지난달 말 신한은행 등 국내 금융사를 겨냥한 해킹 공격에 사용된 웹서버에서 ‘아텍스(ARTEX)-自主渗透测试控制台’라는 문구가 발견됐다. 아텍스는 거대언어모델(LLM·대규모 문서와 데이터를 학습해 글을 만들고 정보를 처리하는 인공지능 모델) 기반의 보안 점검 도구다. 보안업계 설명을 바탕으로 한 보도는 이 도구가 공격에 악용됐을 가능성을 제기했지만, 실제 공격 과정의 어느 단계에서 어떤 기능을 했는지는 확인되지 않았다.

같은 시기 금융권에서는 은행뿐 아니라 저축은행·캐피털·상호금융까지 개인정보 유출이나 공격 시도가 보고됐다. 이 소식에서 중요한 질문은 ‘AI가 해킹했나’에 그치지 않는다. AI 도구의 흔적이 공격을 더 빠르거나 정교하게 만들었을 수는 있지만, 그런 공격이 통할 수 있었던 시스템의 취약점과 관리 상태도 함께 따져야 한다.

배경과 맥락

아텍스 프로젝트는 깃허브에 공개된 도구로, 지난 8월 중국 바이두 보안대응센터가 주최한 ‘에이전트 플러스’ 공격 능력 챌린지에서 우승했다. 이번 공격에 이용된 웹서버에서 관련 문구가 확인됐다는 사실은 아텍스와 공격 사이의 연결 가능성을 보여주는 단서다. 그러나 도구의 이름이 서버에서 발견됐다는 것만으로 아텍스가 공격 전 과정을 수행했다거나, 사람의 개입 없이 자율적으로 침입했다고 단정할 수는 없다.

이번 공격 양식으로 보도된 크리덴셜 스터핑은 다크웹에서 불법 유통되는 아이디와 비밀번호를 반복 입력해 로그인한 뒤 개인정보를 빼내는 방식이다. 기존에는 해커가 미리 작성한 명령에 따라 자동화 봇이 로그인 정보를 기계적으로 입력하는 형태가 활용됐다. 이번에는 시스템 취약점을 LLM 기반으로 탐색해 공격을 실행하는 도구가 쓰였을 가능성이 제기됐지만, 공격 과정에서 사람과 AI가 각각 맡은 역할은 밝혀지지 않았다.

황석진 동국대 교수는 사람이 로그인 정보를 입력하는 데 5초, 기존 자동화 봇에는 1초, AI 에이전트에는 0.3~0.5초가 걸릴 수 있다고 설명했다. 또 AI 에이전트가 시스템 조건에 맞지 않는 계정을 걸러내 공격을 더 정교하게 만들 수 있다고 말했다. 이는 가능한 속도와 기능에 대한 설명이지, 이번 사건에서 실제로 그 속도나 기능이 사용됐다는 확인은 아니다.

금융권 보도에서는 공격 대상이 된 업무 시스템의 성격도 공통적으로 드러났다. 신한은행 대출모집인용 조회 서비스 등은 고객이 이용하는 주 전산망이 아니라 부가·업무지원 시스템이었고, 다중 인증을 적용하지 않는 등 보안 체계가 상대적으로 느슨하게 설계된 것으로 전해졌다. 김명주 서울여대 교수는 핵심을 AI 사용 여부가 아니라 은행 부가시스템의 취약점을 제대로 관리하지 않은 데서 찾아야 한다고 지적했다.

이 소식이 뜻하는 것

금융권 보도에 따르면 신한은행에서는 고객 약 2만5천여명의 이름·전화번호·연소득·직장명·일부 주민등록번호 등이 유출된 사실이 확인됐다. 국민은행에서는 고객 119명, 하나은행에서는 고객 89명의 정보가 유출된 것으로 보도됐다. 부산은행에서는 외부 웹서버 공격 시도 과정에서 외주 개발직원 11명의 정보가 노출됐고, 우리은행과 NH농협은행은 유사한 공격을 받았으나 실제 유출로 이어지지 않은 것으로 전해졌다.

제2금융권에서는 예가람저축은행의 고객 약 4만명 정보 유출과 현대캐피탈 대출모집인 146명의 정보 유출 사실이 보도됐다. 새마을금고중앙회와 농협 상호금융 등은 비슷한 접근 시도가 있었지만 방어에 성공한 것으로 알려졌다. 금융권은 공격받은 시스템이 인터넷·모바일뱅킹과 별도여서 계좌번호 등 금융거래 정보는 유출되지 않았다고 설명했다. 다만 유출 정보에는 연락처와 소득·직장 정보 등이 포함될 수 있어, 실제 대출 상담을 아는 듯한 사칭 전화나 문자로 이어지는 2차 피해 우려가 제기됐다.

