유럽집행위원회 자신이 ShinyHunters의 침해 대상이 되어 클라우드 인프라에서 350GB가 유출되었습니다 — EU 기관들의 NIS2 준수 여부에 불편한 의문을 제기합니다. 영국 직원 데이터 침해는 해커가 아닌 하이브리드 근무 실패로 인해 7년 만에 최고치를 기록했습니다. ICO는 고령층을 노린 약탈적 전화 영업자에게 벌금을 부과했습니다. 한편 AI 무기화 경쟁이 EU AI Act 시행의 시급성을 높이고 있으며, Google의 양자컴퓨팅 돌파구는 DORA가 요구하는 금융 서비스 암호 회복력의 시간표를 앞당기고 있습니다.
유럽집행위원회는 3월 27일, 자사 Europa.eu 플랫폼을 호스팅하는 클라우드 인프라가 해커에게 침해당했다고 확인했습니다 — 최근 몇 년간 EU 기관에 대한 가장 중대한 침해 사고 중 하나로 부상하고 있습니다. 갈취 그룹 ShinyHunters가 범행을 자처하며 민감 데이터 350GB 이상을 유출했다고 주장하고 있습니다.
EU 집행위원회는 NIS2의 설계자입니다 — 유럽 전역의 필수·중요 기관에 강력한 사이버보안 조치 이행, 24시간 이내 사고 보고, 공급망 보안 유지를 요구하는 지침입니다. 이번 침해는 EU 기관들이 회원국과 민간 조직에 부과하는 기준을 스스로 충족하고 있는지에 대한 날카로운 의문을 제기합니다.
| 규제 | 함의 |
|---|---|
| NIS2 | EU 기관은 모범을 보여야 할 위치에 있습니다. 이번 침해는 공급망 보안(AWS 의존성)과 사고 탐지(3일간의 탐지 지연)의 허점을 드러냅니다. |
| GDPR | 직원 개인정보가 침해되었습니다. 고위험으로 판단될 경우 위원회는 제34조에 따라 영향을 받은 개인에게 통지해야 합니다. 데이터 관리자이자 집행 기관이라는 이중적 지위로 인해 그 이미지 손상은 더욱 큽니다. |
| EU 사이버보안법 | ENISA도 영향을 받았을 가능성(미확인 보도에 따르면)이 제기되면서, EU 자체 사이버보안 기관의 회복력에 대한 의문이 제기됩니다. |
위원회는 "내부 시스템"은 영향을 받지 않았으며 침해를 억제하기 위해 "즉각적인 조치"를 취했다고 밝혔습니다. 그러나 보안 분석가들은 유출된 DKIM 키와 SSO 자격 증명이 EU 관료와 회원국 관계자를 노린 스피어피싱 및 신원 사칭 공격의 지속적인 위험을 만든다고 지적합니다.
영국 정보위원회(ICO)에 신고된 직원 데이터 침해 건수가 2025년 3,872건으로 7년 만에 최고치이자 2019년 대비 29% 증가를 기록했습니다 — 법률회사 Nockolds의 분석에 따른 결과입니다. 그러나 그 원인은 놀랍게도 해커가 아니라 하이브리드 근무입니다.
사이버 관련 침해는 오히려 전년 대비 6% 감소 했습니다. 반면 분실된 노트북, 잘못 전송된 이메일, 보안이 미흡한 서류 등 비사이버 사고는 15% 증가 해 2,304건에 달했습니다. 하이브리드 근무로의 전환은 디지털 방어로는 해결할 수 없는 물리적·절차적 취약점을 만들어냈습니다.
GDPR 제5조 1항(f)호 및 제32조에 따라 조직은 개인정보를 보호하기 위해 "적절한 기술적·조직적 조치"를 이행해야 합니다. 비사이버 침해의 급증은 많은 조직이 IT 보안에는 막대한 투자를 하면서도 GDPR이 동등하게 요구하는 물리적·절차적 안전장치는 소홀히 해왔음을 시사합니다.
Nockolds는 정책이 구식이거나 직원 교육이 부실할 경우 직원의 우발적인 실수로 인한 침해조차 법적 책임을 초래할 수 있다고 경고했습니다. 데이터가 침해된 직원은 그로 인해 스트레스나 불안을 겪었다면 소송을 제기할 권리가 있어, 고용주에게 직접적인 재정적 위험을 초래합니다.
컴플라이언스 조치: 조직은 하이브리드 근무 형태를 명시적으로 반영하도록 GDPR 개인정보 영향평가(DPIA)를 갱신해야 합니다. 물리적 보안 정책, 클린데스크 요건, 이동 중 암호화는 방화벽 및 엔드포인트 탐지와 동일한 수준의 투자가 필요합니다.
