1월 28일 세계 데이터 보호의 날을 맞아 브라질은 점점 더 분명해지는 역설에 직면해 있습니다. 금융 디지털화 분야에서 가장 앞선 국가 중 하나로 자리매김하고 있는 동시에 사이버 공격에 가장 취약한 국가 중 하나가 되고 있는 것입니다.
프로톤이 다크 웹 관측소를 통해 실시한 조사 에 따르면, 약 3억 건에 달하는 브라질인의 개인 정보가 이미 다크 웹에 유출되었습니다 . 이러한 정보 유출 확산은 금전적 손실로 이어지고 있습니다. IBM 보고서 에 따르면 브라질에서 데이터 유출로 인한 평균 손실액은 719만 헤알에 달하며, 이는 브라질을 데이터 유출 피해가 가장 큰 국가 중 하나로 만들고 있습니다.
전문가들에 따르면, 이러한 상황은 개별적인 사건들의 집합이 아니라 구조적인 문제로 봐야 합니다. 사이버 보안 전문가이자 Security First의 CEO 겸 설립자인 페르난도 코레아는 "브라질은 결제, 신용, 데이터 공유와 같은 필수 서비스의 디지털화가 빠르게 진행되면서 악의적인 집단들의 표적이 되었습니다. 이러한 움직임은 많은 이점을 가져왔지만, 정보 보안 측면에서 상당한 문제점도 야기했으며, 이는 각 부문별로 발전 속도가 제각각입니다. 대규모 데이터 유출, PIX 및 오픈 파이낸스의 급속한 확산, 그리고 기업별 데이터 보호 성숙도 차이와 같은 요인들이 브라질 디지털 생태계의 취약점을 설명해 줍니다."라고 분석합니다.
가속화된 디지털화와 확장된 공격 표면
브라질은 금융 혁신의 실험실로 빠르게 변모했습니다. 브라질 중앙은행(BC)의 자료 )는 2025년 12월 5일 하루 동안 약 3억 1330만 건의 거래를 기록했습니다. 이 시스템에는 15억 개 이상의 등록된 키와 1억 7천만 명의 개인 사용자가 있습니다.
중앙은행이 발표한 정보 에 따르면, 같은 속도로 오픈 파이낸스는 1억 4,300만 건 이상의 활성 동의와 약 7,000만 개의 연결 계정을 확보했으며, 800개 이상의 참여 기관이 관여하고 있습니다
이러한 발전은 금융 시스템의 효율성 측면에서 분명히 긍정적인 영향을 미쳤지만, 디지털 환경이 점점 더 확대됨에 따라 예상되는 결과인 이른바 "공격 표면"의 확장에도 기여했습니다. 시큐리티 퍼스트(Security First)의 페르난도 코레아는 "다양한 분야의 기업들이 등록 정보부터 소비 습관, 개인 선호도에 이르기까지 대량의 민감한 데이터를 매일 다루기 시작했습니다. 보안 사고가 발생하면 그 영향이 더 빠르게 확산되어 더욱 복잡한 사기 수법으로 이어지는 경향이 있습니다. 실시간 거래가 이루어지고 자원이 직접 이동하는 금융 부문에서는 공격이 더욱 빈번하고 표적화되는 경향이 있기 때문에 이러한 문제에 대한 지속적인 관심이 필요합니다."라고 말합니다.
금융 부문이 공격의 중심에 있었습니다
체크포인트 소프트웨어의 '2025년 보안 보고서'에 따르면, 2024 년 9월부터 2025년 2월까지 브라질의 각 금융기관은 주당 평균 1,752건의 사이버 공격을 받았습니다. 이는 브라질을 금융 부문 공격 발생 건수에서 세계 1위로 올려놓는 수치로, 2024년 세계 평균인 주당 1,673건을 크게 웃도는 결과입니다. 보고서는 이러한 공격 증가의 원인을 브라질의 디지털화 가속화와 웹 애플리케이션, API, 그리고 PIX와 같은 널리 사용되는 서비스의 취약점 악용으로 분석했습니다.
구체적인 사례들은 문제의 심각성을 더욱 부각시켜 줍니다. 2025년 가장 대표적인 사건 중 하나는 금융기관과 중앙은행 간의 PIX 거래를 보호하는 회사인 C&M 소프트웨어에 대한 침입 사건입니다. ESET의 보고에 따르면, 이 공격은 내부자의 내부 계정 정보 오용으로 발생했으며, BMP, 방코 파울리스타, 크레드시스템, 방코 카르푸를 포함한 최소 6개 금융기관의 준비금 계좌가 유출되는 결과를 초래했습니다.
