대구로 해킹, 가맹점 계좌 2만5000개 유출…공공앱 보안의 빈틈

먼저 확인할 핵심 사실

유출 계좌

폐업 가맹점을 포함해 약 2만5000개 계좌번호와 예금주명 [1]

내부 인증정보

직원 약 250명의 내부 시스템 아이디와 비밀번호 [1]

공격 방식당사자 주장

사람이 수행하기 어려운 속도의 반출을 근거로 AI 활용 해킹 가능성이 제기됐으나 최종 확인은 아니다 [1]

정산정보와 내부 계정이 함께 노출됐다

보도에 따르면 침해된 서버에는 가맹점 정산에 쓰이는 계좌번호와 예금주명이 들어 있었다. 폐업한 곳을 포함해 약 2만5000개 계좌가 영향을 받았고, 직원 약 250명이 내부 시스템에 접속할 때 쓰는 아이디와 비밀번호도 유출됐다. 계좌번호만으로 곧바로 인출되는 것은 아니지만 예금주명·사업정보와 결합되면 정산 담당자를 사칭한 피싱과 계정 탈취에 악용될 수 있다.

‘AI 해킹’은 아직 추정이다

데이터가 사람이 직접 처리하기 어려운 속도로 반출됐다는 정황 때문에 AI를 활용한 공격 가능성이 제기됐다. 그러나 자동화 도구를 썼다는 사실과 생성형 AI가 공격을 주도했다는 판단은 다르다. 침입에 이용된 취약점, 공격자가 확보한 권한, 반출 로그와 악성코드 분석이 공개돼야 공격 방식을 확정할 수 있다. 기술 이름보다 실제 통제 실패를 확인하는 편이 재발 방지에 중요하다.

공공 서비스도 같은 보안 기준이 필요하다

공공 배달앱은 소상공인의 수수료 부담을 낮추기 위해 지방자치단체 지원으로 운영된다. 예산과 인력이 작더라도 개인정보·정산정보를 처리하는 책임은 줄어들지 않는다. 외부 보안점검, 다중인증, 최소 권한, 비밀번호 해시와 비밀키 관리, 침해 탐지와 백업 복구 훈련을 계약 단계부터 비용에 포함해야 한다. 운영사가 바뀌어도 로그와 책임이 끊기지 않는 조달 기준도 필요하다.

가맹점이 지금 확인할 것

운영기관은 영향을 받은 가맹점과 직원에게 유출 항목과 시점을 개별 통지하고 기존 비밀번호·접근키를 폐기해야 한다. 가맹점은 정산계좌 변경을 요구하는 전화나 문자, 원격제어 앱 설치 요청을 공식 채널로 다시 확인할 필요가 있다. 계좌 모니터링과 사기 신고 창구, 실제 금전피해가 발생했을 때의 지원 절차도 함께 안내돼야 한다. 단순 사과문만으로는 피해 예방 책임을 다했다고 보기 어렵다.

지금 가능한 결론

이번 사고는 공공앱도 금융정보를 다루는 플랫폼이라는 사실을 보여 줘요. 공격 수법을 성급히 AI로 단정하기보다 유출 범위와 인증정보 폐기, 가맹점 보호 조치를 먼저 공개해야 해요.

이렇게 해석한 근거

보도에서 유출된 계좌·예금주 정보와 내부 접속정보의 규모, 공격 정황이 확인됐다.

아직 남은 부분

운영사·수사기관의 최종 조사 결과와 실제 피싱·금전피해 여부, 정확한 침입 경로는 아직 확인되지 않았다.

원문·자료

1. YTN ↗보도 · 본문 확인