정부는 지난달 1일 '공공부문 사이버보안 책임성 강화 방안'을 내놓고 초기 비밀번호 미변경, 취약점 방치 같은 기본 수칙 위반을 징계 대상으로 분명히 했다. 기사에 따르면 민간도 지난해 국내 침해사고 신고가 2383건으로 역대 최대였고, 원인은 새로운 공격보다 사람과 시스템 관리 실패에 가까웠다. 드림시큐리티는 AI가 바꾼 것은 공격 방식보다 속도라고 설명하며, 그만큼 기본 통제를 빠짐없이 지키는 조직과 그렇지 않은 조직의 차이가 더 커진다고 봤다.
이 회사는 기초보안의 출발점을 계정으로 짚었다. 버라이즌의 '2026 데이터 침해 조사 보고서(DBIR)'에서는 도난·유출된 계정정보 악용이 전체 침해의 39%에서 확인됐다. 비밀번호는 크리덴셜 스터핑처럼 다른 곳에서 유출된 정보가 재사용되면 방어가 어렵다. 그래서 다중인증이 기본이 되고, FIDO 기반 패스키처럼 인증 정보를 단말의 안전한 영역에 두는 방식이 대안으로 제시된다. 서버 침해 때 대량 유출 위험을 낮추고 피싱 차단에도 도움이 되기 때문이다. 여기에 퇴사자·협력사 계정 정리와 과도한 권한 축소까지 함께 해야 계정이 공격 통로로 남지 않는다.