7개 금융사 해킹, 동일 공격자 소행 정황…AI 자동화 공격 추정

신한·KB·하나·부산은행·예가람·웰컴저축은행·현대캐피탈 침해…ARTEX AI 흔적 경찰 수사

이억원 금융위원회 위원장이 4일 정부서울청사에서 열린 전금융권 긴급 점검회의에서 발언하고 있다. 연합뉴스

신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사 해킹 사고에서 동일 공격자의 인터넷주소(IP)가 여러 곳에서 확인됐다.

4일 금융당국에 따르면 7개 금융사 침해사고를 분석한 결과 일부 공격에서 동일한 IP가 확인됐다. 은행권을 겨냥한 IP와 저축은행·캐피탈사를 공격한 IP 자체는 서로 달랐지만, 공격 방식과 패턴에는 유사성이 나타났다.

공격자가 IP를 계속 바꿔가며 여러 금융회사를 동시에 노린 것으로 금융당국은 보고 있다. 특히 AI 도구를 활용해 공격 과정을 자동화하고 여러 금융회사를 대상으로 대량 공격을 시도했을 가능성에 무게가 실리고 있다.

신한은행이 국회에 제출한 자료에서도 공격에 사용된 IP가 한국을 비롯해 미국, 일본, 홍콩, 싱가포르, 베트남, 태국, 영국 등 여러 국가에 분산돼 있었던 것으로 나타났다.

금융보안 관계자는 은행 공격 IP에서 'ARTEX AI'의 흔적이 확인됐으며 경찰청 사이버수사국이 조사 중이라고 밝혔다. ARTEX AI는 대규모언어모델을 기반으로 보안 취약점을 시험하는 공개 도구다. 중국어권 개발자를 중심으로 깃허브에 오픈소스로 공개된 LLM 기반 자율형 침투테스트 시스템으로 알려졌다.

다만 특정 국가를 배후로 단정 짓긴 어렵다는 의견도 나온다. 오픈소스 모델 특성상 전 세계적으로 활용되는 데다, IP도 광범위하게 분산돼 있기 때문이다.

이번 해킹으로 유출된 정보 규모도 상당하다. 신한은행에서는 약 2만5000명의 고객 정보가 유출됐고, KB국민은행과 하나은행에서도 각각 119명과 89명의 개인정보 유출이 확인됐다. 신한은행 유출 정보에는 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다.

예가람저축은행은 약 4만명의 개인정보가 유출된 것으로 추정하고 정확한 피해 규모를 확인하고 있다. 현대캐피탈에서도 해외 IP를 통한 공격으로 주택대출 모집인 146명의 개인정보가 유출된 사실이 확인됐다.

유출 정보는 직원과 대출모집인이 쓰는 부가시스템에서 빠져나갔다. 당국은 인터넷·모바일뱅킹 등 고객 서비스에 대한 영향이나 금전 피해는 없는 것으로 파악했다.

다른 금융사에서도 공격 시도가 있었으며, 다중인증과 취약점 사전 조치 여부에 따라 실제 침해 여부가 달라졌다고 당국은 설명했다.

금융당국은 사고 유형을 세 가지로 분류해 대응 조치를 내렸다. 정보조회 서비스에서는 본인 확인 없이 대출신청 내역 등을 조회할 수 있도록 개발이 잘못된 점이 확인돼 인증 절차 누락 서비스를 전수조사하도록 했다. 직원 업무지원 서비스는 모바일 단말기 접근통제 누락과 웹 취약점 방치가 문제였으며, 홈페이지 서비스는 해커가 알려진 보안 취약점을 파고들어 악성코드를 설치하고 고객정보가 담긴 로그파일을 탈취한 것으로 파악됐다.

금감원은 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파했다. 은행·카드사는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 긴급 점검을 마쳐야 한다. 점검 항목은 공격 IP 차단 및 피해 조사 여부, 외부 노출 IT 자산 보안 강화 여부 등 12개다.

이억원 금융위원장은 "금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점"이라고 말했다. 금융당국은 11월까지 전 금융권을 대상으로 IT 기본 통제 자율 시정을 진행하며, 미흡한 점검으로 대규모 사고가 발생할 경우 엄중 조치하겠다는 입장이다.