신한·KB국민·하나 등 7개 금융사, 연 1200억 이상 보안 예산에도 AI 기반 연쇄 해킹 피습

- AI 자율 침투 도구 ‘아르텍스(ARTEX)’ 악용…외부 노출 직원·협력사 업무 시스템 집중 타격

- 신한·KB국민·하나 등 7개 금융사 연쇄 유출…금융당국, 12개국 28개 우회 IP 배포 및 전수 점검

- 메인 전산망 중심 보안 편중이 화근…‘AI 공격엔 AI 방어’ 제로트러스트 체계 전환 시급

국내 주요 시중은행들이 연간 1,239억 원의 대규모 정보보호 예산을 쏟아붓고도, 인터넷에 노출된 외곽 업무지원 시스템의 인증 및 접근통제 허점을 노린 인공지능(AI) 기반 연쇄 해킹 공격에 뚫리는 초유의 사태가 발생했다. 핵심 금융거래 망이 아닌 직원 및 외부 협력업체용 보조 시스템의 보안 사각지대가 AI 스캔 공격의 표적이 되면서, 은행을 넘어 2금융권 전반으로 위협이 확산하고 있다.

이번 연쇄 침해 사고는 지난 9월 말부터 열흘 남짓한 기간 동안 급속도로 전개됐다. 신한은행의 대출모집인용 조회 서비스를 시작으로 KB국민은행의 모바일 사내 업무지원망, 하나은행의 영업지원시스템 등 대형 시중은행의 외부 노출 웹 시스템이 연이어 뚫렸다. 이어 BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈에 이르기까지 총 7개 금융사에서 개인정보 유출 피해가 공식 확인됐다.

이에 금융위원회와 금융감독원은 지난 10월 4일 일정을 앞당겨 이억원 금융위원장 주재로 ‘전 금융권 긴급 점검회의’를 소집했으며, 미국·일본·홍콩 등 12개국에 분산된 28개 공격 우회 IP를 특정해 전 금융권에 긴급 하달하고 오는 8일까지 500여 개 금융사를 대상으로 고강도 자체 점검 및 조치 완료를 명령했다.

합산 1,239억 원 규모의 사상 최대 보안 예산 집행과 최고 등급 보안 평가에도 불구하고 방어선이 무너진 결정적 원인은 ‘본진과 외곽망의 보안 격차’와 ‘공격 기술의 고도화’에 있다. 해커 집단은 AI 기반 자율 침투 프레임워크인 ‘아르텍스(ARTEX)’를 실전에 투입했다.

아르텍스의 AI 에이전트는 인터넷과 맞닿은 금융권 외곽 시스템의 취약점을 초 단위로 자동 탐색하고, 시스템 반응에 맞춰 최적의 우회 및 인증 탈취 행동을 자율적으로 전개해 순식간에 방어망을 무력화했다. 반면 금융사들은 실거래가 일어나는 코어 전산망에만 철통 방어를 집중했을 뿐, 대출모집인이나 협력사 및 내부 직원이 이용하는 부속 시스템의 인증 우회 경로와 접근 권한 관리는 사실상 방치해 둔 것으로 조사됐다.

보안 업계와 학계는 이번 침해로 유출된 대규모 고객·임직원 데이터를 토대로 딥페이크 기반 보이스피싱, 맞춤형 스피어 피싱(표적 공격), 불법 계좌 개설 등 지능화된 2차 금융 사기가 잇따를 수 있다고 경고하고 있다.

금융당국은 컴플라이언스 준수에 머무는 형식적 체크리스트 평가에서 벗어나, 모든 접점의 신원을 지속 검증하는 제로트러스트(Zero Trust) 모델과 'AI 공격을 AI로 실시간 방어하는' 능동형 보안 패러다임으로의 전면 전환을 강력히 촉구하고 나섰다. 

Welaunch  지현우 기자

스타트업∙딥테크 뉴스 전문 미디어-위런치

Copyright ⓒ Welaunch. All rights reserved.

보도자료/기고  : editor@welaunch.kr

광고/제휴 문의 : we@welaunch.kr