ICO는 버밍엄에 본사를 둔 경보 업체 TMAC에 10만 파운드의 벌금을 부과했습니다. 이 업체는 전화수신거부서비스(TPS)에 등록된 번호로 26만 건 이상의 스팸 마케팅 전화를 걸었습니다. 이 전화는 60세 이상 개인을 기만적인 수법으로 의도적으로 노렸습니다.
ICO는 2025년 한 해 동안 스팸 전화 발신자에게 거의 100만 파운드에 달하는 벌금을 부과했습니다. 지난해 최악의 위반자였던 Green Spark Energy는 자동화된 전화 약 1,000만 건을 고령층에게 걸어 처벌받았습니다. 규제 당국이 데이터 오남용으로부터 취약 계층을 보호하는 데 점점 더 집중하고 있음이 분명합니다.
GDPR·PECR의 교차점: PECR은 전자 마케팅을 규율하지만, GDPR은 그 기저의 개인정보 처리에 적용됩니다. 마케팅 리스트를 취득하는 조직은 GDPR 제6조에 따른 적법한 처리 근거를 확인해야 하며, 이전 업체로부터 취득한 데이터는 새로운 동의 평가가 필요합니다. 이번 10만 파운드 PECR 벌금은 빙산의 일각일 수 있습니다 — 불법적인 데이터 처리에 대한 GDPR 벌금은 최대 2,000만 유로 또는 전 세계 매출의 4%에 달하는 훨씬 더 높은 상한을 두고 있습니다.
사이버보안 환경은 AI 기반 공격의 전례 없는 가속화를 목격하고 있습니다. 국가 배후 세력부터 범죄 조직까지, 위협 행위자들은 킬체인 전체를 자동화하여 취약점 발견, 악용, 횡적 이동을 몇 주에서 몇 시간으로 단축시키고 있습니다.
사회적 점수화 및 실시간 생체 감시를 포함한 용납할 수 없는 위험 AI 시스템에 대한 EU AI Act의 금지 조항은 2025년 2월에 발효되었습니다. 그러나 투명성 요건, 고위험 시스템 적합성 평가, 범용 AI 모델 거버넌스 등 이 법의 더 광범위한 의무는 2026년 8월까지 전면 적용되지 않습니다. AI 위협의 가속화와 규제 집행 사이의 간극이 벌어지고 있습니다.
| EU AI Act 요건 | 방어 적용 방안 |
|---|---|
| 위험 분류 | 환경 내 AI 도구를 분류하세요. 규제 당국이 묻기 전에 어떤 도구가 고위험인지 파악하세요. |
| 투명성 의무 | 보안 운영에서의 AI 사용을 문서화하세요. AI가 생성한 위협 인텔리전스는 반드시 표시되어야 합니다. |
| 범용 AI 거버넌스 | SOC 도구에 통합된 LLM을 감사해 데이터 유출, 프롬프트 인젝션, 환각 위험을 점검하세요. |
| 인간의 감독 | AI 기반 대응 조치에는 인간이 개입하는 체계를 유지하세요. 완전 자율적인 SOC 판단은 법적 책임을 수반합니다. |
조직은 2026년 8월 시행을 기다려서는 안 됩니다. AI 기반 공격과 임박한 규제가 맞물리면서 컴플라이언스 준비와 방어적 AI 도입이 동시에 이루어져야 합니다.
Google 연구진은 비트코인·이더리움 암호화 해독에 필요한 양자컴퓨팅 큐비트 수가 기존 추정치보다 20배 적다는 연구 결과를 발표했습니다. 현재 암호화를 해독할 수 있는 양자컴퓨터가 등장하는 시점인 "Q-Day"는 여전히 몇 년 남았을 수 있지만, 그 시간표는 앞당겨지고 있습니다. 일부 전망은 그 시점을 이르면 2029년으로 보고 있습니다.
2025년 1월부터 전면 적용된 디지털운영회복력법(DORA)은 금융기관에게 암호 통제를 포함한 포괄적인 ICT 위험관리 체계를 유지하도록 요구합니다. 제9조는 데이터의 기밀성과 무결성을 보장하는 "암호화 및 암호 통제" 정책을 구체적으로 의무화하고 있습니다.
거래 서명, 키 교환, 고객 인증에 타원곡선암호(ECC)를 의존하는 금융기관은 양자내성 전환을 시작할 시간이 점점 줄어들고 있습니다. DORA의 지속적인 ICT 위험 평가 요건에 따라 양자컴퓨팅 위험은 이제 이론적인 미래 위협이 아니라 정량화 가능하고 시한이 정해진 위험으로서 위험 관리대장에 반드시 반영되어야 합니다.