금융권 해킹, 동일한 공격자…AI 활용 ‘자동화 해킹’ 정황

신한·KB·하나·부산은행 이어 저축은행·현대캐피탈까지…공격 IP 바꿔가며 연쇄 침투 금융당국 “AI 활용 대량 공격 가능성”…경찰, ‘ARTEX AI’ 사용 흔적 집중 수사 직원 지원 시스템·정보조회 서비스 등 취약점 악용…고객정보 포함 로그 유출 확인 금감원, 500여 금융사에 긴급 보안점검 지시…이억원 “최고 수준 경각심 가져야” 최근 신한은행과 KB국민은행, 하나은행, BNK부산은행 등 주요 은행을 비롯해 저축은행과 캐피탈사까지 잇따라 발생한 금융권 침해사고에서 동일 공격자가 개입한 것으로 의심되는 정황이 포착됐다. 특히 공격 과정에서 인공지능(AI) 기반 도구가 활용된 흔적까지 확인되면서 금융권 전반으로 사이버 위협에 대한 경계 수위가 높아지고 있다. 4일 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사의 침해사고를 분석한 결과 일부 공격에서 동일한 인터넷주소(IP)가 확인됐다. 은행권을 겨냥한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 달랐지만, 공격 방식과 패턴에는 유사성이 나타났다. 공격자가 IP를 계속 바꿔가며 여러 금융회사를 동시에 노린 것으로 금융당국은 보고 있다. 특히 AI 도구를 활용해 공격 과정을 자동화하고 여러 금융회사를 대상으로 대량 공격을 시도했을 가능성에 무게가 실리고 있다. 신한은행이 국회에 제출한 자료에서도 공격에 사용된 IP가 한국을 비롯해 미국, 일본, 홍콩, 싱가포르, 베트남, 태국, 영국 등 여러 국가에 분산돼 있었던 것으로 나타났다. 금융보안 관계자는 은행 공격에 사용된 IP에서 ‘ARTEX AI’와 관련된 흔적이 발견됐으며, 현재 경찰청 사이버수사국이 구체적인 연관성을 확인하고 있다고 전했다. ARTEX AI는 중국어권 개발자를 중심으로 깃허브에 오픈소스로 공개된 대규모언어모델(LLM) 기반 자율형 침투테스트 시스템으로 알려졌다. 다만 오픈소스 프로그램이라는 특성상 특정 국가나 세력이 독점적으로 사용하는 도구라고 단정하기는 어렵다는 게 보안업계의 설명이다. 공격에 이용된 IP 역시 여러 국가에 분산돼 있는 만큼 이번 침해사고의 배후를 특정 국가와 연결하는 데는 신중해야 한다는 지적이 나온다. 이번 일련의 공격으로 금융회사 직원이나 대출모집인 등이 사용하는 업무지원 시스템에서 정보가 유출된 것으로 파악됐다. 다만 현재까지 인터넷·모바일뱅킹 등 고객 대상 금융서비스가 직접적인 영향을 받거나 금전적인 피해가 발생한 정황은 확인되지 않았다. 금융당국은 침해사고를 공격 대상과 취약점에 따라 크게 세 가지 유형으로 나눠 대응책을 마련했다. 우선 정보조회 서비스에서는 본인 인증 없이 대출신청 내역이나 기업 대표자 정보 등을 조회할 수 있도록 시스템이 잘못 구축된 사례가 확인됐다. 금융당국은 인증 절차가 제대로 적용되지 않은 서비스를 전수 점검하고, 오류가 발견된 시스템은 즉시 수정하거나 서비스를 중단하도록 했다. 직원들의 업무를 지원하는 PB·RM 관련 서비스에서는 모바일 기기에 대한 접근통제가 미흡하거나 권한이 없는 이용자가 웹 취약점을 통해 접근할 수 있는 문제가 발견됐다. 금융회사들은 사전에 등록된 단말기만 접속할 수 있도록 통제를 강화하고 취약한 웹서비스에 대한 보완 작업을 진행해야 한다. 홈페이지에서는 이미 알려진 보안 취약점을 악용해 악성코드를 심은 뒤 고객정보가 포함된 로그파일을 빼낸 사례도 확인됐다. 금융당국은 관련 취약점을 즉시 보완하거나 필요한 경우 해당 서비스를 차단하도록 했다. 7개 금융사 외에도 다른 금융회사에서 침해 시도가 있었던 것으로 파악됐다. 다만 다중인증체계를 갖추고 취약점을 사전에 보완했는지 여부에 따라 실제 침해로 이어진 사례와 그렇지 않은 사례가 갈린 것으로 나타났다. 금융감독원은 비슷한 공격의 확산을 막기 위해 전 금융권 약 500개사에 공격에 활용된 IP 정보와 보안 유의사항을 전달했다. 은행과 카드사는 오는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 긴급 보안점검을 완료해야 한다. 점검 대상에는 공격 IP 차단과 피해 여부 조사, 외부에 노출된 정보기술(IT) 자산과 서비스 파악, 보안 강화 조치 등 12개 항목이 포함됐다. 금융당국은 점검 과정에서 취약점이 발견되면 즉각 보완하도록 하고, 실제 사고가 발생한 금융회사에 대해서는 현장 점검을 실시할 방침이다. 검사 결과 확인된 취약 요인과 개선 사례도 금융권 전체에 공유해 유사한 침해사고가 반복되는 것을 차단할 계획이다. 현재 진행 중인 금융권 정보기술 기본통제 ‘자율 시정’ 조치도 오는 11월까지 이어진다. 금융당국은 이 과정에서 점검이 부실하게 이뤄져 대규모 IT 또는 침해사고가 발생할 경우 엄정하게 책임을 묻겠다는 입장이다. 금융당국은 이번 사태 이후 이날까지 모두 세 차례 긴급상황 대응회의를 열었다. 이날 회의에는 전 금융권 회장들과 침해사고가 발생한 금융회사 임원들이 참석해 사고 현황과 대응책을 논의했다. 이억원 금융위원장은 금융회사들의 선제적인 보안 대응을 주문했다. 이 위원장은 “금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점”이라며 철저한 보안 점검과 함께 금융소비자 보호를 위한 조치를 당부했다. 금융당국은 향후 개별 금융회사에 대한 사고 조사와 현장 점검을 병행하면서 AI를 활용한 자동화 공격 가능성을 포함해 공격 수법을 면밀히 분석하고, 금융권의 전반적인 보안 통제 수준을 강화할 방침이다.