이 때문에 정보 유출 여부를 확인하는 일과 함께, 유출 정보를 이용한 사칭에 주의하는 일이 중요하다. 예를 들어 대출 상담을 했던 사람에게 상담 내용을 아는 듯한 전화나 문자가 오더라도, 상대가 알고 있는 정보만으로 금융회사 직원이라고 판단하지 않는 편이 안전하다. 금융회사들은 피해 고객에게 개별적으로 유출 사실과 2차 피해 예방 방법을 안내하고, 이번 정보 유출로 피해가 생기면 전액 보상하겠다는 방침을 전한 것으로 보도됐다.

더 넓게 보면 업무지원 시스템은 고객용 주 전산망이 아니라는 이유만으로 위험이 낮다고 볼 수 없다는 점이 이번 사건의 쟁점이다. 대출모집인이나 직원이 쓰는 서비스에도 개인정보가 모일 수 있고, 인증이 상대적으로 느슨하면 공격자가 노릴 수 있는 통로가 될 수 있다. AI의 속도와 자동화 능력을 점검하는 일과 함께, 어떤 시스템이 외부에서 접근 가능한지, 계정과 인증은 어떻게 관리되는지 살피는 것이 재발 방지의 핵심 과제가 될 수 있다.

관련 제도·지원 정보

사내 법률 가이드에 따르면 정보통신망법 제48조 제1항은 정보통신망에 대한 정당한 접근 권한이 있는지와 허용된 범위를 벗어났는지를 따지는 근거가 된다. 아이디와 비밀번호를 알고 있거나 과거에 사용 허락을 받았다는 사실만으로 현재도 접속 권한이 있다고 단정할 수는 없다. 서비스 제공자가 부여한 권한과 허용 범위 등 구체적인 사정을 살펴야 한다.

따라서 아텍스라는 도구가 공격 서버에서 확인됐다는 보도만으로 특정 행위자의 법적 책임이나 범죄 성립을 결론 내릴 수는 없다. 실제 접속 경위, 권한, 행위와 증거를 따져야 한다. 법률 가이드도 사례의 결론은 당시 법령과 개별 사실관계에 따라 달라질 수 있으므로, 실제 사안에서는 현행 법령과 구체적인 증거를 확인해야 한다고 주의를 당부한다.

보도마다 다르게 전한 점

보도의 초점과 상세 수준은 다르다. 아텍스 관련 보도는 공격 서버에서 발견된 문구와 도구의 성격을 중심으로, 아텍스가 어느 단계에 쓰였는지 불분명하다는 점을 강조했다. 금융권 전반을 다룬 보도는 여러 금융사의 유출·차단 사례와 일부 피해 인원, 유출 정보의 종류를 제시했다. 이는 사건의 다른 범위를 다룬 것이며, 아텍스의 실제 활용 여부나 전체 피해 규모가 확정됐다는 뜻은 아니다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 공격에 사용된 웹서버에서 아텍스 관련 문구가 발견됐다고 보도됐다.
  • 아텍스는 깃허브에 공개된 LLM 기반 보안 점검 도구이며, 지난 8월 공격 능력 챌린지에서 우승했다.
  • 금융권 여러 회사에서 개인정보 유출 또는 외부 공격 시도가 보고됐다.
  • 신한은행 대출모집인용 조회 서비스 등 일부 업무지원 시스템은 고객용 주 전산망과 달랐고, 보안 체계가 상대적으로 느슨했던 것으로 전해졌다.
  • 이재명 대통령은 금융기관과 공공기관의 개인정보 유출 사고 및 대응 현황을 보고받고 철저한 조사와 대책 마련을 지시했다고 전해졌다.

아직 알 수 없는 것

  • 아텍스가 실제 공격의 어느 단계에서 어떤 기능으로 사용됐는가?
  • 공격 과정에서 사람과 AI가 각각 어느 정도 관여했는가?
  • 보도된 사례를 모두 합친 개인정보 유출 규모와 피해 범위는 어떻게 확정될 것인가?
  • 외부에 보고되지 않은 금융사 공격 시도가 더 있었는가?

독자가 확인할 것

  • 해당 금융회사에서 개인정보 유출 안내를 받았다면 어떤 정보가 포함됐는지 확인하고, 안내된 예방 조치를 살펴보세요.
  • 대출 상담이나 금융 정보를 언급하는 전화·문자라도 곧바로 믿지 말고, 상대가 주장하는 신원과 연락 경로를 별도로 확인하세요.
  • 유출 정보를 이용한 피해가 의심되면 관련 안내와 상담 기록을 보관하고, 금융회사가 고지한 신고·보상 절차를 확인하세요.

참고 자료