은행 6곳 ‘융단폭격 해킹’ 4곳 뚫려…“AI 활용 전방위 공격 추정”

국민·신한·하나·BNK 개인정보 유출
우리·농협도 비슷한 공격 시도 확인
보안업계, AI 에이전트 해킹에 무게
“한 곳 막혀도 다른 공격루트 찾고
동시에 여러 기관 공격 시도 가능”
최근 중국어 사용 AI 해킹 사례도

2일 KB국민은행은 외부 침해로 119명의 개인(신용)정보가 유출됐다고 밝혔다. 유출이 발생한 시스템은 인터넷뱅킹과 모바일뱅킹 등 고객 금융거래와 직접 관련이 없는 직원용 모바일 업무지원시스템이다. 유출된 정보는 고객명과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 사진은 이날 서울 시내의 한 KB국민은행의 모습. 2026.10.2 뉴스1

국민들의 일상적인 경제 생활과 직결된 주요 시중은행에서 인공지능(AI) 에이전트 해킹으로 보이는 고객 정보 유출 사고가 잇따라 터지면서 금융권에 비상이 걸렸다. KB국민·신한·하나·BNK부산은행에서는 고객이나 외주 직원의 개인 정보가 실제 유출됐고, 우리·NH농협은행에서도 비슷한 공격 시도가 확인됐다. 돈과 개인정보를 다루는 만큼 가장 높은 수준의 보안체계를 갖췄다고 여겨지는 은행권이 동시다발적으로 AI 해킹에 노출되면서 국민들의 불안감이 커지고 있다.

보안업계에서는 AI를 이용해 시스템의 취약점을 빠르게 찾아내고 그 결과에 따라 새로운 공격 경로를 찾는 방식이 현실로 나타난 것에 주목하고 있다. 사람이 공격을 발견한 뒤 취약점을 차단하고 방어막을 치는 사이 AI가 다른 약점을 찾아 다시 공격할 수 있어서다. AI가 해킹의 속도와 범위를 크게 확장하면서 기존 방어망이 무력화될 것이라는 우려가 나온다.

● 하나-KB-신한-부산 뚫리고 우리·농협도 공격받아

2일 금융계에 따르면 국민, 신한, 하나, 부산은행 등은 지난달 말부터 이달 초까지 직원들이 영업과 업무 지원에 사용하는 시스템에 대한 외부 해킹 공격으로 고객과 외주 직원의 정보가 유출되는 사고가 발생했다.

국민은행에서는 지난달 30일 늦은 오후 직원용 모바일 업무지원 시스템에서 비정상적인 외부 접근이 발생해 고객 119명의 정보가 빠져나갔다. 하나은행도 같은 날 오후 늦은 시간 영업지원시스템(ODS)에 대한 비정상적 접근으로 89명의 고객 정보가 유출됐다. 하나은행은 1일 해킹 사실을 인지한 즉시 차단하고, 금융 당국에 보고했다.

부산은행에서도 1일 오후 9시경 직원용 모바일 영업 지원시스템 등에 AI 에이전트를 활용한 외부의 웹서버 공격을 받았다. 이 때문에 외주 개발직원 11명의 개인정보가 웹페이지를 통해 노출됐다.

뉴스1

신한은행에서는 대출모집인들이 모바일 홈페이지 ‘M 신한’에서 자신이 접수한 대출 처리 현황을 조회하는 시스템이 지난달 28일부터 공격받기 시작했다. 은행 측이 접근 차단에 나섰지만, 공격자는 다른 취약점을 찾아 해킹을 시도했고 사흘에 걸쳐 공격이 이어졌다. 이 과정에서 고객 2만5729명의 정보가 유출됐다.

실제 정보 유출로 이어지지는 않았지만, 우리·농협은행에서도 비슷한 공격이 포착됐다. 우리은행은 외부에서 접근할 수 있는 전산 채널을 점검한 결과 지난달 29일부터 사흘 연속 해킹 시도가 있었던 것으로 확인됐다.

금융위원회는 2일 은행, 카드사 등을 긴급 소집해 공격에 사용된 인터넷 주소(IP)와 공격수법, 침해 시도 내역 등 위협 정보를 공유하며 대응에 나섰다. 개인정보 등 내부 정보를 조회하는 과정에서 인증 절차가 빠져 있거나 미흡하게 적용된 곳이 없는지 전면 점검해 달라고 주문했다.

●AI 에이전트 통한 유출 가능성

게티이미지뱅크

보안업계에서는 이번 공격에 AI 에이전트를 활용한 자동화된 해킹 기법이 동원됐을 가능성을 높게 보고 있다. 과거에는 해커가 일일이 시스템을 분석해 취약점을 찾고 공격했는데, AI를 쓰면 이런 과정을 상당 부분 자동화할 수 있다. 한 곳에 대한 공격이 막히면 다른 구멍을 찾아 공격 경로를 바꾸고, 동시에 여러 금융회사를 대상으로 공격을 시도하는 것도 가능해진다.

이렇게 되면 해킹의 차원이 완전히 달라진다는 게 보안업계 분석이다. 해킹 공격에 나서는 쪽이 일방적으로 우위에 설 수 있게 돼 애써 강력하게 구축한 보안 체계가 순식간에 무용지물이 될 수도 있기 때문이다.

문종현 지니언스 시큐리티센터장은 “최근 국내 여러 곳을 겨냥한 공격에 사용된 웹서버 일부에서 ‘AI 자율 침투 테스트 콘솔’을 뜻하는 중국어 문자열이 확인됐다”고 주장했다. 문 센터장은 이를 근거로 AI 기반 침투 테스트 도구 아텍스의 운영 가능성을 제기했다. 아텍스가 단순히 공격 방법을 알려주는 데 그치지 않고 실행 결과를 분석해 다음 행동까지 스스로 결정한다는 것이다. 공격자가 AI로 취약점을 찾아내는 시대가 된 만큼 금융회사도 AI를 활용해 보안 허점을 선제적으로 찾아내는 등 보안체계의 전환이 필요하다는 지적이 나온다.

정치권은 이달 국정감사에서 은행권 고객 정보 유출 사고 원인과 책임을 따질 예정이다. 국회 정무위원회 소속 더불어민주당 박상혁 의원은 “은행장들을 국감 증인으로 불러 보안 사고가 반복되는 원인과 책임을 엄중히 묻겠다”고 말했다.

신무경 기자 yes@donga.com
임재혁 기자 heok@donga.com