AI 시대의 보안 대책｜개인도 오늘부터 할 수 있는 7가지 방어법

「AI가 보급되면서 보안이 훨씬 더 어려워진 것 같다」

그 감각은 어떤 의미에서는 맞고, 어떤 의미에서는 틀립니다.

공격의 형태는 확실히 변했습니다. 하지만 개인이 지켜야 할 핵심은 사실 그리 변하지 않았습니다. AI로 강화된 공격에 대해서도 기본적인 습관을 업데이트하는 것만으로 상당한 피해를 방지할 수 있습니다.

보안 엔지니어로서 오늘부터 할 수 있는 7가지 방어법을 정리했습니다.

AI 시대의 보안, 무엇이 변하고 무엇이 변하지 않는가

CISA(미국 사이버 보안 및 인프라 보안국)는 개인을 위한 기본 행동으로 「피싱 인식, 강력한 비밀번호, MFA, 소프트웨어 업데이트」 4가지를 정리하고 있습니다.

이것은 변하지 않았습니다. AI 시대에도 첫 번째 방어법은 이 4가지입니다.

변한 것은 공격의 질입니다. IPA 「정보 보안 10대 위협 2026」에서는 조직을 대상으로 「AI 이용을 둘러싼 사이버 리스크」가 처음으로 순위에 올랐습니다. 개인 피해의 입구는 동일한 부정 로그인·피싱·사기일지라도, 식별하기 어려워진 정도와 양이 늘어났습니다.

「간파하는 능력을 기르는 것」보다 「피해를 입기 어려운 구조를 만드는 것」 방향으로 생각하는 것이 재현성 높은 대책입니다.

방어법 ① 비밀번호 관리자와 MFA로 계정을 보호하기

가장 먼저 해야 할 일은 계정 보호입니다.

**비밀번호 관리자 (Password Manager)**를 사용하면 서비스마다 다른 강력한 비밀번호를 자동으로 관리할 수 있습니다. 또한, 등록된 도메인에만 자동 입력하기 때문에 가짜 사이트로 유도되는 것을 감지하는 부수적인 효과가 있습니다.

MFA (다요소 인증)는 비밀번호가 유출되어도 부정 로그인을 방지하는 두 번째 열쇠입니다. 중요한 계정(은행, 메일, SNS, 클라우드 서비스)부터 순서대로 활성화하십시오. 가능하다면 SMS보다 인증 앱, 나아가 패스키 (Passkeys)로 이행하는 것이 안전합니다.

비밀번호 관리자를 도입하는 것만으로도 계정 침해 리스크는 대폭 낮아집니다.

방어법 ② 피싱은 「밟지 않는 동선」으로 회피하기

AI가 생성한 피싱 메일은 일본어(또는 해당 언어)의 부자연스러움이나 조잡한 로고로 간파하기 어려워지고 있습니다. 「간파하는 것」보다 「밟지 않는 구조」를 만드는 것이 확실합니다.

해야 할 일 3가지:

은행·카드·메일·SNS의 URL은 북마크나 공식 앱을 통해 접속한다. 메일의 링크를 통해서는 접속하지 않기로 결정한다.
비밀번호 관리자를 사용하고 있다면, 가짜 사이트에서는 자동 입력이 반응하지 않습니다. 이것도 피싱 감지로서 기능합니다.
「기억에 없는 비밀번호 재설정」「계정 정지 경고」가 오면, 링크를 밟지 말고 북마크를 통해 직접 확인한다. 진짜 문제라면 로그인 후에 알림이 뜹니다.

방어법 ③ AI 음성·사칭에는 사전 절차로 대응하기

짧은 음성 클립으로 음성 클론을 만드는 기술은 이제 전문가만의 영역이 아닙니다. 목소리만으로는 본인 확인의 근거가 약해지고 있습니다.

FTC(미국 연방거래위원회)는 AI 음성 클론을 이용한 가족 긴급 사기에 대해 주의를 당부하고 있습니다.

대책은 전화를 받고 나서 판단하는 것이 아니라, 사전에 절차를 정해두는 것입니다.

가족이나 친한 사람과 「긴급 시의 암호」를 정해둔다. SNS나 공개 정보에서 추측할 수 없는 것으로 정한다. 전화로 돈이나 개인정보를 요구받으면 일단 끊고, 등록된 번호로 직접 다시 건다. 「급하다」「다른 앱으로 이동해라」라는 요구는 위험 신호로 취급한다.

