크라우드스트라이크 보고서 공개 클로드 사용 기록서 거주지·나이 등 단서 확인 한국 금융권을 겨냥한 해킹 공격의 배후가 중국 광둥성에 거주하는 20대 인물일 가능성이 제기됐다. 글로벌 사이버보안 기업 크라우드스트라이크는 7일(현지시간) 분석 보고서를 공개하고 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 밝혔다. 다만 이는 정황에 따른 추정으로, 확정적 신원 특정은 아니라고 설명했다. 이번 단서는 공격자가 생성형 인공지능(AI) 코딩 도구 '클로드 코드' 사용 과정에서 드러났다. 공격자는 클로드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했고, 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보를 함께 입력했다. 이 과정에서 클로드에 탈취한 한국 금융 정보를 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 질문한 것으로 나타났다. 해당 텔레그램 계정은 다른 사이버 공격 정황에서도 동일하게 발견됐다. 텔레그램 기반 대체불가토큰(NFT) 선물 마켓플레이스 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 공격에서도 같은 계정명이 쓰인 것으로 드러났다. 크라우드스트라이크는 여러 정황을 근거로 동일 인물일 가능성을 제시하면서도 현재까지는 신원을 단정할 수 없다고 했다. 한편 크라우드스트라이크 분석에 따르면 공격자는 홍콩 소재 IP 주소를 주 통제 인프라로 삼아 공격 전반을 지휘하고, 한국 공격에 실제 쓰인 아르텍스 서버는 별도의 IP 주소에서 운용하는 두 단계 구조를 사용했다. 아르텍스를 구동하는 데 쓰인 핵심 AI는 딥시크의 경량 모델 'v4.1-플래시'였으며, 정식 경로가 아닌 제3의 재판매 업체를 통해 우회 접속한 것으로 나타났다. 공격자는 이 밖에도 중국 즈푸AI의 GLM-5.3과 그록 4.6 등 다른 LLM도 보조적으로 활용한 것으로 나타났다. 꼭 봐야 할 주요 뉴스 [단독]다이소에 '3000원 화장품' 사러 왔다가…옆...이번 해킹 사태는 지난달 말부터 이달 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 침해 사고가 이어지며 불거졌다. 시중은행과 저축은행·캐피탈사를 공격한 인터넷주소는 서로 달랐지만, 동일한 공격자가 IP를 바꿔가며 유사한 수법으로 여러 금융사를 공격한 정황이 포착됐다. <ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제. 무단전재 배포금지, AI 학습 및 활용 금지>