인공지능(AI) 에이전트를 활용한 것으로 추정되는 해킹이 여러 금융회사의 직원용 업무지원 시스템을 거쳐 고객 개인정보 유출로 이어졌다. 10월 4일 현재 유출이 확인된 곳은 7곳이고, 최소 9~10곳에서 공격 시도가 확인됐다는 보도가 나왔다. 신한은행에서는 고객 개인정보 2만5727건, 예가람저축은행에서는 약 4만명의 이름·생년월일·연락처 등이 유출된 것으로 전해졌다. 금융회사 내부 업무망의 취약점이 고객의 개인정보와 금융 안전에 직접 영향을 줄 수 있다는 점이 이번 사건의 핵심이다.

배경과 맥락

이번 공격은 한 회사를 정해 집중적으로 노린 방식이라기보다, 다수 금융회사를 상대로 공격을 시도한 뒤 취약한 곳을 찾아 들어간 것으로 설명됐다. 사설은 인공지능 에이전트가 여러 금융사에 무작위 공격을 가하고 빈틈을 파고들었다고 전했다. 다만 후속 보도는 공격 시간과 수법이 비슷해 동일 세력일 가능성이 제기됐다고 하면서도, 실제 공격에 AI가 활용됐는지는 확인되지 않았다고 밝혔다.

문제의 통로는 고객용 인터넷·모바일뱅킹이 아니라 직원이나 업무 관계자가 쓰는 시스템이었다. 신한은행의 대출상담사 접수 대출 진행현황 조회 서비스, KB국민은행의 직원용 모바일 업무지원 시스템, 하나은행의 직원 영업지원 시스템이 공격 경로로 보도됐다. 고객용 시스템보다 인증 절차가 느슨하거나 보안 관리가 상대적으로 부족한 내부용 서비스가 공격의 약한 고리가 될 수 있음을 보여준다.

후속 보도에 따르면 국민은행에서는 고객 119명, 하나은행에서는 89명의 정보가 유출된 것으로 확인됐고, 부산은행에서는 외부 웹서버 공격 시도 과정에서 외주 개발직원 11명의 정보가 노출됐다. 우리은행과 NH농협은행도 유사한 공격을 받았으나 실제 유출로 이어지지는 않은 것으로 전해졌다. 제2금융권에서는 현대캐피탈 대출모집인 146명의 정보가 유출된 사실이 확인됐으며, 새마을금고중앙회와 농협 상호금융에서는 공격 시도가 있었지만 차단하거나 방어한 것으로 보도됐다.

사설은 공격에 중국어권에서 오픈소스로 공개된 대규모언어모델(LLM·방대한 문장 자료를 학습해 글을 이해하고 생성하는 AI) 기반 자율형 침투테스트 플랫폼 ‘아텍스(ARTEX) AI’가 사용됐을 가능성이 크다고 전했다. 하지만 이는 확인된 사용 사실이 아니다. 도구의 이름이나 출처가 언급됐다는 것만으로 실제 공격 방식이나 배후가 밝혀졌다고 볼 수는 없다.

이 소식이 뜻하는 것

고객에게 중요한 것은 해킹이 발생했다는 사실뿐 아니라 어떤 정보가 유출됐는지, 그 정보가 어떻게 악용될 수 있는지다. 보도된 유출 정보에는 이름, 연락처, 연소득, 직장명, 주소, 이메일 등이 포함됐으며, 일부 암호화된 주민등록번호도 언급됐다. 금융권은 공격받은 시스템이 금융거래 시스템과 별도 채널이어서 계좌번호 등 거래 정보는 유출되지 않았다고 설명했다. 그렇더라도 대출 상담이나 소득과 관련된 정보가 다른 개인정보와 결합되면, 실제 상담 내용을 아는 듯 접근하는 맞춤형 피싱이나 보이스피싱에 이용될 위험이 있다.

