신한은행과 KB국민은행에서 잇따라 고객정보 유출 사고가 발생하면서 금융권의 사이버 보안에 비상이 걸렸다. 사진은 AI를 활용한 해킹 위협과 은행권 정보 유출을 형상화한 이미지. [AI 생성 이미지]

신한은행에 이어 KB국민은행에서도 외부 침입에 따른 고객정보 유출 사고가 발생하면서 은행권에 ‘해킹 비상’이 걸렸다. 특히 약 2만5000명의 정보가 유출된 신한은행 공격에 이용된 것으로 추정되는 서버에서는 인공지능(AI)을 활용해 취약점 탐색부터 공격 경로 설계까지 자동화할 수 있는 침투 도구의 흔적까지 발견됐다. AI가 금융서비스 혁신의 핵심 도구로 빠르게 확산하는 가운데 이를 악용한 공격 가능성까지 현실적인 위협으로 부상하면서 금융권 보안체계의 질적 전환이 필요하다는 지적이 나온다.

2일 금융당국과 금융권에 따르면 KB국민은행은 최근 외부 침입으로 고객 100여 명의 정보가 유출된 사실을 확인했다. 신한은행에서 대규모 개인정보 유출 사고가 확인된 데 이어 또다시 대형 시중은행의 보안망이 뚫린 것이다.

KB국민은행은 비정상적인 외부 접근을 통해 고객정보가 유출됐을 가능성을 인지한 직후 해당 서버와 접근 경로를 차단했다.

다만 이번에 외부 침입을 받은 시스템은 인터넷뱅킹이나 모바일뱅킹 등 고객이 직접 금융거래에 사용하는 시스템이 아닌 직원용 모바일 업무지원 시스템으로 알려졌다. 국민은행 측은 이번 사고가 고객 금융거래 시스템과는 무관하다고 설명했다.

현재 금융당국과 은행은 정확한 유출 경위와 유출 정보의 종류, 추가 피해 여부를 확인하고 있다. 금융감독원은 이미 현장에 IT 인력을 보내 조사에 들어갔다. 금감원 관계자는 구체적인 유출 경로와 세부 내용을 현장에서 추가로 확인하고 있다고 밝혔다.

국민은행 사고가 더 주목되는 것은 하루 앞서 공개된 신한은행의 대규모 정보유출 때문이다.

신한은행에서는 지난달 30일 외부 비인가자가 대출모집인 전용 서비스의 본인확인 절차를 우회해 무단 접근하면서 약 2만5000명의 개인·신용정보가 유출된 것으로 파악됐다. 유출 정보에는 고객명과 전화번호, 연소득, 대출한도뿐 아니라 주민등록번호 66건과 CI(연계정보) 97건도 포함됐다.

신한은행 대출모집인들은 모바일 홈페이지를 통해 자신이 접수한 대출의 처리 현황을 조회할 수 있는데, 외부 비인가자가 정상적인 본인확인 절차를 거치지 않고 이 경로에 접근한 것으로 전해졌다.

고객이 직접 이용하는 ‘신한 슈퍼SOL’ 등 뱅킹 애플리케이션이 뚫린 것은 아니다. 신한은행은 이번 사고가 홈페이지를 통한 정보유출로 정식 인증이 필요한 고객용 뱅킹 앱과는 무관하다고 설명했다.

공격 서버서 ‘AI 침투도구’ 흔적…해킹도 자동화되나

문제는 신한은행 공격 과정에서 AI를 활용한 해킹 자동화 가능성을 보여주는 정황까지 포착됐다는 점이다.

2일 보안업계에 따르면 신한은행 공격에 이용된 것으로 추정되는 웹서버의 HTML 타이틀에서 중국어로 ‘AI 자율 침투테스트 콘솔’을 뜻하는 문자열이 발견됐다. 이 때문에 오픈소스로 공개된 자율형 침투테스트 시스템인 ‘ARTEX AI’가 해당 서버에서 운영됐거나 관련 환경이 활용됐을 가능성이 제기되고 있다.

