AI무차별 해킹, 全금융권 비상

시중·저축銀·상호금융 등 1·2 금융권 공격
직원용·비중요 업무 지원 시스템 '빈틈' 노려
이억원 금융위원장 "최고 수준 경각심" 주문

신한은행에 이어 KB국민은행, 하나은행 등 국내 주요 시중은행에서 전방위적인 인공지능(AI) 해킹 공격으로 고객정보가 유출되는 사고가 발생하면서 금융권 보안에 비상이 걸렸다. 우리은행과 NH농협은행의 경우 최근 외부 비인가자의 해킹 시도가 있었으나, 자체 침입 방지 시스템이 작동해 현재까지 파악된 정보 유출은 없는 것으로 전해졌다. 사진은 4일 서울 시내에 설치된 여러 은행 ATM기. 연합뉴스

생성형 AI를 이용한 무차별 해킹 공격에 따른 정보 유출이 잇따라 국내 금융권 보안 대응에 비상이 걸렸다.

시중은행과 저축은행, 상호금융 등 1·2 금융권 전반을 타깃으로 이뤄진 이번 해킹 공격은 AI에이전트를 활용, 자동으로 보안 시스템의 취약점을 찾아 공략하는 진화된 수법으로 파악됨에 따라 금융권 보안체계의 전면적 개편이 필요하다는 요구가 제기된다.

◆AI 해킹 피해, 全 금융권 확산

4일 금융권에 따르면 지난달 30일부터 신한은행과 국민은행, 하나은행 등에서 정보유출 피해가 확인됐다. 국민은행은 지난 2일 고객 119명의 이름과 전화번호, 주소, 암호화된 주민등록번호 등 정보가 유출됐다고 밝혔다. 은행 측은 "지난달 30일 밤 비정상적인 외부 접근을 통해 정보가 유출됐을 가능성을 인지한 직후 해당 서버와 접근 경로를 차단했다"고 했다.

같은 날 하나은행도 외부 해킹에 의해 89명의 이름, 주소, 전화번호, 주민등록번호 등 정보가 유출된 것을 파악했다. 신한은행은 하루 앞선 지난 1일 은행장 명의 사과문을 통해 고객 약 2만5천명의 이름과 전화번호, 연계정보(CI), 연소득, 산출한도 등 대출 관련 정보가 유출됐다고 발표했다.

이들 은행은 공통으로 AI를 이용한 신종 해킹 수법에 당한 것으로 추정되고 있다. 특정 은행을 노린 것이 아닌 AI 기반 무작위 공격이 의심된다는 설명이다. 하나은행 관계자는 "이번 사안은 외부 해킹 에이전트가 당행 영업지원시스템(ODS)을 대상으로 시도한 비정상적인 접근에서 비롯된 것"이라고 설명했다.

해킹 공격은 며칠 사이 제1·2금융권을 가리지 않고 동시다발로 이뤄졌다.

웰컴저축은행은 법인고객 정보 유출 사실도 4일 파악됐다. 웰컴저축은행은 전날 자체 점검 과정에서 법인고객 관련 해킹공격을 받은 사실을 확인해 이날 당국에 보고했다. 법인명, 법인 담당자 이름, 이메일, 전화번호 등 법인고객 관련 정보가 최대 2천200건 유출된 것으로 추정된다.

앞서 지난 2일에는 예가람저축은행이 지난달 30일 해킹 공격으로 약 4만명의 고객명, 생년월일, 연락처 등이 유출됐다고 발표했다. 현대캐피탈도 대출모집인 146명의 이름, 연락처, 이메일 주소, 주민등록번호 등이 유출된 사실을 파악한 것으로 파악됐다.

증권·보험·카드업권과 IBK기업은행, 한국수출입은행 등 국책은행에서는 현재까지 동일한 공격 흔적이 확인되지 않은 것으로 전해졌다. 우리은행, NH농협은행도 유사한 공격을 받았으나 정보유출은 없었던 것으로 파악됐다. 새마을금고중앙회도 신한은행 해킹과 동일한 공격자 인터넷주소(IP)의 접근 시도를 확인, 자체 보안 장비로 이를 차단했다고 보고했다.

[그래픽] 금융권 해킹 피해 확산 현황 (서울=연합뉴스) 이재윤 기자 = 신한은행에 이어 KB국민은행과 하나은행에서도 해킹으로 고객 정보가 유출되는 사고가 발생한 것으로 2일 확인됐다. 우리은행과 NH농협은행도 유사한 해킹 시도를 겪었으나, 시스템 차단으로 현재까지 파악된 정보 유출은 없는 것으로 전해졌다. yoon2@yna.co.kr X(트위터) @yonhap_graphics 인스타그램 @yonhapgraphics (끝)

◆AI, 보안 취약성 자동 탐색·침투

금융당국은 이번 해킹사고에서 동일 공격자가 AI 도구를 활용해 공격한 정황이 발견됐다고 4일 밝혔다. 특히 이번 공격이 특정 회사를 겨냥한 것이 아니라, AI로 무작위 공격을 가하는 과정에서 취약한 금융사들이 노출됐다는 점을 주목하고 있다.

