AI 에이전트 해킹 현실화되나 제로트러스트 보안 도입 의견도 은행들에서 잇따라 발생한 해킹 공격으로 고객정보 유출사고가 발생하면서 금융권 개인정보 관리 문제가 도마에 올랐다. 국내 금융권의 정보 유출이 이어지면서 인공지능(AI) 에이전트 해킹이 현실이 됐다는 평가가 나온다. 5일 금융투자업계와 보안업계에 따르면 전날(4일) 오후 9시까지 개인 정보 유출 사실이 드러난 금융사는 웰컴저축은행을 포함해 신한·KB국민·하나·부산은행, 예가람저축은행, 현대캐피탈 등 7곳이다. 시중은행을 넘어 제2금융권까지 인공지능 해킹 공격이 번지고 있다. 해킹 공격을 받은 5대 시중은행 가운데 실제 고객 정보가 유출된 건 KB국민은행과 하나, 신한 등 세 곳이다. 신한은행에서는 약 2만 5000명, KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출됐다. 부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다. NH농협·우리은행은 공격을 막아 정보 유출로 이어지지 않았다. 금융권은 이번 해킹이 인공지능(AI)을 활용한 것으로 파악하고 있다. 지난달 말 신행은행 등 국내 주요 은행을 겨냥한 이른바 ‘크리덴셜 스터핑(무차별 대입)’ 공격은 다크웹에서 불법 유통되는 수만, 수백만건의 아이디와 비밀번호를 무작위로 입력해 로그인에 성공, 개인정보를 탈취하는 방식으로 진행된다. 공격자는 AI 도구를 활용해 다수 금융사를 대상으로 대량으로 자동화된 공격을 한 것으로 추정된다. 보안업계에 따르면 국내 주요 은행을 겨냥한 공격에 활용된 웹서버 HTML 타이틀에서 중국어 기반 AI 도구 흔적이 발견된 것으로 전해졌다. 이번 공격과 관련 웹 서버의 HTML 타이틀에서 ‘아텍스(ARTEX)-自主渗透测试控制台(자주삼투측시공제태·자율 침투 테스트 콘솔)’라는 문자열이 확인됐는데, 중국어 기반 AI 자율형 침투테스트 흔적이 국민·신한·하나·부산은행 4곳 모두 동일하게 발견된 것이다. 아텍스 AI는 중국어를 중심으로 깃허브(GitHub)에 오픈소스로 공개된 대규모언어모델(LLM) 기반 자율형 침투테스트 시스템이다. 올해 중국 바이두 BSRC가 주도한 ‘에이전트+’ 공방 능력 챌린지에서 우승한 프로젝트로 소개된 바 있다. LLM과 멀티에이전트 구조를 활용해 정보 수집부터 취약점 탐색, 공격 경로 계획, 보안도구 실행, 취약점 검증에 이르는 과정을 자동화하도록 설계됐다. 다만 아텍스는 공개된 플랫폼이어서 중국발 공격이라고 단정할 수는 없다. 당국은 국제 공조 등을 통해 공격 주체를 확인할 예정이다. 보안업계에서는 금융권 개인정보 유출 사고와 관련해 ‘내부도 안전하지 않다’는 개념의 제로트러스트 보안이 필요하다는 의견이 나온다. 공격자가 내부망에 진입하더라도 핵심 자산까지 접근하지 못하게 막는 것이다. 제로트러스트는 침입이 발생하더라도 비즈니스에 실질적인 피해로 이어지지 않도록 내부망의 가시성을 확보하고 접근 통제를 원점에서 관리하는 보안 원칙이다. 한편, 이억원 금융위원장은 전날 이찬진 금융감독원장과 전 금융권 긴급 점검회의를 열고 “AI를 활용한 공격 가능성을 배제할 수 없다”면서 금융권에 최고 수준의 경각심을 주문했다. 현황을 보고받은 이재명 대통령은 “엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기할 것을 지시했다”고 강유정 청와대 수석대변인이 밝혔다.