SaaS 유출에 대비해 기업은 데이터 통제권을 되찾아야 한다

인터넷 애플리케이션과 운영의 보안은 애초에 어느 정도 환상에 가까웠다. 현실에서 클라우드나 서비스형 소프트웨어(SaaS) 플랫폼을 해킹으로부터 완전히 보호할 방법은 없다.

휴가용 숙소 예약 관리 서비스인 Avantio는 2026년 10월, 예약 데이터에 영향을 준 무단 제3자 활동을 공개했다. 유출됐을 가능성이 있는 정보에는 투숙객의 이름, 이메일 주소, 전화번호, 숙소 주소, 예약 번호와 숙박 날짜가 포함됐다. 얼마 지나지 않아 실제 정보가 담긴 정교한 피싱 이메일이 나타났다. 이메일은 기존 예약의 보증금을 내라며 카드 정보를 요구했다. 맞춤형 피싱을 받은 사람에게는 모든 과정이 일상적이고 합법적인 것처럼 보인다. 대규모 언어 모델(LLM)을 활용한 해킹과 피싱이 결합해 새로운 사기 수법이 등장하는 시대의 시작처럼 보인다.

이 과정에서 실제 피해자인 여행객은 침해가 발생한 것으로 보이는 채널 관리자와 멀리 떨어져 있다. 중간에 있는 휴가용 숙소 업체들도 자신들이 이용하는 제3자 서비스를 통해 데이터가 유출된 것이므로 직접 책임이 있다고 보기 어렵다. 그렇다면 침해가 발생했을 때 노출을 최소화하려면 조직은 데이터를 어떻게 다뤄야 할까?

사용자가 시스템의 데이터에 접근할 수 있도록 데이터 흐름이 설계돼 있다면, 언젠가는 그 통로가 악용될 수 있다. LLM은 그런 진입 경로를 대규모로 찾는 데 적합한 도구다. 하나의 서비스에 데이터가 많이 모일수록 공격 대상이 될 매력도 커진다. 여러 숙소 업체의 데이터를 한 채널 관리자가 보유하면 한 번의 침해로 모든 업체가 노출될 수 있다.

기업이 대부분의 업무를 클라우드로 옮기는 데 거의 20년이 걸렸다. 따라서 하룻밤 사이에 온프레미스로 돌아가리라고 기대하기는 어렵다. 하지만 조직마다 자체 데이터와 접근 통제 체계를 갖췄던 과거의 방식으로 돌아갈 준비를 시작할 때가 된 듯하다. 자체 호스팅이 저절로 더 안전해지는 것은 아니다. 패치와 모니터링을 다시 사내에서 맡아야 한다. 다만 통제권을 되찾고, 거대한 데이터 풀의 일부가 아니라 해커의 관심을 덜 끄는 작은 표적이 될 수 있다.

우선 다음과 같이 시작할 수 있다.

• 클라우드에 보관하는 데이터의 양을 줄여 침해 피해를 최소화한다. 예를 들어 고객 데이터 전체를 온라인에 두는 CRM을 운영한다면, 현재 업무에 필요한 정보만 접근 가능하게 하고 나머지는 인터넷에서 폭넓게 접근할 수 없도록 보관하는 방안을 검토할 수 있다.
• 자체 호스팅 대안으로 바꿀 수 있는 SaaS 도구를 찾아 회사 내부로 옮긴다.
• 온라인 서비스 침해가 이제는 관심과 시간의 문제에 불과해 보이는 시대에 들어선 만큼, 가능한 한 새로운 SaaS 의존성을 만들지 않는다.

운영 주권을 되찾자는 생각은 부담스럽게 들릴 수 있다. 하지만 인터넷 초창기에는 이미 그런 방식으로 운영한 경험이 있다. 자체 애플리케이션을 자체 통제 체계 안에 두고, 보안과 모니터링을 갖춘 새로운 온프레미스 모델이 앞으로 나아갈 방향이다.