금융권 고객정보 유출 잇따라 우리·NH농협銀도 침해 시도 국내 금융사 전방위 공격에 AI자율침투 도구 사용 분석도 기존 유출된 개인정보 활용해 다른 서비스까지 무작위 공격 "신한銀 공격, 중국어 AI 흔적" 금융당국, 보안점검 즉시 착수 우리·NH농협銀도 침해 시도 국내 금융사 전방위 공격에 AI자율침투 도구 사용 분석도 기존 유출된 개인정보 활용해 다른 서비스까지 무작위 공격 "신한銀 공격, 중국어 AI 흔적" 금융당국, 보안점검 즉시 착수 ◆ AI 추정 해킹 연이어 발생 이날 금융당국은 정부서울청사에서 신진창 금융위원회 사무처장 주재로 회의를 개최하고 '최근 금융권 침해 시도 동향 및 대응 방향'을 논의했다. 은행 6개사, 카드 3개사와 은행연합회, 여신금융협회도 참석했다. 신 처장은 "정보 유출 등 사고가 발생하지 않도록 철저한 대비 태세를 갖추는 것이 무엇보다 중요하다"며 "침해 사고의 원인과 공격 수법을 철저히 분석해 필요한 제도 개선 방안을 신속히 마련해 나가겠다"고 밝혔다. 이날 금융위원회는 금융감독원, 금융보안원, 주요 금융회사들과 긴급 상황대응회의를 열고 외부 노출 전산 시스템과 인증·접근 통제 전반에 대한 보안점검에 즉시 착수하기로 했다. 공격 IP와 수법 등 위협 정보를 금융권과 관계 기관이 신속히 공유하고, 침해 사고 원인 분석을 토대로 제도 개선 방안도 마련할 방침이다. 국회 정무위원회 소속 손명수 더불어민주당 의원실에 따르면 전날 발생한 신한은행 해킹의 경우 9월 28일 오후 6시 4분께 신한은행 모바일 홈페이지에 고객 번호 등을 무작위로 대입하며 서비스 조회와 휴대전화 인증 우회 접근을 시도했다. 같은 날 오후 7시 11분에는 대출 신청 결과 등 6개 서비스를 집중적으로 조회하며 공격했다. 신한은행은 지난달 29일 오전 9시 반 해당 사실을 인지하고 해킹 IP를 차단하기 시작했지만 공격은 멈추지 않았다. 그 결과 대출 상품과 신청 정보, 금리 등 대출 관련 정보와 고객명, 휴대전화 번호, 일부 실명 번호 등 고객 정보가 빠져나갔다. 공격이 끝난 건 같은 달 30일 0시 15분께였다. 해킹 IP가 차단된 후에는 추가 인입이나 유입 정황이 없어졌다. 전문가들은 최근의 해킹 시도가 AI 도구에 의해 이뤄진 것으로 보고 있다. 특히 신한은행을 공격한 것으로 추정되는 서버에서는 AI 기반 자율 침투 도구의 흔적까지 발견됐다는 주장이 나왔다. 이에 최근의 잇단 사고가 AI를 활용한 사이버 위협이 본격화되는 신호에 불과할 수 있다는 경고도 나온다. ◆ 스스로 공격 나선 AI 지금까지 AI가 해커의 코드 작성이나 취약점 탐색을 돕는 보조 수단에 가까웠다면, 앞으로는 스스로 시스템을 탐색하고 공격 방식을 바꿔 가며 침투하는 '자율형 공격자'로 발전할 수 있다는 것이다. 특히 AI가 AI 개발과 성능 개선까지 자동화하는 '재귀적 자기 개선' 단계에 들어서면 공격 기술의 진화 속도가 인간 중심의 방어체계를 앞지를 수 있다는 우려가 제기된다. 금융권은 과거부터 해커들의 주요 공격 대상으로 꼽혀왔다. 은행과 카드사는 계좌와 거래 내역뿐 아니라 소득·신용·자산 등 민감한 개인정보와 금전 가치가 높은 데이터를 함께 보유하고 있기 때문이다. 국제통화기금(IMF)에 따르면 지난 20년간 보고된 전 세계 사이버 사고 가운데 5분의 1이 금융 부문에서 발생했으며, 2004년 이후 금융사가 입은 직접 손실은 120억달러에 달한다. AI가 해킹에 본격적으로 활용되면 금융권 피해가 크게 확대될 수 있다는 전망이 나오는 이유다. 