한국재난안전뉴스 박종열 기자 |

 

 

은행 고객의 개인정보를 노리는 해커들의 공격이 금융권 전체로 번지고 있다. 특히 이번 사태는 인공지능(AI)을 이용해 취약점을 찾아내고 공격을 자동화했을 가능성이 제기되면서 금융권의 기존 보안체계가 근본적인 시험대에 올랐다.

 

과학기술정보통신부는 금융권 해킹 사고와 관련해 한국인터넷진흥원(KISA)과 긴급 대응체계를 가동하고 유사 사고 확산 방지에 나섰다고 4일 밝혔다.

 

금융당국도 4일 은행뿐 아니라 금융투자·보험·여전·저축은행·상호금융·가상자산·핀테크 등 전 금융권을 대상으로 긴급 점검회의를 열었다.

 

현재 금융권 해킹 사고는 금융위원회, 금융감독원, 금융보안원을 중심으로 조사와 대응이 이뤄지고 있다. 과기정통부와 KISA는 민간 분야로의 공격 확산과 추가 피해로 이어지지 않도록 사이버 위협 대응을 강화하고 있다.

 

그 일환으로 KISA 인터넷침해대응센터(KISC)의 대응체계를 강화해 주요 기업 홈페이지 모니터링 강화, 침해사고 대응인력 보강, 비상출동조 상시 대기 등 24시간 비상대응체계를 가동했다.

 

전 금융권으로 피해 확산

 

신한은행에서 시작된 개인정보 유출 사고는 KB국민은행과 하나은행, BNK부산은행으로 이어졌고 저축은행과 캐피털사 등 제2금융권에서도 잇따라 피해가 확인됐다.

 

현재까지 확인된 피해 가운데 가장 규모가 큰 곳은 신한은행이다. 지난달 28~30일 외부 비인가자의 공격으로 고객 개인정보 약 2만5727건이 유출된 것으로 파악됐다. 이름과 전화번호뿐 아니라 일부 고객의 연소득과 대출한도, 주민등록번호와 연계정보 등이 포함됐다. 공격자는 고객이 직접 이용하는 인터넷·모바일뱅킹이 아니라 대출모집인이 사용하는 업무지원 서비스를 공격 경로로 삼았다.

 

KB국민은행에서는 직원용 모바일 업무지원 시스템을 통해 고객 119명의 개인정보가 유출됐고, 하나은행에서도 영업지원시스템을 통한 비정상적인 접근으로 89명의 개인정보가 빠져나간 것으로 확인됐다. 부산은행에서는 외주 개발직원 11명의 개인정보 노출 정황이 발견됐다. 우리은행과 NH농협은행 역시 공격 시도가 있었지만 현재까지 정보 유출은 확인되지 않았다.

 

제2금융권인 예가람저축은행에서는 약 4만 명의 고객 이름·생년월일·연락처 등이 유출된 사실이 확인됐고, 현대캐피탈에서도 대출모집인 146명의 개인정보가 유출됐다. 웰컴저축은행에서도 법인고객 정보 유출 사실이 파악됐다. 새마을금고와 농협 상호금융에서도 유사한 해외 IP의 접근 시도가 있었지만 차단된 것으로 알려졌다.

 

문제는 공격 대상이다. 해커들은 인터넷뱅킹처럼 가장 중요한 금융거래 시스템을 정면으로 뚫기보다 상대적으로 관리가 허술할 수 있는 직원용 앱, 대출모집인용 서비스, 영업지원 시스템 등 ‘주변부 시스템’을 노렸다.

 

금융권 관계자는 “고객이 직접 접속하는 핵심 금융시스템은 여러 단계의 인증과 보안장치가 작동하지만, 업무 편의를 위해 만들어진 외부 웹페이지나 내부 지원 시스템은 상대적으로 보안 수준이 낮을 수 있다”며 “이번 사건은 금융회사 전체 시스템을 하나의 보안망으로 봐야 한다는 점을 보여준다”고 말했다.

 

AI가 공격 속도와 규모를 키웠다

 

이번 사태를 더욱 심각하게 만드는 것은 AI의 등장이다. 신한은행 공격에 사용된 것으로 추정되는 서버에서 중국어 기반 오픈소스 AI 침투테스트 도구인 ‘ARTEX AI’와 관련된 흔적이 발견됐다.

 

이 프로그램은 원래 보안 점검을 위해 개발된 도구지만, AI와 여러 에이전트를 이용해 정보 수집, 취약점 탐색, 공격 경로 설계, 보안도구 실행 등을 자동화할 수 있는 것으로 알려졌다. 다만 ARTEX AI가 실제 공격에 사용됐다는 사실은 아직 공식적으로 확정된 것은 아니다.

