AI로 무장한 해커 금융권 공격…‘자동화·동시다발’ 위협 현실로

최근 금융권에서 해킹 사고가 잇따르는 가운데 인공지능(AI)을 이용해 공격 과정을 자동화한 정황까지 포착되면서 금융권의 긴장감이 커지고 있다. 기존에는 해커가 직접 취약점을 찾아 시스템을 하나씩 공격했다면 이제는 AI 에이전트가 여러 금융사의 외부 시스템을 동시에 탐색하고 공격을 반복하는 단계로 사이버 위협이 진화하고 있다는 분석이 나온다.

2일 KB국민은행은 외부 침해로 119명의 개인(신용)정보가 유출됐다고 밝혔다. 유출이 발생한 시스템은 인터넷뱅킹과 모바일뱅킹 등 고객 금융거래와 직접 관련이 없는 직원용 모바일 업무지원시스템이다. 유출된 정보는 고객명과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 사진은 이날 서울 시내의 한 KB국민은행의 모습.   뉴스1

3일 업계에 따르면 지난달 30일 신한은행에 외부 비인가자가 대출모집인 서비스의 본인 확인 절차를 우회해 약 2만5000명의 개인정보에 접근했다. 이름과 전화번호, 연소득, 대출 한도 등이 유출됐으며 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다. 같은 날 KB국민은행에서는 직원용 모바일 업무지원 시스템이 공격받아 119명의 개인정보가 빠져나갔다.

하나은행에서도 영업지원시스템(ODS)에 대한 비정상 접근으로 고객 89명의 주민등록번호와 주소, 연락처, 직장명 등이 유출됐다. BNK부산은행에서도 해킹 과정에서 외주 개발직원 11명의 개인정보가 웹페이지에 노출된 사실이 확인됐다. 우리은행과 NH농협은행도 유사한 공격을 받았지만 현재까지 정보 유출은 확인되지 않았다.

금융당국도 이번 공격을 금융권 전반의 보안 위협으로 보고 공동 대응에 나섰다.

특히 공격 과정에 AI 사용 흔적이 발견되면서 AI 사이버 위협이 현실화했다는 우려가 나온다. 신한은행을 겨냥한 공격에 사용된 것으로 추정되는 서버에서 중국어로 ‘AI 자율 침투테스트 콘솔’을 뜻하는 문자열이 발견됐다. 해당 흔적은 오픈소스 기반 자율형 침투테스트 도구 ‘ARTEX AI’와 관련된 것으로 보안업계는 보고 있다. ARTEX AI는 대규모언어모델(LLM)과 여러 AI 에이전트를 결합해 정보 수집, 취약점 탐색, 공격 경로 설정, 보안 도구 실행, 취약점 검증 등을 자동으로 수행하도록 만들어진 도구다.

1일 신한은행에서 대규모 해킹 사고가 발생해 약 2만5천명의 고객 정보가 유출된 것으로 알려졌다．금융권과 금융당국에 따르면, 신한은행은 전날 대출 관련 고객 정보가 유출되는 해킹 사고 발생을 확인했다. 정상혁 신한은행장은 홈페이지에 게시한 사과문을 통해 "최근 외부의 비인가자가 비정상적인 방법을 통해 일부 서비스에서 고객 정보를 유출한 사실을 확인했다"며 "고객 여러분이 손해를 입게 되는 경우 책임을 다해 전액 보상할 것을 약속드린다"고 밝혔다. 사진은 같은 날 서울 중구 신한은행 본사 앞.    연합뉴스

다만 ARTEX AI가 실제 공격을 수행했다고 단정하기는 이르다. 금융당국 조사 등을 통해 실제 사용 여부가 확인된 것은 아니다. 누구나 쓸 수 있는 오픈소스 프로그램이어서 중국어 기반 도구가 발견됐다는 사실만으로 공격 주체의 국적이나 배후를 특정할 수도 없다.

보안업계는 AI가 해킹 공격의 속도와 규모를 크게 끌어올려 동시다발적인 공격 위협을 키울 수 있다는 점에 주목하고 있다. 이번 금융권 공격에서도 공격 기법 자체는 낯설지 않지만 AI를 활용하면 인터넷에 공개된 시스템을 찾아내고, 취약점을 발굴해 여러 대상을 빠르게 공격하는 작업을 자동화할 수 있다. 공격자는 한 금융사를 뚫는 데 들어가는 시간과 비용이 낮아지고, 금융사는 수많은 변종 공격에 대응해야 하는 구조다.

이에 인증체계를 강화하고 AI 기반 방어로 AI 공격을 막아야 한다는 요구가 커지고 있다. 다중인증(MFA)과 이상 로그인 탐지, 접속 속도 제한, 봇 차단을 결합하고 직원·외주 인력 계정은 필요한 시스템에만 최소한의 권한을 부여하는 방식으로 접근권한을 세분화해야 한다는 것이다. 당국은 금융사가 외부 AI를 이용해 취약점을 탐지하고 방어시스템을 구축할 수 있도록 망분리 규제를 완화하는 방안도 추진하고 있다.

이정한 기자 han@segye.com