최근 금융권이 주목하는 AI의 공격 방식은 '크리덴셜 스터핑'이다. 다른 사이트에서 이미 유출된 아이디와 비밀번호를 여러 서비스에 무작위로 대입해 로그인되는 계정을 찾아내는 방식이다. 이용자들이 여러 사이트에서 동일한 계정 정보를 반복 사용하는 관행을 노린다. 과거에는 공격자가 일정한 순서에 따라 반복 입력해야 했다면, AI를 활용할 경우 여러 서비스에 대한 탐색과 시도를 자동화하고 동시에 진행할 수 있다는 점에서 위협 수준이 달라질 수 있다. 세계적인 화이트해커 출신인 박찬암 스틸리언 대표는 "과거에는 해커들이 순차적으로 공격을 시도했다면 이제는 AI를 활용해 여러 곳에 연달아, 또는 동시다발로 접근할 수 있다"고 말했다. 신한은행 사고에서는 이 같은 우려를 뒷받침하는 정황도 나왔다. 문종현 지니언스 시큐리티센터장은 이번 공격에 활용된 것으로 추정되는 웹서버에서 중국어로 'AI 자율 침투 테스트 콘솔'을 뜻하는 문자열이 확인됐다고 밝혔다. 해당 문구가 대규모언어모델(LLM)과 멀티 에이전트 구조를 활용해 정보 수집부터 취약점 탐색, 공격 경로 설계까지 자동화하는 오픈소스 'ARTEX AI'와 관련된 것으로 분석됐다는 설명이다. AI 에이전트가 금융 생활 깊숙이 들어갈수록 이 같은 위협은 더욱 커질 전망이다. 메타가 최근 미국에서 선보인 개인 AI 에이전트 '뮤즈(Muse)'는 은행 계좌를 연결해 소비 내역을 분석하고 예산을 짜는 것은 물론, 이메일을 확인해 불필요한 구독 서비스를 찾아 해지하는 작업을 대신할 수 있다. 이메일·일정·금융 계좌 등 여러 서비스에 접근해 이용자를 대신해 실제 행동을 수행하는 구조다. 편의성이 높아지는 만큼 AI 에이전트가 다루는 정보와 권한이 확대돼 보안 사고가 발생했을 때 피해 규모 역시 커질 수 있다. 한국에서도 AI가 단순 상담을 넘어 금융 거래에 직접 관여하는 단계로 이동하고 있다. 은행권에서는 AI가 고객의 요청을 이해한 뒤 잔액과 환율·수수료 등을 확인하고, 본인 인증을 거쳐 송금까지 연결하는 서비스가 개발되고 있다. AI가 금융 생활의 번거로움을 줄이는 동시에 계좌 정보와 거래 권한을 다루게 되면서 편의성과 보안 위험이 함께 커지고 있다. ◆ 국내 금융사 방어체계 재편 국내 금융사들은 AI를 활용해 방어체계도 재편하고 있다. 우리금융이 AI 기반 침투 테스트 플랫폼 '진트'를 도입해 24시간 자율 모의해킹을 실시하는 등 금융권 전반에서 'AI 기반 보안 점검 체계'가 확산하는 추세다. 다만 첨단 기술 도입에 앞서 기본적인 보안 원칙부터 다시 점검해야 한다는 지적도 나온다. 금융권에 따르면 이번 신한은행 사고는 민감한 정보 조회 단계에서 공동인증서나 OTP 등 별도의 추가 인증 수단을 요구하는 다중요소인증(MFA) 체계가 적용되지 않아 발생한 것으로 파악됐다. 민감한 고객 정보를 다루는 금융 시스템임에도 기본적인 추가 인증장치가 충분히 갖춰지지 않았다는 점에서 보안 관리에 안일했던 것 아니냐는 비판이 제기된다. 보안 투자를 비용으로만 바라보는 관행도 도마에 오른다. 지난해 대규모 정보 유출 사고가 발생한 롯데카드의 2025년 정보 보호 예산은 96억5600만원으로, 전체 IT 예산의 9.0%였다. 2020년 14.2%에서 5년 만에 5.2%포인트 낮아진 것이다. 개별 금융사 차원의 대응만으로는 한계가 있다는 목소리도 나온다. AI 기반 공격은 짧은 시간 안에 여러 금융사를 동시에 탐색할 수 있어 특정 회사의 방어만 강화해서는 금융 시스템 전체의 취약점을 막기 어렵기 때문이다. [박창영 기자 / 박성배 기자 / 연규욱 기자]