의 데이터 활용 모델을 흔든다.
고객 데이터를 많이 모을수록 AI 모델 개선에는 유리하지만, 침해가 발생했을 때 노출 범위와 규제 리스크가 커진다. 그래서 데이터 최소화는 개인정보 보호 구호가 아니라 손실 규모를 줄이는 재무 전략이 된다. 인도 사례는 사이버 범죄가 특정 국가의 기술 기업만 겪는 문제가 아님을 보여준다.
2026년 상반기 인도에서는 127만건의 사이버 범죄 불만이 접수됐고, 손실액이 101억7897만루피, 약 1억2200만달러에 달했다. 신고 건수 127만건은 개인 피해와 기업 피해가 동시에 늘어나는 시장 환경을 뜻한다.
디지털 결제, 원격근무, 클라우드 협업이 확산된 경제에서는 한 기업의 보안 실패가 고객, 협력사, 금융기관으로 번진다. 한국 기업이 해외 개발센터, 글로벌 고객지원, 외주 소프트웨어를 운영한다면 이 수치를 다른 시장의 통계로만 볼 수 없다. 반론도 있다.
모든 기업이 대형 보안 조직을 둘 수 없고, 자동화 도구와 AI 보안 솔루션을 도입하는 비용이 부담스럽다는 주장이다. 이 지적은 현실적이다.
특히 중소기업은 보안 인력 채용부터 어렵다. 그러나 비용 부담을 이유로 거버넌스를 늦추는 선택은 더 비싼 청구서로 돌아올 가능성이 크다.
IBM 2026년 보고서의 쉐도우 AI 관련 침해 비용 463만달러와 추가 손실 약 19만달러는 사후 복구가 사전 통제보다 저렴하지 않다는 신호다. 전사적 보안 체계를 한 번에 구축하기 어렵다면 최소한 승인된 AI 도구 목록, 민감 데이터 업로드 금지 기준, 자동 패치 정책부터 문서화해야 한다.
광고
보안 투자가 기업 전략이 된 이유
기업 전략 차원에서 보면 7가지 방어 지침은 기술 목록보다 운영 원칙에 가깝다. 다중 인증(MFA)은 계정 탈취의 피해 반경을 줄이고, 자동 업데이트는 취약점 악용의 시간을 좁힌다. 클라우드 공유 책임을 명확히 하면 사고 뒤 계약 분쟁을 줄일 수 있다.
AI를 포함한 데이터 공유 최소화는 유출될 수 있는 데이터의 총량을 낮춘다. 백업과 복구 계획, 침해 대응 테스트, 보안 교육은 사고 발생 이후 영업 중단 시간을 단축한다.
이 일곱 항목을 따로 구매하는 솔루션으로만 이해하면 효과가 약하다. 최고정보보호책임자(CISO), 최고정보책임자(CIO), 최고재무책임자(CFO)가 같은 지표를 보고 투자 우선순위를 정해야 한다. 한국 기업에 남는 질문은 명확하다.
AI 도입을 서두르는 조직이 데이터 흐름을 얼마나 파악하고 있느냐다. 개발자가 코드를 외부 AI 플랫폼에 넣는지, 영업팀이 고객 명단을 문서 요약 도구에 올리는지, 협력사가 어떤 클라우드 저장소에 자료를 두는지 파악하지 못한다면 AI 생산성 향상은 잠재 손실을 키우는 방식으로 작동한다.
본지 분석에 따르면, 보안 투자를 늦춘 기업보다 데이터 이동 경로를 먼저 통제한 기업이 AI 경쟁에서 더 오래 생존할 가능성이 크다. 속도만 앞세운 AI 전환은 시장에서 박수를 받을 수 있지만, 한 번의 유출은 그 속도를 멈춰 세운다. 기업은 지금 AI 활용률을 자랑할 것인가, 아니면 유출 비용을 견딜 수 있는 구조를 먼저 만들 것인가.
※ 이 기사는 IBM 2026년 데이터 유출 비용 보고서(CODB)와 버라이즌 2026년 데이터 유출 조사 보고서(DBIR)를 다룬 Artificial Intelligence in Plain English의 보도를 참조하여 작성하였다. 보고서 원문 발행일 및 기자명은 원천 자료에서 확인되지 않았다.
광고
FAQ
Q. 중소기업은 데이터 보안 7가지 지침 중 무엇부터 시작해야 하나
A. 예산과 인력이 제한된 기업은 다중 인증(MFA), 자동 업데이트, 승인된 AI 도구 목록 작성부터 시작하는 것이 현실적이다. 버라이즌 2026년 DBIR에서 취약점 악용이 침해 시작점의 31%를 차지했기 때문에 패치 지연을 줄이는 조치가 우선순위에 오른다. 쉐도우 AI는 기술 문제와 업무 관행이 혼재한 위험이므로 민감 데이터 업로드 금지 기준을 문서로 남겨야 한다. 이후 백업 복구 테스트와 침해 대응 훈련을 정기 업무에 통합하여 사고 후 영업 중단 시간을 줄이는 방식이 적절하다.
Q. 직원의 외부 AI 도구 사용을 전면 금지하는 전략은 효과적인가
A. 전면 금지는 단기적으로 데이터 반출을 줄일 수 있지만 업무 현장에서 우회 사용을 낳을 가능성이 크다. IBM 2026년 보고서가 지적한 조직의 63% 거버넌스 부재는 금지보다 관리 체계의 공백이 더 큰 문제임을 보여준다. 기업은 승인된 도구와 금지된 데이터 유형을 구분하고, 소스 코드와 기술 문서처럼 민감한 자료의 입력 제한을 명확히 해야 한다. 사용 기록 점검과 보안 교육을 병행해야 정책이 실제 업무에서 작동한다.
Q. 투자자는 기업의 사이버 보안 역량을 어떻게 확인해야 하나
A. 투자자는 보안 솔루션 구매액보다 침해 대응 계획 테스트 여부, 백업 복구 시간, 클라우드 공유 책임 문서화 수준을 확인해야 한다. 버라이즌 2026년 DBIR의 3만1천건 이상 사고 분석은 공격 경로가 계정 탈취에서 취약점 악용과 AI 관련 데이터 노출로 확대됐음을 보여준다. AI 매출 비중이 커지는 기업일수록 쉐도우 AI 통제와 데이터 최소화 정책이 기업가치 평가에 포함돼야 한다. 공식 확인 자료가 부족한 기업에는 보안 감사 결과나 인증 현황을 요구하는 방식이 필요하다.
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
