핵심 요약
AI 요약
기사 목차 펼치기 / 접기
미국을 비롯한 세계 법률업계에서 사이버 공격이 급증하고 있다. 해커들은 인공지능(AI)을 활용해 공격을 자동화하고 로펌의 정보기술(IT) 담당자를 사칭하거나 내부 시스템 접근 권한을 탈취하는 수법까지 동원하고 있다. 의뢰인의 법률 자문 기록과 소송 전략, 기업 인수합병(M&A) 정보가 주요 표적이다.
미국 사이버보안 기업 크라우드스트라이크(CrowdStrike)가 10월 28일 발표한 2026년 법률업계 사이버 위협 보고서에 따르면 법률기관을 겨냥한 사이버 침입 공격은 2023년과 비교해 2026년 거의 두 배로 증가했다.
2025년 9월부터 2026년 8월까지 1년 동안 해커들이 탈취한 정보를 공개하는 유출 사이트에 이름이 오른 법률기관은 455곳이었다. 전년 동기보다 39% 증가한 수치다. 다만 이 숫자는 유출 사이트에 이름이 공개된 기관 수로, 실제 침해가 확인된 로펌 전체의 수를 뜻하지는 않는다.
로이터는 10월 28일 “법률업계를 겨냥한 사이버 공격이 급증하는 가운데 AI 기술의 발전이 해커들의 공격 능력을 높이고 있으며, 범죄조직뿐 아니라 국가와 연계된 해킹 세력도 법률기관을 표적으로 삼고 있다”고 보도했다.
로펌 직원으로 위장해 내부 침투…4분 만에 기밀 탈취 시도
크라우드스트라이크가 추적한 법률업계 악성 활동 가운데 82%는 금전적 이익을 목적으로 한 공격이었다. 특히 채티 스파이더(Chatty Spider)라는 해킹 조직의 법률기관 대상 활동은 전년 대비 129% 증가했다.
공격 방식도 달라졌다. 이메일로 악성코드를 보내거나 가짜 로그인 화면을 만드는 데 그치지 않고 실제 사람을 동원해 로펌 내부에 접근하는 사례가 확인됐다.
크라우드스트라이크의 공식 발표에 따르면 채티 스파이더는 한 공격에서 IT 담당자로 위장할 사람을 모집해 로펌에 물리적으로 침투시키고 원격 접속 경로를 확보하려 했다.
다른 공격에서는 시스템에 최초로 접근한 지 불과 4분 만에 민감한 데이터를 외부로 빼내려는 시도가 포착됐다.
해커들은 로펌 직원이 사용하는 소프트웨어 서비스(SaaS)의 계정과 접근 권한도 노린 것으로 확인됐다. 스나키 스파이더(Snarky Spider)와 코디얼 스파이더(Cordial Spider) 등은 정상 사용자의 신원을 악용해 데이터를 탈취하거나 금전을 요구하는 공격을 벌였다.
로펌이 보유한 정보는 일반 기업의 고객정보와 성격이 다르다. 소송 대응 전략, 기업의 미공개 거래, 지식재산권, 정부 관련 업무, 의뢰인과 변호사 사이의 비밀 의사소통까지 포함한다.
이 때문에 해킹 피해가 로펌 자체에 그치지 않고 법률서비스를 이용하는 기업과 정부기관으로 확대될 수 있다는 것이 크라우드스트라이크의 분석이다.
AI가 공격 속도 높여…국가 연계 해킹 조직도 가세
생성형 AI와 자율형 AI 에이전트(Agentic AI)의 발전도 새로운 위험 요인으로 지목됐다.
AI는 피싱 메시지 작성과 표적 정보 수집, 취약점 분석, 공격 과정의 자동화에 활용될 수 있다. 자율형 AI 에이전트는 여러 작업을 연속적으로 수행할 수 있어 공격에 필요한 시간과 인력을 줄이는 데 이용될 가능성이 있다.
다만 크라우드스트라이크가 집계한 모든 공격이 AI를 이용해 발생한 것은 아니다. 보고서가 확인한 것은 법률업계에 대한 침입 증가이며, AI는 공격 효율을 높이는 위험 요인으로 평가됐다.
크라우드스트라이크는 금전 목적의 사이버 범죄와 별도로 국가 연계 조직의 정보 수집 활동도 분석했다. 특히 중국과 연계된 해킹 조직이 법률기관이 보유한 전략적 정보에 접근하려는 위협을 제기한다고 평가했다.
법률기관의 사건 관리·업무시간 기록·청구 시스템 역시 공격 대상에 포함됐다. 이는 해커들이 법률문서뿐 아니라 로펌 운영에 필수적인 소프트웨어의 취약점까지 노리고 있다는 점에서 중요하다.
미 FBI도 로펌 공격 경고…보안 자신감과 실제 피해는 별개
미국 연방수사국(FBI)은 이미 로펌에 대한 신원 사칭 공격을 경고한 바 있다.