예를 들어 대출 상담을 했던 사람이 실제 상담 내용이나 직장·소득을 알고 있는 듯한 문자나 전화를 받는다면, 상대를 금융회사 직원으로 오인할 수 있다. 이는 발생이 확인된 피해가 아니라 보도에서 제기된 2차 피해 가능성이다. 금융회사들이 피해 고객에게 개별적으로 유출 사실과 예방 방법을 안내하고, 이번 유출로 피해가 발생하면 전액 보상하겠다는 방침을 전했다는 점도 함께 살펴야 한다.

이번 사건은 ‘내부 시스템’이라는 이유만으로 위험이 작다고 볼 수 없다는 점을 드러낸다. 사설은 직원용 시스템에도 고객용 시스템에 못지않은 인증을 적용하고, IP(인터넷에 연결된 기기를 식별하는 주소)를 바꿔가며 반복 접속하는 이상 징후를 실시간으로 탐지해야 한다고 촉구했다. 금융위원장과 금융감독원장은 금융권 협회장 및 사고가 발생한 금융사 최고경영자들을 불러 긴급 점검회의를 열었다. 조치의 실효성은 내부 업무 시스템까지 보안 점검과 탐지 대상에 포함하는지에 달려 있을 수 있다.

보도마다 다르게 전한 점

사설은 10월 4일 현재 개인정보 유출이 확인된 곳을 7곳으로 제시하고, 최소 9~10곳에서 공격 시도가 있었다고 전했다. 같은 날의 상세 보도는 은행·저축은행·캐피털·상호금융별로 확인된 유출과 방어 사례를 구체적으로 나열했다. 보도 시점과 집계 범위가 다를 수 있으므로, 이 숫자만으로 최종 피해 기관 수나 피해 규모가 확정됐다고 해석해서는 안 된다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 10월 4일 현재 유출이 확인된 금융회사는 7곳으로 보도됐고, 최소 9~10곳에서 공격 시도가 확인됐다는 내용이 전해졌다.
  • 신한은행에서 고객 개인정보 2만5727건, 예가람저축은행에서 약 4만명의 이름·생년월일·연락처 등이 유출된 것으로 보도됐다.
  • 신한은행 대출상담사 조회 서비스, KB국민은행 직원용 모바일 업무지원 시스템, 하나은행 직원 영업지원 시스템이 공격 통로로 지목됐다.
  • 금융권은 공격받은 시스템이 금융거래 시스템과 별도 채널이며 계좌번호 등 거래 정보는 유출되지 않았다고 설명했다.
  • 금융위원장과 금융감독원장은 10월 4일 금융권 관계자 및 사고 금융사 최고경영자들과 긴급 점검회의를 열었다.

아직 알 수 없는 것

  • 해킹의 배후가 누구인지는 확인되지 않았다.
  • 아텍스 AI가 실제 공격에 사용됐는지는 확인되지 않았다.
  • 최종적으로 피해를 본 금융회사와 유출된 개인정보의 전체 규모는 아직 알 수 없다.
  • 유출 정보가 실제로 피싱이나 보이스피싱에 악용됐는지도 제시된 보도만으로는 확인할 수 없다.

독자가 확인할 것

  • 금융회사에서 개인정보 유출 안내를 받았다면, 유출된 정보의 종류와 안내된 예방 방법을 확인하고 본인에게 해당하는 사고인지 살펴보는 것이 좋다.
  • 대출이나 금융거래 내용을 알고 있는 듯한 전화·문자라도 실제 금융회사 연락이라고 단정하지 말고, 상대가 요구하는 개인정보나 인증 정보를 제공하기 전에 해당 금융회사의 공식 창구를 통해 사실 여부를 확인해야 한다.
  • 금융회사들은 유출로 피해가 발생하면 전액 보상하겠다는 방침을 전한 만큼, 안내문에 적힌 피해 접수 절차와 보상 조건을 확인해 두는 것이 필요하다.

참고 자료