내 은행이 방화벽과 침입탐지 시스템을 잘 갖췄다고 해도, 직원이 업무를 빨리 처리하려고 고객 정보를 AI 앱에 붙여 넣는다면 그 보호막은 어디까지 유효할까요?
최근 Community Bank가 고객 데이터를 AI 앱과 공유한 뒤 보안상 문제가 있었다고 공개한 사례는 바로 이 질문을 던집니다. TechCrunch는 이 일을 "고객 데이터가 AI 앱과 공유된 뒤 드러난 보안 실수"로 보도했습니다.1 확인된 핵심은 전통적인 해킹 침입보다, 내부 업무 과정에서 민감정보가 외부 AI 도구로 흘러나갔을 가능성입니다.
해킹당한 것이 아니라 '내보낸' 데이터일 수 있다
기존 데이터 유출은 보통 공격자가 시스템에 침입해 정보를 훔치는 그림으로 이해됩니다. 그래서 대응도 "비밀번호를 바꾸고, 계정을 모니터링하고, 피싱을 조심하라"는 식으로 정리됩니다.
AI 앱을 통한 유출은 결이 다릅니다. 데이터가 도난당한 것이 아니라, 직원이나 협력사가 편의상 외부 도구에 입력했을 수 있습니다. 예컨대 대출 서류 요약, 고객 문의 분류, 내부 보고서 작성 같은 업무에서 이름, 주소, 계좌 관련 정보, 사회보장번호가 포함된 텍스트가 그대로 들어갈 수 있습니다.
여기서 중요한 실무적 차이는 "데이터가 어디에 남았는지"입니다. AI 서비스가 입력 데이터를 저장했는지, 모델 학습에 썼는지, 로그에 남겼는지, 하위 처리업체가 접근했는지에 따라 위험은 달라집니다. 따라서 고객 입장에서는 단순히 "해킹인가 아닌가"보다 "내 정보가 은행의 통제 밖으로 나갔는가"를 물어야 합니다.
지금 은행에 물어봐야 할 질문들
은행이 "조치를 완료했다"고 말해도 충분하지 않습니다. AI 관련 유출은 기술 문제이면서 동시에 정책, 교육, vendor 관리 문제입니다. 다음 질문에 답하지 못한다면 같은 일이 반복될 가능성이 있습니다.
직원이 승인되지 않은 AI 도구에 고객 데이터를 입력하는 것을 금지하고 있는가?
업무용 AI 도구가 있다면, 입력 데이터 저장·학습 사용·보관 기간은 어떻게 제한되는가?
고객의 사회보장번호, 계좌번호, 세금정보 같은 고위험 데이터는 자동으로 마스킹되는가?
사고 이후 어떤 데이터가, 누구의 정보가, 어느 기간 동안 노출됐는지 확인했는가?
외부 AI 업체와의 계약에 데이터 삭제, 감사권, 하위 처리업체 제한이 포함돼 있는가?
향후 같은 실수를 막기 위해 직원 교육 외에 기술적 차단 장치를 도입했는가?
이 질문들은 고객센터용 문답이 아니라 신뢰를 가르는 기준입니다. 특히 "직원에게 주의시켰다"는 답변만으로는 약합니다. 좋은 통제는 사람의 선의에만 기대지 않고, 민감정보가 외부 앱으로 복사되는 경로 자체를 줄입니다.
SSN이 노출됐을 수 있다면 통지를 기다리지 말아야 한다
만약 사회보장번호가 포함됐을 가능성이 있다면 우선순위가 달라집니다. 카드번호 유출은 카드 재발급으로 상당 부분 막을 수 있지만, SSN은 장기간 신원도용에 쓰일 수 있습니다.
가장 먼저 고려할 조치는 신용 동결입니다. 미국 FTC는 신용 동결과 사기 경보가 신원도용 피해를 줄이는 주요 수단이라고 안내합니다.2 신용 동결은 새 신용계좌 개설을 어렵게 만들어, 누군가 내 이름으로 대출이나 카드를 여는 위험을 낮춥니다.
다음으로 IRS의 Identity Protection PIN도 검토할 만합니다. IRS는 IP PIN을 세금 신고 사기를 막기 위한 6자리 번호로 설명하며, 발급받으면 해당 번호 없이는 연방 세금 신고가 더 어렵습니다.3
현실적인 순서는 이렇습니다. 신용 동결, 은행·카드 거래내역 점검, 비밀번호와 MFA 재설정, 세금 관련 계정 확인, 의심 거래 발견 시 IdentityTheft.gov 신고. 모든 조치를 한 번에 완벽히 하려 하기보다, SSN 노출에 직접 대응하는 조치부터 처리하는 편이 낫습니다.
은행을 바꿔야 할까? 기준은 사고보다 '사후 설명'이다
한 번의 사고만으로 은행을 즉시 바꾸는 것은 늘 최선은 아닙니다. 작은 은행은 대형 은행보다 디지털 통제가 약할 수 있지만, 고객 대응이 빠르고 책임 소재가 분명한 경우도 있습니다. 반대로 큰 은행이라고 AI 사용 통제가 자동으로 성숙하다고 보장할 수도 없습니다.
판단 기준은 네 가지입니다. 얼마나 빨리 알렸는가. 무엇이 노출됐는지 구체적으로 설명했는가. 고객 보호 조치를 제공했는가. 그리고 "앞으로 무엇을 바꿨는가"를 기술적으로 설명할 수 있는가.
이번 사례가 남기는 교훈은 분명합니다. 은행 보안의 다음 위험은 꼭 해커의 침입에서만 오지 않습니다. 업무 효율을 높이려는 AI 사용이 고객 데이터의 새 출구가 될 수 있습니다. 고객, 자영업자, 소규모 법인이라면 이제 은행을 고를 때 금리와 수수료뿐 아니라 "AI 도구에 내 데이터를 어떻게 못 들어가게 막는가"도 물어야 합니다.
참고
1US bank discloses security lapse after sharing customer data with AI app
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.