FBI는 2025년 5월 23일 발표한 법률사무소 대상 사이버 공격 경보에서 사일런트 랜섬 그룹(Silent Ransom Group)이 IT 지원 직원을 사칭해 로펌에 직접 방문한 뒤 컴퓨터에 저장장치를 연결해 정보를 탈취하는 수법을 사용한다고 밝혔다.
이 조직은 채티 스파이더라는 이름으로도 추적되고 있다. FBI는 공격자들이 정상적인 원격 접속 프로그램을 악용하기 때문에 기존 백신 프로그램만으로는 침입을 발견하기 어려울 수 있다고 경고했다.
다만 로펌 경영진의 보안 자신감과 실제 피해 발생률 사이에는 차이가 나타났다.
법률업계 IT 서비스 기업 타부시 그룹(Tabush Group)이 230명 이상의 로펌 경영진을 대상으로 실시한 2026년 로펌 기술 활용 조사에서는 응답자의 91%가 자체 사이버보안 체계에 자신감을 나타냈다. 그러나 데이터 침해·유출을 경험했다고 응답한 비율은 2025년 6%에서 2026년 13%로 증가했다.
이는 크라우드스트라이크의 공격 관측 통계와는 별도로 실시한 설문조사다. 두 조사 모두 법률업계의 사이버보안 위험을 다루지만 조사 대상과 측정 방식은 다르다.
위험관리 전문기업 에이온(Aon)도 10월 발표한 법률업계 사이버 위협 분석에서 로펌을 대상으로 한 공격이 기술적 취약점뿐 아니라 직원 간 신뢰와 정상적인 업무 절차를 악용하는 방향으로 확대되고 있다고 분석했다.
크라우드스트라이크는 법률기관에 다중요소 인증(MFA) 강화, 원격 접속 통제, 데이터 접근 권한 관리, 비정상 활동 감시 등을 권고했다.
한국 로펌도 의뢰인 정보 보호 의무…AI 도입과 보안 관리 병행해야
한국 로펌에도 법률상 비밀유지 의무와 개인정보 보호 의무가 적용된다.
변호사법 제26조는 변호사와 그 직원 등이 직무상 알게 된 비밀을 누설하지 못하도록 규정하고 있다. 개인정보 보호법 제29조는 개인정보처리자에게 개인정보의 유출 등을 방지하기 위한 기술적·관리적·물리적 안전조치를 요구한다.
따라서 로펌의 보안 관리는 변호사의 비밀유지 의무와 개인정보처리자로서의 법적 의무가 함께 적용되는 영역이다. 특히 외부 AI 서비스와 클라우드 시스템을 이용하는 경우에는 의뢰인 자료의 접근 권한, 외부 전송, 위탁 처리 여부 등을 관리해야 한다.
대형 로펌의 한 파트너 변호사는 “한국에서도 이미 로펌에 대한 사이버 공격이 확인된 적 있는데 그런 공격은 개인정보 유출을 넘어 의뢰인의 소송 전략과 기업의 미공개 거래정보까지 노출시킬 수 있다는 점에서 위험성이 정말 크다”고 말했다.
그는 “특히 AI를 활용한 공격 수법이 정교해지면서 기존 보안 시스템만으로는 대응에 한계가 있다는 점도 잘 알려져 있어서 변호사의 비밀유지 의무를 전산 보안 영역까지 확장해 관리하고, 사고 발생 시 의뢰인에 대한 통지와 피해 확산 방지 절차도 사전에 마련해야 한다”고 강조했다.
Q&A
Q1. 로펌이 일반 기업보다 사이버 공격에 취약한가?
로펌의 보안 수준이 일반 기업보다 낮다고 단정할 수는 없다. 다만 소송 전략, 미공개 기업 거래, 법률 자문, 지식재산권 등 경제적·전략적 가치가 높은 정보를 집중적으로 보유하고 있어 공격자의 표적이 될 유인이 크다.
Q2. 이번 조사에서 AI를 이용한 공격이 두 배 증가했다는 뜻인가?
아니다. 약 두 배 증가한 것은 2023년과 비교한 법률기관 대상 사이버 침입 공격이다. 전체 공격 중 AI가 사용된 비율은 제시되지 않았다. AI가 공격의 효율과 속도를 높일 수 있다는 것이 연구진의 별도 평가다.
Q3. 로펌이 해킹당하면 변호사가 법적 책임을 지는가?
해킹 발생만으로 변호사 개인의 법적 책임이 자동으로 성립하는 것은 아니다. 보안조치 의무 위반 여부, 유출된 정보의 성격, 손해 발생, 인과관계 등을 구체적으로 검토해야 한다. 개인정보 유출에 대해서는 개인정보 보호법상 신고·통지 의무와 행정제재, 민사상 손해배상 문제가 발생할 수 있다.