방어법 ④ AI에 넣어도 되는 정보와 넣어서는 안 되는 정보를 구분하기

AI는 편리한 상담 상대이지만, 입력한 내용은 대화 이력·공유 링크·외부 연동 도구를 통해 남을 가능성이 있습니다.

절대 넣지 말아야 할 것: 비밀번호·API 키·인증 토큰, 본인 확인 서류, 미공개 업무 정보, 고객·거래처의 개인정보, 계좌 번호·인증 코드.

주의가 필요한 것: 성명·주소·전화번호는 「A씨」「○○사」와 같이 익명화한 후 입력한다. 메일이나 문서를 교정받을 때는 개인명이나 조직명을 숨긴 후 붙여넣는다.

지금 바로 할 수 있는 것: 사용 중인 AI 서비스의 「대화 이력 저장 설정」「학습 이용 설정」을 확인하고, 필요에 따라 변경한다.

방어법 ⑤ AI 에이전트는 최소 권한으로 실행하기

Claude Code와 같은 코딩 에이전트나, MCP를 사용한 AI 자동화 도구는 파일 조작·쉘 실행·외부 API 액세스가 가능합니다.

처음부터 모든 권한을 활성화하기보다, 「읽기 전용으로 시작하여 필요한 것을 추가하는」 접근 방식이 안전합니다.

외부의 웹 페이지(Web page), PDF, 이메일을 AI에게 읽게 할 때는 쓰기·전송·삭제 권한을 차단한 뒤에 전달하십시오. 사용하지 않는 MCP 서버, 브라우저 확장 프로그램(Browser extension), VS Code 확장 프로그램은 비활성화하십시오. CLAUDE.md와 같은 설정 파일은 코드와 마찬가지로 diff(차이점)를 확인한 후 수락하십시오.

방어법 ⑥ OS·브라우저·앱의 자동 업데이트를 활성화하기

취약점(Vulnerability)의 상당수는 이미 알려진 문제에 대한 패치(Patch)가 존재함에도 불구하고 업데이트가 지연되고 있는 시스템을 노립니다.

CISA(미국 사이버보안 및 인프라 보안국)는 소프트웨어 업데이트를 기본 행동 중 하나로 명확히 규정하고 있습니다. 자동 업데이트를 활성화하는 것만으로도 알려진 취약점을 이용한 공격의 대부분을 방어할 수 있습니다.

확인 대상: OS(macOS, Windows, iOS, Android), 브라우저, 주요 앱, 스마트폰. 만약 '나중에 하기'를 계속 선택하고 있는 업데이트 알림이 있다면, 오늘 중으로 적용하십시오.

방어법 ⑦ 사용하지 않는 연동·확장·API 키를 정기적으로 정리하기

시간이 지나면 설정했던 기억이 없는 서비스 연동이나 사용하지 않는 브라우저 확장 프로그램이 쌓이게 됩니다. 이것들은 의도치 않게 권한을 계속 보유한 상태로 남게 됩니다.

반년에 한 번씩 다음과 같은 사항을 확인하는 습관을 들이면 안전합니다.

Google 계정, GitHub 등의 서비스에서 연동된 앱 목록을 확인하십시오. 사용하지 않는 것은 액세스 권한을 취소하십시오. AI 서비스의 API 키는 사용 중인 프로젝트별로 분리하고, 불필요해지면 무효화하십시오. 브라우저 확장 프로그램은 '사용 중인 것'과 '설치만 해둔 것'을 구분하여 정리하십시오.

오늘부터 시작하는 7가지 체크리스트

패스워드 매니저(Password manager) 도입하기 (은행·신용카드·이메일·SNS부터)
중요 계정의 MFA(다요소 인증) 활성화하기 (가능하다면 패스키(Passkey)로)
중요 서비스의 URL을 북마크에 등록하고, 링크를 통해서는 접속하지 않기로 결정하기
가족과 '비상시 암호' 정하기
사용 중인 AI 서비스의 대화 기록 및 학습 이용 설정 확인하기
OS·브라우저·스마트폰의 자동 업데이트 확인 및 활성화하기
사용하지 않는 서비스 연동·확장·API 키를 하나 정리하기

7가지를 오늘 모두 할 필요는 없습니다. 하나씩만 해도 충분합니다. '오늘 이것만큼은 했다'라는 축적이 가장 지속 가능한 방어책이 됩니다.

요약

핵심 포인트