여러 은행을 겨냥한 공격에 경찰 조사 시작
국내 여러 은행에서 해킹 공격과 개인정보 유출 사실이 잇따라 알려지자 경찰이 조사에 착수했습니다. 경찰청 사이버테러대응수사대는 10월 2일 신한은행, 케이비국민은행, 하나은행, 비엔케이부산은행 등을 대상으로 입건 전 조사, 즉 정식으로 범죄 혐의를 적용해 수사하기 전에 사건의 사실관계와 범죄 가능성을 살피는 절차에 들어갔다고 밝혔습니다.
경찰은 은행들이 피해 사실을 공개한 뒤 조사에 나선 것으로 전해졌습니다. 현재 단계는 정식 수사와 다릅니다. 조사 과정에서 범죄 혐의가 구체적으로 확인되면 피의자를 입건하고 본격적인 수사로 전환할 수 있습니다.
경찰이 살펴보는 핵심은 여러 은행에서 발생한 피해가 서로 연관된 공격인지, 어떤 경로로 정보에 접근했는지, 실제 유출 범위가 어디까지인지입니다.
은행별로 공개된 정보 유출 규모
은행들이 최근 이틀 사이 밝힌 피해 규모는 서로 다릅니다. 신한은행은 고객 약 2만5000명의 이름과 전화번호 등이 유출됐다고 알렸습니다. 국민은행은 119명, 하나은행은 89명의 고객 정보가 빠져나갔다고 밝혔습니다.
부산은행에서는 고객이 아니라 외주 개발직원 11명의 정보가 유출됐습니다. 은행별로 피해자 수와 정보의 종류가 다른 만큼, 경찰은 각 사건의 경위와 공격 방식이 같은지 별도로 확인해야 합니다.
- 신한은행: 고객 약 2만5000명의 이름과 전화번호 등
- 국민은행: 고객 119명의 정보
- 하나은행: 고객 89명의 정보
- 부산은행: 외주 개발직원 11명의 정보
또 우리은행과 농협은행도 외부 해킹 공격을 받았다고 밝혔지만, 현재까지 개인정보 유출은 확인되지 않았습니다. 공격 시도가 있었다는 사실과 정보가 실제로 빠져나갔다는 사실은 구분해야 합니다. 조사 결과에 따라 피해 규모가 달라질 수 있어, 현재 공개된 수치가 최종 집계인지는 아직 단정하기 어렵습니다.
인공지능 에이전트가 공격에 쓰였을 가능성
하나은행과 부산은행은 반복 작업을 수행하는 인공지능 에이전트가 공격에 활용됐을 가능성을 제기했습니다. 인공지능 에이전트는 사람이 일일이 지시하지 않아도 정해진 목표에 따라 여러 단계를 이어서 처리하는 프로그램을 말합니다. 예를 들어 자료를 찾고, 내용을 분류하고, 다음 작업을 실행하는 일을 자동으로 수행할 수 있습니다.
이런 자동화 도구는 정상적인 업무에도 쓰이지만, 공격에 악용되면 짧은 시간에 반복적인 접근을 시도하는 데 이용될 수 있습니다. 다만 현재로서는 인공지능이 실제 공격에 사용됐는지, 사용됐다면 어떤 역할을 했는지 확정되지 않았습니다. 경찰 조사와 기술 분석을 거쳐야 확인할 수 있는 가능성입니다.
‘인공지능 공격’이라는 표현만으로 원인을 단정할 수 없는 이유
해킹 사건에서는 공격자가 사용한 도구뿐 아니라 정보가 노출된 시스템, 계정 관리 방식, 보안 설정과 외부 업체의 접근 권한도 함께 살펴야 합니다. 인공지능이 공격 과정에 쓰였더라도 그것만으로 유출 원인 전체를 설명할 수는 없습니다. 실제 피해가 발생한 지점과 공격자가 접근한 경로를 구체적으로 확인하는 것이 중요합니다.
개인정보 유출이 우려되는 2차 피해
이름과 전화번호 같은 정보만으로 곧바로 계좌에서 돈이 빠져나가는 것은 아닙니다. 그러나 이런 정보가 다른 곳에서 유출된 자료와 결합되면, 금융기관을 사칭한 전화나 문자로 사람을 속이는 데 악용될 수 있습니다. 공격자가 실제 은행 정보를 알고 있는 것처럼 말하면 피해자가 경계심을 늦출 수 있기 때문입니다.
이 때문에 고객은 은행이나 수사기관을 사칭해 비밀번호, 인증번호, 카드 정보 등을 요구하는 연락에 특히 주의해야 합니다. 의심스러운 문자에 포함된 인터넷 주소를 누르거나, 전화로 전달받은 앱을 설치하는 것도 피하는 편이 안전합니다.
- 문자나 전화로 비밀번호와 인증번호를 알려주지 않기
- 출처가 불분명한 인터넷 주소나 앱 설치 요구를 피하기
- 피해 안내를 확인할 때는 메시지에 적힌 번호 대신 은행의 공식 연락처 이용하기
- 계정 접속 알림이나 금융거래 내역을 살펴보고 이상 징후가 있으면 은행에 문의하기
이 같은 예방 조치는 유출이 확인된 사람뿐 아니라 금융기관을 사칭하는 연락을 받을 수 있는 누구에게나 도움이 됩니다. 다만 피해자가 주의를 기울이는 것만으로 금융기관의 보안 책임이 대체되는 것은 아닙니다. 은행과 관련 업체는 정보가 노출된 원인과 재발 방지책을 확인하고 안내해야 합니다.
사법체계 개편 뒤 첫 대형 사이버범죄 사건 될까
이번 사건이 정식 수사로 이어지면, 개정 형사소송법 시행에 따른 형사사법체계 개편 이후 경찰이 맡는 첫 대형 사이버범죄 사건이 될 전망입니다. 형사사법체계 개편은 범죄를 수사하고 사건을 처리하는 기관의 역할과 절차가 바뀌는 것을 뜻합니다. 이번 사건은 여러 금융기관과 다수의 개인정보가 얽혀 있어, 경찰이 사건을 어떻게 규명하고 관련 기관과 협력하는지에도 관심이 쏠립니다.
다만 경찰은 현재 내사 단계에 있습니다. 따라서 정식 수사 착수 여부나 공격의 배후, 은행 사이의 사건 연관성은 아직 확정된 사실이 아닙니다. 조사 결과에 따라 각각 별개의 공격으로 판명될 수도 있고, 공통된 공격 방식이나 연결고리가 확인될 수도 있습니다.
앞으로 확인될 쟁점
- 여러 은행 공격에 공통된 수법이나 접근 경로가 있었는지
- 개인정보가 유출된 시스템과 계정은 무엇인지
- 인공지능 에이전트가 실제로 사용됐는지, 사용됐다면 어떤 방식이었는지
- 공개된 피해자 수와 정보 범위가 최종적으로 어떻게 확정되는지
- 은행과 외부 개발업체가 접근 권한과 보안 관리 의무를 적절히 이행했는지
이번 사건은 금융기관의 디지털 업무 환경에서 고객 정보와 외주업체의 접근 권한을 함께 관리하는 일이 얼마나 중요한지 보여줍니다. 경찰 조사와 금융기관의 후속 점검을 통해 공격 경로와 피해 범위가 투명하게 밝혀지고, 확인된 취약점에 대한 구체적인 보완책이 마련되는지가 관건입니다.
