시중은행·2금융권까지… ‘AI 해킹’ 금융권 ‘비상’

AI로 금융 광범위 공격 당국 오늘 금융사 대표 소집 주요 시중은행을 덮친 해킹 공격이 저축은행과 캐피탈사(할부금융사) 등 2금융권까지 번지고 있다. 인공지능(AI) 에이전트를 활용한 것으로 추정된는 공격이 금융권 전반을 무차별적으로 겨냥하면서 은행권 전반의 보완 체계를 재정비해야 한다는 목소리가 나오고 있다. ◇1·2금융권 안 가리고 공격 4일 금융권에 따르면 지난달 30일 신한은행에서 대출모집인 서비스를 통해 고객 약 2만5000명의 개인정보가 빠져나간 사실이 확인된 이후, KB국민은행과 하나은행, BNK부산은행 등에서도 비슷한 시기 외부 침해가 잇따라 드러났다. KB국민은행에서는 직원용 모바일 업무 시스템을 통해 고객 119명의 정보가, 하나은행에서는 영업지원시스템을 통해 고객 89명의 정보가 유출됐다. BNK부산은행에서도 외부의 웹서버 공격 시도 과정에서 세션 검증이 미흡했던 페이지를 통해 외주 개발직원 11명의 정보가 노출됐다. 우리은행과 NH농협은행 역시 유사한 공격을 받았으나 실제 정보 유출로는 이어지지 않은 것으로 전해졌다. 시중은행에 이어 2금융권에도 해킹 공격이 파악됐다. 예가람저축은행은 지난달 30일 해킹 공격으로 약 4만명의 고객명, 생년월일, 연락처 등이 유출됐다고 지난 2일 발표했다. 현대캐피탈도 대출모집인 146명의 이름, 연락처, 이메일 주소, 주민등록번호 등이 유출된 사실을 인지했다. 며칠 사이 제1·2금융권을 가리지 않고 광범위한 해킹 공격이 동시다발로 이뤄진 셈이다. 다만 증권·보험·카드업권과 IBK기업은행, 한국수출입은행 등 국책은행에서는 현재까지 동일한 공격 흔적이 확인되지 않은 것으로 전해졌다. ◇금융권 보안체계의 전면 개편 추진될 듯 당국은 이번 공격이 특정 회사를 겨냥한 것이 아니라, AI로 무작위 공격을 가하는 과정에서 취약한 금융사들이 노출됐다는 점에 주목한다. 공격 시간대와 수법이 비슷해 동일 세력일 가능성이 크지만, 일부 공격에는 AI가 활용되지 않는 등 차이도 있어 주체 규명에는 시간이 걸릴 전망이다. 특히 해커들은 고객용 금융 업무 시스템이 아닌 직원용이나 비중요 업무 지원 시스템의 ‘빈틈’을 지능적으로 파고들어 정보를 빼냈다는 공통점이 있다. 대고객 창구와 달리 엄격한 인증 절차를 거치지 않아도 되는 내부용 홈페이지 메뉴나 앱을 표적으로 삼았다. 이에 따라 금융당국 주도 또는 전체 업권 차원의 공동 대응이 필요하다는 목소리가 높아지고 있다. 당국 내부에서도 AI로 취약점을 찾아 공략하는 신종 수법을 기존 보안 역량으로 막아내기 어렵다는 판단이 나온다. 이에 금융권 보안체계를 어느 수준까지 개편할지 고심하는 분위기다. 실제 지난 2일 금융위원회 주재 긴급 상황 대응 회의에서는 현행 대응체계가 무력화한 만큼 새로운 제도 추진이 필요하다는 의견이 나온 것으로 전해졌다. 당국은 이날 오후 금융회사 대표들을 소집해 관련 논의를 이어갈 것으로 보인다.