“AI에는 AI로”…캐나다 금융회사의 해킹 대응법

[김기훈의 생각]
①외부 소프트웨어 의존도 낮추고
②자체 AI로 운용 전산망 만들어
③해킹 방어망도 자체 AI로 구축
④피싱 등 해킹 탐지에도 AI 활용

캐나다 금융감독청은 지난 4월 미국 회사 앤트로픽의 AI(인공지능) 플랫폼 클로드 미토스가 나온 이후 금융회사에 해킹 대응 시스템을 강화하라고 지시했다. 사진은 캐나다 오타와에 있는 금융감독청 건물./캐나다 금융감독청 홈페이지

한국 금융회사들에 대한 대규모 해킹 사태가 벌어지면서 올 들어 일찍 대비에 나섰던 캐나다의 사례가 관심을 끌고 있다. 캐나다는 지난 4월에 미국의 AI(인공지능) 업체 앤트로픽이 클로드 미토스 모델을 출시하자 즉각 그 위험성을 알아채고 금융당국과 금융회사들이 공동 대응에 나섰다.

클로드 미토스가 발단

로이터에 따르면 캐나다 금융감독청은 지난 4월 19일 캐나다 대형 은행과 보험회사 등 금융회사의 CTO(최고기술책임자), CISO(최고정보보안책임자), CRO(최고위험관리책임자)에게 이메일을 보내 클로드 미토스 모델과 다른 첨단 AI 모델이 가져올 해킹 가능성에 대해 경고했다. 새로운 기술이 사이버 위협을 증가시키며, 금융회사가 취약성을 파악해 보완하는데 주어지는 시간이 점점 짧아지고 있다는 내용이었다. AI 모델이 금융회사의 기존 기술 체계에 중대한 도전을 하고 있으며, AI 모델 가운데 클로드 미토스가 금융회사 사이버 보안의 취약점을 찾아내 악용하는 데 가장 앞서 있다는 것이다.

지난 4월 미국 회사 앤트로픽의 AI(인공지능) 플랫폼 클로드 미토스는 전세계 금융회사에 해킹 공포를 가져왔다. 사진은 2025년 1월 23일 스위스 다보스 포럼 행사에서 연설하는 다리오 아모데이 앤트로픽 CEO(최고경영자)./AFP 연합뉴스

금융감독청은 이메일에서 “우리의 초점은 기술 그 자체가 아니라 금융회사들이 기술 사용과 관련된 위험을 어떻게 통제하고 관리하느냐”라며 “미토스 같은 첨단 AI 모델은 금융회사들이 사이버보안 위험에 매우 신속하게 대응할 것을 요구하고 있다”고 밝혔다. 캐나다 금융감독청의 조치가 나온 것은 바로 직전에 스콧 베센트 미국 재무장관과 제롬 파월 당시 미국 연방준비제도이사회(연준) 의장이 미국의 은행 CEO(최고경영자)와 긴급히 만나 미토스의 사이버 보안 위험을 경고했기 때문이다. 그 직후 캐나다의 금융감독당국과 은행 경영진도 모임을 갖고 AI의 금융전산망 해킹 위험에 대해 논의했다.

두 가지 해킹 위협

캐나다 은행들이 인식하고 있는 AI 해킹 위협은 크게 두 가지이다. 첫째, 사이버 공격의 위협 속도가 점점 빨라지고 있다. 최첨단 AI 모델은 금융시스템의 약점을 매우 빨리 찾아낼 수 있다. 그만큼 은행들이 사이버 보안 문제를 찾아내 해결하는 데 주어지는 대응 시간이 갈수록 단축되고 있다.

둘째, AI로 조작된 사기 수법이 갈수록 증가하고 정교해지고 있다. 범죄자들은 생성형 AI를 활용해 속기 쉬운 가짜 목소리나 영상을 만들어 내거나 피싱 사기를 벌이면서 은행의 기존 사이버 보안망을 뚫고 있다.