이번 해킹 공격은 해커가 미리 확보한 아이디·비밀번호 등 정보를 여러 시스템에 무차별 대입하는 '크리덴셜 스터핑'(무작위 정보 대입 기법)에 AI를 접목하는 진화한 수법으로 파악된다.

금융당국에 따르면, 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해 사고에서 동일한 공격자의 인터넷주소(IP)가 여러 곳에서 발견됐다.

해커는 IP를 변경해 지속적으로 공격한 것으로 보인다. 또 AI 도구를 활용해 다수 금융사를 대상으로 대량으로 자동화된 공격을 한 것으로 추정된다. 신한은행이 국회에 보고한 자료에 따르면, 공격자가 한국과 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP를 이용했다.

해커들은 고객용 금융 업무 시스템이 아닌 직원용이나 비중요 업무 지원 시스템의 '빈틈'을 지능적으로 파고들어 정보를 빼냈다는 공통점이 있다. 대고객 창구와 달리 엄격한 인증 절차를 거치지 않아도 되는 내부용 홈페이지 메뉴나 앱을 표적으로 삼은 것이다.

신한은행에서는 대출모집인들이 이용하는 '대출상담사 접수 대출 진행현황 조회' 서비스가 정보 유출 경로로 이용됐다. KB국민은행은 직원용 모바일 업무 지원 시스템인 'RM 에이전트'와 'PB 에이전트'를 통해 피해를 봤다.

◆높아진 디지털 의존도, 해킹에 노출

시중은행의 고객정보 유출이 알려진 건 이번이 처음이 아니다. 지난 7월에는 우리은행 대체불가토큰(NFT) 플랫폼 구축 프로젝트에 참여한 외부 개발업체가 임의로 보관하던 개인정보 1만7천551건이 해당 업체 직원 과실로 유출되는 일이 있었다.

금융감독원이 강민국 국민의힘 의원(경남 진주시을)에 제출한 '국내 금융업권 해킹 및 전산장애 발생 현황' 자료를 보면 지난 2020년부터 지난해 9월까지 6년여간 금융업계에서 발생한 해킹 침해사고는 모두 31건, 이들 사고로 유출된 정보는 5만1천4건으로 집계됐다. 연평균 8천500건의 정보유출 피해가 일어난 셈이다.

급격한 기술 발전으로 디지털 인프라에 대한 의존도가 높아지면서 기업·기관 시스템을 겨냥한 해킹 공격이 늘었고, 특히 민감한 정보를 다량 보유한 금융기관이 해킹 공격에 노출될 가능성이 높아진 것으로 해석된다. 기업들이 보안 체계·기술을 강화하는 속도가 공격기술 발달 속도를 따라가지 못한다는 지적도 제기된다.

이번 대규모 해킹 공격처럼 AI 도구를 이용해 금융회사 전반 보안시스템의 취약점을 공략하는 식으로 수법이 진화함에 따라, 대응 방식도 고도화돼야 한다는 목소리가 설득력을 얻고 있다.

보안 업계에선 "개별 시스템 침입을 차단하는 수준의 '경계형 보안'으로는 한계가 있다"며 "'AI로 AI해킹을 잡는' 식의 AI기반 상시 감시 도입이 필요하다"고 했다.

이억원 금융위원회 위원장이 4일 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 발언하고 있다. 연합뉴스

◆금융당국, 4일 비상회의

이억원 금융위원장은 4일 정부서울청사에서 전 금융권 긴급 점검회의를 열고 이번 해킹 사태와 관련해 "금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점"이라고 강조했다.

이날 회의에는 은행·금융투자·보험·여전·저축은행·상호금융·가상자산·핀테크 등 전체 금융권 협회장과, 금융사 임원들이 참석했다.

이 위원장은 이번 해킹공격의 특징과 관련해 "대출모집인, 임직원 등이 업무상 편의를 위해 사용하는 외부 웹페이지와 서버 등 상대적으로 관리의 관심이 덜했던 영역이 공격 대상으로 활용된 사례가 확인됐다"고 설명했다.

이 위원장은 유출된 정보와 관련해 "현재까지 부정결제 등에 직접 활용될 수 있는 민감한 정보가 유출된 정황이 확인되지 않았다"면서도 "아직 유출된 정보를 악용한 보이스피싱·스미싱 등 2차 피해로 이어질 가능성도 배제할 수 없다"고 경각심을 강조했다.

금융권에는 신속하고 철저한 보안점검을 지시했다.

임직원·대출모집인·위탁업체 등이 사용하는 외부접점과 접근경로를 살펴 잠재적 위험요인을 최소화하고, 추가적 정보유출과 금전피해가 생기지 않게 필요한 소비자 보호조치를 즉시 할 것으로 주문했다.

이 위원장은 "정부는 AI보안체계 전환을 위해 망분리 규제 긴급 완화 시행과 전면해제 검토 등 근본적 제도 개선을 추진 중"이라며, 금융사들도 AI보안체계 전환에 박차를 가해야 한다고 했다.