[GK뉴스온 속보]이억원 "AI 해킹 배제 못해"…금융사 7곳 '뒷문'으로 뚫렸다

 (GK뉴스온 디지털팀장 안재민 기자)

금고 문은 멀쩡했다. 해커가 드나든 곳은 대출모집인과 직원이 쓰는 '뒷문'이었다. 지난달 27일부터 이달 1일 사이 이 뒷문을 통해 금융사 7곳에서 개인 약 6만6천 명, 법인 정보 최대 2,200건이 빠져나갔다.

금융위원회는 4일 정부서울청사에서 '전 금융권 긴급 점검회의'를 열고, 업무상 필수적이지 않은 외부접근을 원칙적으로 차단하라고 주문했다. 이억원 금융위원장은 "인공지능(AI)을 활용한 공격 가능성도 배제할 수 없다"고 밝혔다. 공격 IP에서는 중국에서 개발된 오픈소스 AI 침투테스트 도구 '아르텍스(ARTEX)'의 흔적이 나왔다.

○ 피해 1위는 은행 아닌 저축은행…7곳에서 6만6천 명

금융권에 따르면 단일 금융사 기준 피해가 가장 큰 곳은 예가람저축은행(약 4만 명, 추정)이다. 지난달 30일 고객정보가 담긴 서버에 해커가 접근한 정황을 확인했다. 유출 항목은 성명·생년월일·연락처이며 정확한 인원은 확인 중이다.

이어 신한은행 2만5729명, KB국민은행 119명(임직원 20명·고객 99명), 하나은행 89명 순이다. 현대캐피탈에서는 주택대출 모집인 146명, BNK부산은행에서는 외주 개발직원 11명의 정보가 유출됐다. 웰컴저축은행은 3일 자체 점검 중 법인고객 정보 유출을 확인했다. 법인명과 담당자 이름·이메일·전화번호 등 최대 2,200건이다. 웰컴저축은행은 유출 경위와 정확한 범위를 조사하고 있다.

  공격을 받고도 결과는 갈렸다. 우리은행과 NH농협은행은 외부 공격을 차단해 현재까지 유출 피해가 없다는 입장이다. 새마을금고중앙회도 신한은행 공격자와 같은 IP에서 들어온 접근을 막았다.   금융당국은 다중인증 체계를 갖췄거나 알려진 취약점을 미리 보완한 금융사가 침해를 막아낸 것으로 파악했다. 기술 격차가 아니라 기본 수칙을 지켰는지가 피해를 갈랐다는 의미다.

○ 15시간 몰랐고, 30시간 걸려 막았다

피해가 컸던 신한은행의 대응 시계는 늦게 돌았다. 국회 정무위원회 손명수 더불어민주당 의원실이 제출받은 침해사고 보고서에 따르면, 모바일 홈페이지 'M신한'을 향한 비정상 접근은 지난달 28일 오후 6시 4분에 시작됐다.

은행이 공격을 처음 인지한 시점은 이튿날 오전 9시 30분이다. 공격 시작 후 약 15시간이 지난 뒤다. 오전 11시 31분 해외 IP 차단에 들어갔지만 공격은 멈추지 않았다. 고객정보 유출 사실은 29일 오후 7시 3분에야 확인됐다. 최종 차단은 30일 새벽에 이뤄져, 공격부터 차단까지 약 30시간이 걸렸다.

 ▶ 고객번호 무작위 대입…DB 털기 아닌 '조회해 긁기'

공격자는 고객번호 등에 무작위 값을 넣어 조회 서비스와 휴대전화 인증 절차를 우회하려 했다. 유출 항목은 고객명, 전화번호, 연소득, 대출 산출한도다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다.

금융당국은 이번 공격이 데이터베이스를 직접 빼내는 방식이 아니라고 본다. 웹페이지와 서버에서 조회되는 정보를 읽어 가져가는 방식이라는 것이다. 공격이 유독 빠르고 반복적이었다는 점이 AI 활용 가능성의 근거로 거론된다.

