[뉴스] 그거 좀 보내…연 10만번 노린 대학, 카톡방 열어보니

AI·반도체·배터리처럼 국가 경쟁력과 직결된 기술이 탄생하는 대학 연구실. 하지만 정작 연구자료가 오가는 곳은 정교한 보안 시스템이 아니라 카카오톡 대화방, 개인 노트북, 외부 클라우드인 경우가 많았습니다. “그거 좀 보내”라는 짧은 말 한마디가 핵심 기술자료의 이동을 시작하는 셈입니다.

한국교육학술정보원(KERIS)에 따르면 올해 상반기 대학을 대상으로 한 사이버 침해 탐지·대응 건수는 5만5226건에 달했습니다. 이 같은 추세가 이어지면 연간 침해 건수는 10만 건을 넘어설 전망입니다. 2021년 3만9865건이었던 것과 비교하면 불과 4년 만에 두 배 이상 증가한 수치입니다.

문제는 외부 해킹만이 아닙니다. 연구실 구성원들이 업무 편의를 이유로 연구자료를 개인 메신저로 공유하고, 연구실 저장공간을 개인 계정과 연결해 사용하는 관행도 위험을 키우고 있습니다. 개인 노트북이나 태블릿을 별다른 제한 없이 연구실 전산망에 연결하는 사례도 적지 않습니다.

실제로 한 국립대 공대 박사과정생은 산학협력 과제 자료를 연구실 구성원들과 카카오톡으로 주고받았다고 밝혔습니다. 자료를 누가 열람했는지, 언제 내려받았는지, 외부로 재전송됐는지 추적하기 어려운 방식입니다. 보안서약서를 작성하더라도 자료의 이동 경로를 실시간으로 관리하지 못하면 서약은 사실상 사후 책임을 묻는 수단에 그칠 수 있습니다.

해킹 사고도 반복되고 있습니다. 경기대 인공지능컴퓨터공학부 데이터마이닝연구소에서는 올해 6월 인터넷 서버가 해킹돼 내부 파일이 유출됐습니다. 앞서 2023년에는 화학과 양자화학 실험실 서버의 설정 파일이 외부로 빠져나갔습니다. 한 연구실의 취약한 서버가 뚫리면 대학 전산망뿐 아니라 산학협력 기업과 공동 연구기관까지 연쇄적으로 노출될 가능성이 있습니다.

내부자에 의한 대량 반출은 더 현실적인 위협입니다. 2024년 KAIST 인공위성연구소에서는 퇴직 예정 연구원이 업무용 서버에서 개인 컴퓨터와 이동식 저장장치로 2만5000여 건의 자료를 내려받았습니다. 문서 암호화 체계가 있었지만, 실무 담당자가 별도 승인 없이 암호를 해제할 수 있었던 허점이 문제였습니다.

여기에 생성형 AI까지 새로운 유출 통로로 떠오르고 있습니다. 대학원생들은 논문 작성, 코드 수정, 실험 설계 등을 위해 AI 서비스를 활용하지만, 어떤 연구자료를 외부 서비스에 입력해도 되는지 명확히 정한 대학은 많지 않습니다. 개인 계정으로 입력한 자료를 대학이 확인하거나 회수하기도 어렵습니다.

대학 연구실이 노리는 공격의 대상이 된 이유는 분명합니다. 외부에 공개된 웹서비스가 많고, 연구자와 학생, 기업 관계자가 다양한 방식으로 네트워크에 접속합니다. 반면 연구보안을 전담하는 조직을 갖춘 대학은 36.1%에 불과합니다. 최첨단 기술을 다루는 공간이 오히려 관리 체계에서는 가장 취약한 고리가 된 것입니다.

결국 핵심은 해커를 막는 기술만이 아닙니다. 카카오톡으로 자료를 보내는 순간부터 개인 기기에 저장하고 생성형 AI에 입력하는 과정까지, 연구자료의 전체 이동 경로를 관리해야 합니다. 대학 연구실의 보안은 거창한 시스템보다 “그거 좀 보내”라는 익숙한 요청을 어디까지 통제할 수 있느냐에서 시작됩니다.

가장 약한 고리는 사람과 사각지대였다 — ‘그거 좀 보내…연 10만번 노린 대학, 카톡방 열어보니’의 경고

서버를 뚫지 않아도 연구자료를 가져갈 방법은 너무 많았습니다. 카카오톡 대화방에 파일을 올리고, 연구실 저장공간을 개인 계정과 연결하고, 개인 노트북이나 태블릿으로 대학 전산망에 접속하는 방식이 일상처럼 굳어져 있었기 때문입니다.

문제는 편리함을 위한 선택이 보안 절차를 우회하는 통로가 된다는 점입니다. 누가 자료를 열람했는지, 어디로 내려받았는지, 퇴직이나 졸업 뒤에도 접근 권한이 남아 있는지를 연구실마다 체계적으로 관리하기 어려운 실정입니다. 보안서약서만으로는 자료의 이동 경로를 통제할 수 없습니다.

승인 없이 풀린 암호화, 내부자 위험을 드러내다

2024년 KAIST 인공위성연구소에서는 퇴직 예정 연구원이 업무용 서버에서 개인 컴퓨터와 이동식 저장장치로 자료 2만5000여 건을 내려받았습니다. 문서 암호화 체계가 마련돼 있었지만, 실무 담당자가 보안 책임자의 승인 없이 암호를 해제할 수 있었습니다.

이 사례는 보안 기술이 있어도 권한 관리가 허술하면 무력화될 수 있다는 사실을 보여줍니다. 외부 해커의 침입만 막는 데 집중할 것이 아니라, 내부 구성원의 접근 권한과 대량 다운로드를 실시간으로 감시하는 체계가 필요합니다.

생성형 AI라는 새로운 유출 통로

생성형 AI도 연구자료가 빠져나갈 수 있는 사각지대로 떠올랐습니다. 대학원생들은 논문 작성, 코드 수정, 실험 설계 등을 위해 생성형 AI를 활용하지만, 어떤 자료를 외부 서비스에 입력해도 되는지 명확히 정한 대학은 많지 않습니다.

개인 계정으로 연구자료를 입력하면 대학이 이를 확인하거나 회수하기도 어렵습니다. 연구 데이터와 소스코드, 산학협력 과제의 기밀 내용이 편의를 위해 외부 서비스로 전송될 가능성이 있는 셈입니다.

전담조직 부족이 사각지대를 키운다

이 같은 위험이 반복되는 배경에는 연구보안 전담조직의 부족도 자리 잡고 있습니다. 2023년 조사에서 전담조직을 갖췄다고 답한 대학은 36.1%에 불과했습니다. 전담조직이 있더라도 산학협력단 등이 보안 업무를 겸하는 경우가 많아 전문적인 예방과 사고 조사가 쉽지 않습니다.

‘그거 좀 보내…연 10만번 노린 대학, 카톡방 열어보니’라는 상황은 단순히 해킹 기술의 문제가 아닙니다. 연구자료를 쉽게 보내고, 개인 기기에 저장하고, 별다른 경고 없이 AI에 입력할 수 있는 환경 자체가 위험을 키우고 있습니다. 첨단기술의 최전선인 대학이 보안의 마지막 약고리가 되지 않으려면 기술 투자와 함께 사람의 행동, 권한, 업무 관행을 관리하는 체계부터 다시 세워야 합니다.

Reference

한국경제: https://www.hankyung.com/article/2026080692361