AI 공격 시작됐는데…신한 15시간-KB 68시간 동안 몰랐다

서초구 서울고속버스터미널에 개인정보가 유출된 신한·KB국민·하나 은행의 현금 자동 입출금기(ATM) 코너가 보이고 있다. 2026.10.04 서울=뉴시스

인공지능(AI)을 활용한 것으로 추정되는 해킹을 당한 신한·KB국민·하나은행이 공격을 알아채는 데 짧게는 15시간, 길게는 68시간이 걸린 것으로 나타났다. 시중은행과 저축은행, 캐피털사 해킹 유출이 확인된 가운데 보험사와 핀테크 기업에서도 해킹 시도가 있었던 것으로 확인됐다.

24시간 보안관제 체계를 갖췄다고 강조해 온 은행들이 장시간 이어진 공격을 제때 탐지하지 못하면서 금융권 보안 체계의 허점이 드러났다는 지적이 나온다.

5일 국회 정무위원회 소속 더불어민주당 손명수 의원이 신한은행에서 받은 침해사고 보고서에 따르면 신한은행은 지난달 28일 오후 6시 4분 공격이 시작된 뒤 15시간가량 흐른 29일 오전 9시 30분 공격을 인지했다.

신한은행은 해커가 정상적 접근과 공격 행위를 판별하기 어렵게 위장한 탓에 바로 알아채지 못했다고 설명했다. 신한은행은 해외 인터넷주소(IP주소)를 차단하고, 같은 유형의 공격이 들어오면 경보가 울리도록 하는 보안장비를 추가했지만, 공격은 은행이 인지한 뒤에도 14시간 45분이나 이어졌다.

KB국민은행은 43시간 가까이 이어진 공격이 끝나고 25시간이 지나서야 상황을 인지했다. 민주당 박민규 의원이 국민은행에서 받은 자료에 따르면 국민은행에 대한 공격은 추석 연휴 마지막 날인 지난달 27일 오후 11시 19분부터 29일 오후 6시까지 42시간 41분간 이어졌지만, 은행은 지난달 30일 오후 7시에야 공격을 알아챘다. 국민의힘 김재섭 의원이 금융감독원에서 받은 하나은행 침해사고 보고서에 따르면 하나은행은 지난달 30일 10시간 36분 동안 이어진 공격이 종료되고 31시간이 지난 이달 오전 6시에야 인지했다.

주요 은행들이 홍보한 보안 역량은 약한 고리를 파고드는 해킹에는 제대로 작동하지 않은 셈이다. 신한은행은 금융위원회가 주관한 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 S등급(100점)을 받았다고 공시했다. 국민은행은 ‘개인정보보호 국제 인증’을 국내 금융사 최초로 취득했고, 하나은행은 그룹 통합 보안관제센터를 ‘24시간 365일’ 가동한다고 밝혀 왔다.

생명보험사 1, 2곳과 토스뱅크에서도 해킹 공격 시도가 있던 것으로 확인돼 해킹 공격이 금융권 전방위적으로 진행되고 있는 것으로 드러났다. 금융당국은 ‘AI 공격은 AI로 방어’하는 체계를 위해 망 분리 규제 완화를 추진하고 있다.

장항배 중앙대 산업보안학과 교수는 “금융 서비스는 외부 연결 채널이 많지만 관리 인력은 부족하다”며 “방어에 AI를 쓰더라도 최종 판단은 인간이 내려야 하는 만큼 전문 인력에 대한 투자가 필요하다”고 지적했다.

홍석호 기자 will@donga.com
주현우 기자 woojoo@donga.com
전혜진 기자 sunrise@donga.com