신한은행은 "초기 대응 과정에서 일정 시간이 소요된 부분을 무겁게 받아들인다"고 밝혔다. 고객의 금전 피해가 확인되면 전액 보상한다는 방침이다.

▶ 국민은행은 신한보다 하루 먼저 뚫렸다

신한은행이 첫 사례로 알려졌지만 공격은 국민은행에서 먼저 시작됐다. 국회 정무위원회 박민규 더불어민주당 의원실을 통해 공개된 국민은행 보고서에 따르면, 공격은 지난달 27일 밤 11시 19분쯤 시작됐다.

다른 금융사의 피해는 금융보안원이 신한은행 조사에서 확보한 공격 IP를 금융권에 공유한 뒤에 드러났다. 각 사가 해당 IP의 접속 이력을 전수 조사하는 과정에서 침해 사실을 뒤늦게 확인한 것이다.

○ 뚫린 곳은 모두 '망분리 밖'

이번에 뚫린 시스템은 고객이 쓰는 인터넷뱅킹이나 모바일뱅킹이 아니다. 신한은행은 대출모집인용 조회 서비스, 국민은행은 직원용 모바일 업무지원 시스템, 하나은행은 영업지원시스템이 공격 통로였다.

금융당국은 사고 유형을 세 가지로 분류했다. 본인 확인 없이 정보를 조회할 수 있는 서비스, 모바일 단말기 접근통제가 빠진 업무지원 서비스, 알려진 취약점이 악용돼 악성코드가 설치된 홈페이지다. 업무 편의를 위해 외부에 열어 둔 주변부가 공통 표적이 됐다.

○ '아르텍스' 흔적, 어디까지 확인됐나

ARTEX 의혹은 보안업계에서 먼저 제기됐다. 신한은행 공격에 쓰인 것으로 추정되는 웹서버의 페이지 제목에 'ARTEX-自主渗透测试控制台(자율 침투테스트 콘솔)'라는 중국어 문구가 남아 있었다.

ARTEX는 대규모언어모델(LLM) 기반 오픈소스 침투테스트 시스템이다. 여러 AI 에이전트가 정보 수집, 취약점 탐색, 공격 경로 설계, 취약점 검증을 나눠 자동으로 처리한다. 깃허브에 공개돼 있어 누구나 내려받을 수 있다.

금융보안원 관계자는 3일 "신한은행 로그와 공격자 IP 등을 역추적해 보니 아르텍스를 활용한 흔적들이 나왔다"고 밝혔다. IP가 바뀌어도 공격 수법과 노리는 취약점이 같고, 공격 데이터에 아르텍스 특유의 데이터가 공통으로 남아 있다는 설명이다.

▶ 4개 은행은 거의 같은 IP…저축은행은 '다른 그룹'

공격 IP는 두 갈래로 나뉜다. 신한·국민·하나·부산 등 4개 은행에서는 거의 동일한 IP가 확인됐다. 저축은행 2곳에서도 서로 유사한 IP가 나왔지만, 두 그룹의 IP에는 차이가 있다.

박상원 금융보안원장은 "공통된 IP에 아르텍스 흔적이 있다"고 말했다. 다만 AI 활용 여부는 아직 확정 단계가 아니다. 박 원장은 공격 속도를 근거로 AI 활용을 추정한다면서도 "에이전트를 직접 본 건 아니니까 확정할 순 없다"고 선을 그었다.

▶ 배후는 오리무중…"중국발로 단정 못해"

공격은 일본·미국·홍콩·싱가포르 등 여러 나라를 경유한 IP로 이뤄졌다. 아르텍스는 공개된 오픈소스여서, 중국어 문자열만으로 공격 주체를 중국으로 단정할 수 없다. 당국은 국제 공조로 공격 주체를 확인할 계획이다.

경찰청 사이버테러대응수사대는 1일 신한은행, 2일 나머지 은행에 대해 입건 전 조사(내사)에 착수했다.