리나 오픈 X의 비즈니스 디렉터인 무릴로 라부스키는 “기업과 소비자가 자신들이 생산하고 공유하는 데이터의 가치를 이해하는 것이 필수적입니다. 이름, 주소, 금융 거래 내역, 소비 습관은 LGPD(개인정보보호법)에 따라 중요한 자산으로 취급되어야 합니다.”라고 강조했습니다.
무리로는 브라질의 데이터 유출 문제가 기술적 실패뿐 아니라 사용자들이 자신의 데이터 가치를 제대로 인식하지 못하는 데서도 비롯된다고 지적합니다. 그는 "점점 더 디지털화되는 환경에서 소비자는 자신이 공유하는 정보를 보호하는 데 중요한 역할을 해야 합니다. 데이터 접근, 수정, 삭제와 같은 자신의 권리를 알고, 기업의 합법성을 확인하고, 안전한 채널을 이용하고, 자신의 데이터가 어떻게 왜 사용되는지 이해하는 등 올바른 관행을 따르는 것이 필수적입니다."라고 강조합니다.
수십억 달러 규모의 사기 사건과 범죄의 디지털 지갑 및 암호화 자산으로의 이동
은행, 디지털 지갑, PIX(브라질의 즉시 결제 시스템), 암호화폐를 포함한 디지털 결제 방식의 발전은 수백만 명의 브라질 국민에게 더 큰 효율성, 속도, 그리고 금융 포용성을 제공했습니다. 그러나 여느 금융 생태계가 확장됨에 따라 범죄자들이 이러한 기술을 악용하려는 시도 또한 나타나고 있습니다. 하지만 중요한 점은 인프라, 규제, 그리고 보안왔다는 것입니다.
하지만 브라질의 디지털 범죄는 더 이상 전통적인 은행 사기에만 국한되지 않습니다. 즉시 결제 플랫폼과 디지털 자산의 대중화로 사이버 범죄자들은 기술 자체의 취약점 때문이 아니라 사회 공학적 기법, 인적 오류, 그리고 중간 계좌를 이용하여 높은 유동성과 빠른 거래 속도를 악용하기 시작했습니다.
세라사 엑스페리 안에 따르면 , 2025년 말까지 700억 헤알(R$) 이상의 금액이 사기꾼의 손에 넘어가는 것을 막을 수 있을 것으로 예상되었습니다. 이러한 노력에도 불구하고, 금융 부문은 2025년에 전년 대비 21.5%의 사기 발생률을 기록했는데, 이는 주로 즉시 이체, 가짜 메시지, 원치 않는 연락, 그리고 사용자 인증 미비와 관련된 사기 행위 때문이며, 이러한 행위들은 은행, 핀테크 기업, 그리고 디지털 플랫폼 전반에 영향을 미칩니다.
최근 조사에 따르면 암호화폐 자산은 후반 단계 있으며, 특히 사용자의 기술적 지식 부족이나 부주의로 인해 이러한 위험이 더욱 커집니다. 그러나 전문가들은 암호화폐 시장이 현재 추적성, 규정 준수 및 사기 방지 도구에 가장 많은 투자를 하고 있는 분야 중 하나이며, 블록체인에 거래 내역이 기록되고, 지속적인 모니터링이 이루어지고 있으며, 당국과 협력하여 조치를 취하고 있다고 강조합니다.
기술 자체를 불신하기보다는 사용자가 기술과 상호작용하는 방식. 즉, 원치 않는 메시지를 경계하고, 은행이나 플랫폼의 연락 패턴을 확인하고, 개인 정보를 공유하지 않고, 강력한 보안 및 위험 예방 체계를 갖춘 신뢰할 수 있는 회사만 이용해야 합니다.
랜섬웨어와 AI: 다방면에 걸친 위협
범죄자들이 데이터나 시스템을 탈취하고 이를 되찾는 대가로 금전을 요구하는 사이버 공격인 랜섬웨어의 증가는 브라질이 전 세계 사이버 범죄의 주요 관심사로 떠오른 또 다른 이유입니다.
주니퍼 리서치 에 따르면 , 디지털화의 증가와 공격 방식의 정교화로 인해 디지털 사기로 인한 전 세계 손실액은 2027년까지 4천억 달러에 달할 수 있다고 합니다.