6대 은행의 개선 대책

이러한 인식하에 금융감독청의 지시 이후 캐나다 은행과 보험사 등 금융회사들은 사이버 위험에서 고객들을 보호하기 위한 보안기술에 대규모 투자를 하고 있다. 특히 캐나다의 6대 은행 중 RBC 은행, TD 은행, BMO 은행은 AI 관련 투자를 늘려 결국 수백만 달러를 벌게 되는 계획을 발표했다. 노바스코샤 은행, CIBC 은행, 내셔널 뱅크 등 나머지 3곳도 몇 가지 AI 구상을 발표했다. 캐나다 은행들이 AI 해킹에 대응해 실행하고 있는 사이버 보안 개선작업의 방향은 크게 4가지이다.

첫째, 개별 은행에 적합한 독자적인 AI 수단을 구축하고 있다. AI 시대에 맞춰 은행 전산망 운영에도 AI 시스템 도입이 불가피한데, 이 시스템을 각 은행이 각자 독자적으로 구축하고 있는 것이다. 예를 들어 지금까지 실험적으로 해오던 AI 프로젝트를 챗봇이나 내부 시스템 구축에 적극 활용하고 있다.

둘째, 외부 업체가 제공하는 보안 소프트웨어의 의존성을 낮추고 있다. 외부 공격자보다 더 빨리 취약점을 찾아내 보완하기 위해 자기들의 독자적인 방어망을 만들고 있다. 예를 들어 앤트로픽의 클로드 미토스 모델과 같은 첨단 AI 모델이 금융회사 소프트웨어의 취약점을 찾아내 극도로 빠른 속도로 해킹할 수 있다고 보기 때문에 그들보다 앞서 취약점을 발견하고 고치기 위해 자체 AI를 활용한 방어망을 만드는 작업이다.

캐나다 은행들은 외부 AI(인공지능) 해킹에 대응해 자체 AI를 개발해 대응하고 있다. 사진은 캐나다 토론토에 있는 RBC 은행의 기업금융본부./JK Liu(2025년 5월 24일, 위키피디아)

셋째, 해킹 사태 탐지 기능을 강화하기 위해 AI를 적극 활용하고 있다. 범죄자들이 현재의 보안 체제를 우회하기 위해 딥페이크 사기 행위나 목소리 합성, 피싱 등에 AI를 활용하고 있기 때문에 이러한 상황을 빨리 탐지하기 위해 AI를 사용하는 전략이다. 예를 들어 노바스코샤 은행과 CIBC 은행은 비정상적인 금융거래나 사기 거래를 즉각 찾아내고 금융거래를 실시간으로 모니터링 하기 위해 AI를 사용한다.

넷째, 자체 AI 관리를 위해 은행 내부통제 시스템을 강화한다. 각 은행은 금융감독청이 정한 데이터 관리, 내부통제, 윤리 기준에 따라 자체 AI 모델이 사이버 위험에 맞서 투명하고 안전하게 유지되도록 노력하고 있다. 자체 AI 모델의 작동과 오류 상황을 즉각 파악하고 대응할 수 있는 내부 시스템을 갖춘 것이다.

해커보다 더 빨라야

다섯째, 초기에 위협을 감지하고 즉각 대응하는 시스템을 통합해 자동화하고 있다. AI가 자동화된 통합 플랫폼을 통해 실질 위협을 잘 감지하고 오작동 경보를 줄이도록 함으로써 보안요원들이 보다 중요한 판단에 집중할 수 있도록 하는 전략이다.

여섯째, 은행의 보안 실무 책임자와 금융감독 당국이 지속적으로 모임을 가지면서 미국 등에서 출시되는 새로운 AI 모델을 점검하고 위협 요인을 공유한다. 이와 관련, 캐나다 정부는 미국의 일부 기업이 갖고 있는 클로드 미토스 등 첨단 AI 모델에 대한 접근권을 캐나다 은행과 공유해 대응책을 마련하도록 지원하고 있는 것으로 추정되고 있다.

RBC 은행의 브루스 로스 CTO(최고기술책임자)는 로이터와 한 인터뷰에서 “미토스 등의 등장으로 은행 전산망에 새로운 취약점이 발견되는 즉시 새로운 공격 방법이 등장할 수 있기 때문에 금융회사들이 신속하게 대응하지 않을 수 없다”며 “은행의 독자적 AI 방어망을 구축하는 작업을 계속해 나갈 것”이라고 말했다.