ARTEX AI는 대규모언어모델(LLM)과 멀티에이전트 구조를 활용하는 자율형 침투테스트 시스템이다. 사람이 일일이 명령하지 않더라도 정보 수집→취약점 탐색→공격 경로 계획→보안도구 실행→취약점 검증 등의 과정을 자동화할 수 있도록 설계됐다.

이번 신한은행 사고와 관련해서는 크리덴셜 스터핑 공격 가능성도 거론된다. 크리덴셜 스터핑은 공격자가 이미 확보한 아이디와 비밀번호 등의 조합을 여러 시스템에 반복적으로 대입해 계정을 탈취하는 공격 방식이다. AI가 이런 반복 작업과 공격 경로 탐색을 자동화할 경우 기존보다 대규모·고속 공격이 가능해질 수 있다는 우려가 나온다.

고객용 넘어 내부 시스템까지…은행권 보안망 다시 짠다

국내 주요 은행에서 잇따라 외부 침입에 따른 정보유출 사고가 발생했다는 사실 자체로 금융권에 적지 않은 부담이 되고 있다. 특히 고객이 직접 사용하는 인터넷·모바일뱅킹 시스템이 아니더라도 대출모집인용 서비스나 직원 업무지원 시스템처럼 금융회사의 핵심 시스템과 연결된 주변부 서비스가 공격 통로가 될 수 있다는 점이 드러났기 때문이다.

그동안 금융회사 보안의 중심축은 인터넷뱅킹과 모바일뱅킹 등 핵심 금융거래 시스템을 보호하는 데 맞춰져 있었다. 그러나 금융서비스가 모바일과 클라우드, 외부 제휴서비스, 내부 업무 플랫폼 등으로 복잡하게 연결되면서 공격자가 노릴 수 있는 접점 역시 늘어나는 구조다.

고객용 금융서비스뿐 아니라 내부·제휴·지원 시스템을 포함한 전체 접점의 보안 수준을 다시 점검해야 할 필요성이 커졌다.

AI의 등장으로 공격 방식 자체가 바뀔 가능성도 금융권이 풀어야 할 과제다.

기존의 사이버 공격에서 공격자가 직접 수행하던 취약점 검색과 반복 입력, 공격 경로 탐색 등의 상당 부분을 AI 에이전트가 대신할 수 있다면 공격에 필요한 시간과 비용은 줄어들 수 있다. 반면 금융회사 입장에서는 훨씬 빠른 속도로 움직이는 공격을 실시간으로 탐지하고 차단해야 한다.

김환국 국민대 정보보안암호수학과 교수는 ICT 기술이 AI 기술로 전환되면서 공격 기술이 진보하는 데 비해 기업들의 보안체계가 그 속도를 따라가지 못하는 측면이 있다고 지적했다. 그러면서 AI 기반 방어기술 도입 등 기존보다 심도 있는 대응체계가 필요하다고 강조했다.

금융당국의 움직임도 빨라지고 있다. 금융위원회와 금융감독원은 신한은행 사고 직후 긴급 대응회의를 열었고 금융보안원도 현장 조사에 나섰다. 이어 국민은행 사고까지 확인되자 금감원은 현장에 인력을 투입해 유출 경위와 규모, 추가 피해 여부를 조사하고 있다.

AI는 이미 금융권이 생산성과 경쟁력을 높이기 위해 앞다퉈 도입하는 핵심 기술이 됐다. 그러나 같은 기술이 공격자의 손에서는 취약점을 빠르게 찾아내고 공격을 자동화하는 도구로 변할 수 있다는 것이 이번 사태가 던진 경고다.

신한銀 고객정보 2만5000명 유출…주민번호·연소득까지 뚫려

키워드#신한은행 #국민은행 #해킹 #AI #고객정보 유출 #금감원 #금융 #AX #DX