○ 금융위 "필수 아닌 외부접근, 원칙적으로 차단하라"

금융위는 당초 연휴 중 각사 자체 점검을 거쳐 7일 결과를 보고받을 계획이었다. 하지만 피해가 제2금융권으로 번지자 소집 일정을 앞당겼다. 4일 회의는 이 위원장이 주재했고 이찬진 금융감독원장, 박상원 금융보안원장, 전 업권 협회장, 피해 금융사 최고경영자(CEO)가 참석했다.

당국은 외부에 노출된 IT 자산과 서비스를 빠짐없이 파악하고, 인증과 접근통제를 다시 점검하라고 요구했다. 불가피한 외부접근도 권한과 조회 범위를 최소화해야 한다. 대출모집인·위탁업체 시스템에 개인신용정보가 불필요하게 보관·조회되는지도 점검 대상이다.

금감원은 전 금융권 약 500개사에 공격 IP와 12개 항목 체크리스트를 전파했다. 점검 시한은 은행·카드사 6일, 증권·보험·저축은행·전자금융업자 8일이다.

▶ "공유된 정보 무시하면 엄정 책임"

이 위원장은 공격 정보가 이미 공유됐는데도 대응을 소홀히 해 유사 사고가 나면 법령에 따라 엄정히 책임을 묻겠다고 경고했다. AI를 활용한 공격에는 AI로 막는 보안체계를 갖추라고 당부했다. 금융권에는 AI 보안테스트 참여와 제로트러스트 원칙에 기반한 보안 고도화를 요청하고, 보안을 비용이 아닌 투자로 보라고 주문했다.

이재명 대통령도 같은 날 사고 현황을 보고받았다. 청와대에 따르면 이 대통령은 사안을 엄중히 인식하고 철저한 조사와 대책 마련에 만전을 기하라고 지시했다.

▶ 내 정보는 괜찮나…'대출 빙자' 2차 피해 우려

이번 유출에는 연소득과 대출 산출한도처럼 금융 여건을 가늠할 수 있는 정보가 포함됐다. 이 때문에 보이스피싱·스미싱 등 2차 피해 우려가 나온다. 해당 금융사의 개별 통지 여부를 확인하고, 출처가 불분명한 대출 권유 전화나 문자에는 응하지 않는 것이 기본 대응이다.

○ 한전 직원 2만4천 명 정보도 노출…"AI 해킹과 무관"

같은 기간 공기업에서도 사고가 났다. 한국전력은 1일 오후 3시 59분께 직원 2만4천여 명의 이름·소속·전화번호 등이 외부 웹페이지에 노출된 사실을 인지했다고 4일 밝혔다. 노출 정보는 인지 후 약 32시간 만인 2일 자정 무렵 삭제됐다.

주민등록번호 같은 고유식별정보와 고객정보는 포함되지 않았다. 한전은 위탁관리 업체의 실수인지 외부 공격인지 유관기관과 함께 조사하고 있다. 한전은 "지금까지 외부 해킹 시도가 파악된 것은 없다"며 금융권 AI 해킹과는 무관하다는 입장이다.

○ [기자 해설] 방어선은 이제 '뒷문'이다

※ 아래는 기자의 견해다.

이번 사고에서 뚫린 곳은 코어 전산망이 아니었다. 모집인 조회 서비스와 직원용 모바일 앱처럼 관리가 느슨했던 주변부였다. 금융당국이 제로트러스트 원칙을 공식 요청한 것은 망분리와 경계 방화벽 중심의 기존 모델만으로는 부족하다는 판단으로 읽힌다.

AI 도구가 실제로 쓰였는지와 별개로, 취약점 탐색을 자동화하는 도구가 이미 공개돼 있다는 사실만으로 대응 방식은 달라져야 한다. 내부 사용자라도 접근할 때마다 다시 검증하는 체계가 필요하다. 모집인과 직원이 업무 범위 밖의 고객 정보를 조회하지 못하게 하는 최소 권한 관리, 비정상 조회를 실시간으로 잡아 자동 차단하는 탐지 체계, 업권을 넘나드는 위협정보 공유도 시급하다.