"사기 수법은 끊임없이 진화하고 있으며, 범죄자들은 시스템과 사람들을 속이기 위해 점점 더 발전된 기술을 사용하고 있습니다. 이로 인해 상당한 재정적 손실이 발생하고 운영 비용이 증가하며, 수작업 조사로 인해 팀의 업무 부담이 가중되고, 고객과 파트너의 신뢰에 직접적인 악영향을 미칩니다."라고 키러스(Keyrus)의 마케팅 기술 책임자인 루카스 몬테이로(Lucas Monteiro)는 설명합니다.
한편, 인공지능(AI)은 디지털 사기의 양상을 완전히 바꿔놓았습니다. Sumsub의 신원 도용 보고서 에 따르면 브라질에서는 2022년과 2023년 사이에 딥페이크가 830% 증가했으며 , 이는 미국보다 5배나 더 빈번하게 발생하는 수치입니다.
"프란치스코 교황이 발렌시아가 재킷을 입은 것처럼 보이는 가짜 이미지나 펜타곤 폭발 장면을 조작한 영상과 같은 사례는 합성 콘텐츠가 단 몇 분 만에 금융 시장과 여론에 얼마나 큰 영향을 미칠 수 있는지 보여줍니다." 인공지능 분야 연사이자 데이터 전문가이며 게툴리오 바르가스 재단(FGV)의 MBA 교수이자 저서 " 인지 조직: 생성형 AI와 지능형 에이전트의 힘 활용.
2024년, 영국 기업 아럽(Arup)은 인공지능(AI)이 생성한 임원 화상 회의를 통해 사기꾼들에게 2,500만 달러를 송금했습니다. 브라질에서도 범죄자들이 언론인과 정치인의 얼굴과 목소리를 모방하여 금융 사기를 저지르기 시작했습니다.
“이러한 기술들은 형평성, 포용성, 책임성의 원칙을 준수하며 책임감 있게 구현되어야 합니다. 인공지능의 윤리적 사용은 디지털 전환의 핵심이 되어야 합니다.”라고 케네스 코레아는 강조합니다.
LGPD, 인식 개선, 그리고 가장 취약한 연결 고리
규제 측면에서 진전이 있었음에도 불구하고, 관련 법규 준수 수준은 여전히 불균등합니다. 다리우스 그룹의 연구 에 따르면, 브라질 개인정보보호법(LGPD)이 시행된 지 5년이 지난 현재까지도 브라질 기업의 약 80%가 해당 법규를 완전히 준수하지 못하고 있습니다 .
시민의 관점에서 보면 문제는 훨씬 더 심각합니다. 카스퍼스키, DataSenado의 데이터에 따르면 인구의 24%가 이미 디지털 사기의 피해를 경험했습니다.
Keyrus의 루카스 몬테이로에 따르면, 개인정보 보호와 전략적 데이터 활용 사이의 균형을 유지하려면 견고한 거버넌스와 지속적인 투자가 필요합니다. 그는 "소비자가 전자상거래 사이트나 로열티 프로그램에서 데이터를 공유할 때 안전하다고 느껴야 합니다. 동시에 기업은 이러한 데이터를 활용하여 맞춤형 경험을 제공해야 합니다. 핵심 과제는 익명화, 명확한 동의, 그리고 강력한 보안 정책을 통해 신뢰할 수 있는 환경을 조성하는 것입니다."라고 지적합니다.
구조적이고 집단적인 문제
개방형 금융과 금융 디지털화의 발전은 중단되어서는 안 되지만, 거버넌스, 보안 및 투명성이 동반되어야 합니다. 연구에 따르면 브라질 소비자의 90%는 기업을 신뢰하는 데 있어 데이터 보호가 매우 중요하다고 생각하며, 동시에 개인 맞춤형 경험을 요구합니다.
"개인정보 보호가 단순한 권리를 넘어 디지털 경험의 기본 기대치가 된 시대로 접어들고 있습니다. 하지만 이러한 변화는 정보 보안을 운영 비용이 아닌 전략적 기반으로 여길 때에만 지속 가능할 것입니다."라고 루카스 몬테이로는 강조합니다.
Security First의 페르난도 코레아는 이러한 상황에 대처하기 위해서는 사고방식의 변화가 필요하다고 강조합니다. "디지털 전환은 되돌릴 수 없으며 브라질 경제에 부인할 수 없는 이익을 가져다주었습니다. 하지만 데이터 사용에 있어 보안, 거버넌스, 그리고 책임감이 없다면 브라질은 더욱 심각한 위험에 노출될 것입니다. 정보 보호는 기업, 정부, 그리고 사회 전체에게 있어 절대 양보할 수 없는 의무가 되어야 합니다."라고 그는 결론지었습니다.