 

문종현 지니언스 시큐리티센터장은 “AI 기반 공격 자동화 도구가 활용됐을 가능성을 합리적으로 의심할 수 있다”며, “보안 목적으로 만들어진 도구도 공격자가 이용하면 사이버 공격의 자동화와 효율성을 높이는 수단으로 전용될 수 있다”고 지적했다.

 

AI 해킹의 가장 무서운 점은 ‘속도’다. 사람이 하나씩 취약점을 찾아 공격하던 시대에는 시간과 인력이 필요했지만 AI가 개입하면 수많은 웹사이트와 서버의 취약점을 동시에 탐색할 수 있다. 금융회사 입장에서는 한 곳의 공격을 막는 문제가 아니라 수십·수백 개의 외부 노출 시스템을 동시에 방어해야 하는 문제가 된다.

 

실제로 금융당국은 이번 공격에서 여러 금융회사에서 동일 공격자의 IP가 발견된 점에 주목하고 있다. 7개 금융사에서 동일 공격자의 IP가 확인됐으며, 공격자가 IP를 바꿔가며 여러 금융회사를 공격했을 가능성도 조사하고 있다.

 

이재명 대통령 “철저히 조사하고 대책 마련하라”

 

사태가 확산되자 이재명 대통령도 직접 대응을 주문했다. 이 대통령은 4일 최근 금융기관과 공공기관에서 발생한 개인정보 유출 사고 및 대응 현황을 보고받고 “사안에 대한 엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기하라”고 지시했다.

 

금융당국, ‘AI로 AI 막는다’

 

정부는 한국인터넷진흥원(KISA)의 침해사고 모니터링 단계를 ‘관심’에서 ‘주의’로 높이는 등 대응 수위를 끌어올렸다.

 

금융당국의 대응 방향도 바뀌고 있다. 단순히 방화벽을 강화하고 IP를 차단하는 방식만으로는 AI를 이용한 자동화 공격을 막는 데 한계가 있다는 판단이다.

 

이억원 금융위원장은 4일 전 금융권 긴급 점검회의에서 외부에 노출된 IT 자산과 서비스, 임직원 및 대출모집인 등이 사용하는 업무지원 시스템 등을 전면 재점검하도록 주문했다. 또 AI를 활용한 해킹 가능성을 배제할 수 없다며 “AI공격은 AI로 방어하는 보안체계 마련도 서둘러 나가야 한다”고 강조했다.

 

금융당국은 이미 AI를 활용한 보안 취약점 점검을 위해 금융회사의 망분리 규제를 단계적으로 완화하고 있다. 지난 9월에는 중소 금융회사와 전자금융업자까지 보안 목적 AI 활용을 위한 망분리 규제 완화 대상 확대 방안을 확정했다.

 

금융권에서도 AI를 이용한 방어체계 구축에 나서고 있다. 일부 금융그룹은 AI가 스스로 웹서비스의 구조를 분석하고 취약점을 찾아내는 보안 시스템을 도입하거나 확대하고 있다.

 

진짜 위협은 ‘2차 피해’

 

이번 사태에서 금융당국이 가장 우려하는 것은 유출된 개인정보가 보이스피싱과 스미싱 등 2차 범죄에 활용되는 것이다.

 

이름과 전화번호만 유출됐을 때와 달리 연소득, 대출한도, 직장 정보 등이 결합되면 이야기가 달라진다. 공격자는 “어느 은행에서 얼마를 대출받으셨죠”라는 식으로 실제 금융거래를 알고 있는 것처럼 접근할 수 있다. 여기에 AI 음성합성이나 딥페이크 기술까지 결합하면 피해자가 사기 여부를 구별하기가 더욱 어려워진다.

 

전문가들은 결국 이번 사태는 금융권에 하나의 과제를 던졌다고 지적한다. “은행의 가장 중요한 정보는 은행의 가장 중요한 시스템에만 있는가.”하는 질문이다.

 

이번 공격은 그렇지 않다는 사실을 보여줬다. 고객정보는 대출모집인 시스템에도 있고 직원용 앱에도 있으며 영업지원 시스템에도 있다. 금융회사 내부의 ‘작은 구멍 하나’가 거대한 개인정보 유출로 이어질 수 있는 시대가 된 것이다.

 

전문가들은 이제 금융보안을 ‘은행 전산망을 지키는 문제’가 아니라 고객정보가 존재하는 모든 시스템을 실시간으로 감시하고 AI로 공격을 예측·차단하는 문제로 다시 정의해야 한다고 강조했다.