금융권 AI해킹 공격자 단서 포착…중국 광둥성 거주 26세 추정

▲AI 해킹으로 비상 걸린 금융권(사진=연합뉴스)

인공지능(AI)을 활용해 국내 금융권을 해킹한 공격자가 중국에 거주하는 26세 청년으로 추정되고 있다. 공격자 신원에 대한 단서가 포착된 것은 이번이 처음이다.

미국 소재 글로벌 사이버보안 기업 크라우드스트라이크는 한국 금융권을 공격한 해커가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 7일(현지시간) 밝혔다. 다만 이는 정황에 따른 추정으로, 신원을 특정한 것은 아니다.

크라우드스트라이크는 해킹 공격자가 생성형 AI 코딩 도구 '클로드 코드'를 사용하는 과정에서 단서를 발견했다. 공격자는 클로드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했고, 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보가 함께 입력됐다.

공격자는 이 과정에서 클로드에 탈취한 한국 금융정보를 통상 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지를 질문한 것으로 드러났다.

크라우드스트라이크는 해당 텔레그램 계정이 다른 사이버 공격 정황에서도 동일하게 발견됐다는 점에서 해킹 공격 배후일 가능성이 높다고 봤다. 텔레그램 기반 대체불가토큰(NFT) 선물 마켓플레이스 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 공격 정황에서도 같은 계정명이 쓰인 것으로 파악됐다.

앞서 크라우드스트라이크는 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌으며, 공격자가 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 '아르텍스'(ARTEX)와 대규모언어모델(LLM)을 함께 활용했다고 분석한 바 있다.

이번 분석에 따르면 공격자는 홍콩 소재 IP 주소를 주 통제 인프라로 삼아 공격 전반을 지휘하고, 한국 공격에 쓰인 아트렉스 서버는 별도 IP 주소에서 운용하는 2단계 서버 구조를 활용한 것으로 나왔다. 이 밖에도 9개의 프록시(우회 경로) IP 주소를 추가로 활용해 지속적으로 접속 경로를 바꿔 추적을 피한 것으로 파악됐다.

아르텍스를 구동하는 데 쓰인 핵심 AI는 중국 생성형AI 딥시크의 경량 모델 'v4.1-플래시'였으며, 이 역시 정식 경로가 아닌 제3의 재판매 업체를 통해 우회 접속한 것으로 분석됐다. 여기에 더해 공격자는 클로드 코드 세션에서 중국 즈푸AI의 'GLM-5.3'과 '그록 4.6' 등 다른 LLM도 보조적으로 활용한 것으로 나타났다.

한국 금융권을 겨냥한 이번 해킹 사태는 지난달 말부터 이달 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 잇따라 침해 사고가 확인되면서 불거졌다. 신한은행과 KB국민은행은 각각 약 2만5000명과 119명의 개인정보가 유출된 것으로 확인됐다. 이에 더해 증권사와 보험사 2~4곳에서도 침투 흔적이 발견돼 금융권 전체에 사이버 보안 관련 비상이 걸렸다.

금융당국은 공격자가 AI 도구를 활용해 다수 금융사를 대상으로 대량 자동화 공격을 벌인 것으로 보고 경찰청 사이버수사국에 수사를 의뢰한 상황이다.