금융권을 겨냥한 연쇄 해킹을 형상화한 이미지. 신한은행·KB국민은행·하나은행·BNK부산은행과 예가람저축은행, 현대캐피탈 등에서 최근 개인정보 유출 사고가 잇따라 발생했다. [AI 생성 이미지]

금융권을 겨냥한 연쇄 사이버 공격의 피해 범위가 은행에서 저축은행과 캐피탈사로 번지고 있다. 현재까지 확인된 피해는 인터넷·모바일뱅킹 등 핵심 금융거래망보다 대출모집인 조회 서비스와 직원 업무지원 시스템 등 외부에 노출된 부가·업무 시스템에 집중됐다. 금융당국은 현재까지 부정결제 등에 직접 활용될 수 있는 민감정보가 유출된 정황이나 금전 피해는 확인되지 않았다고 밝혔다.

4일 금융당국과 금융권에 따르면 최근 침해사고가 확인된 곳은 신한은행, KB국민은행, 하나은행, BNK부산은행을 비롯해 저축은행과 캐피탈사 등으로 확대됐다. 금융당국은 7개 금융사의 침해사고를 들여다보고 있으며 다른 금융사에서도 침입 시도가 확인된 상태다.

개인정보 유출 규모가 가장 큰 것으로 확인된 곳은 예가람저축은행이다. 예가람저축은행에서는 약 4만명의 고객 개인정보가 유출된 것으로 추정되고 있다. 확인된 유출 정보는 이름과 생년월일, 연락처 등이다.

신한은행에서는 고객 2만5729명의 개인정보가 유출됐다. 외부 비인가자가 모바일 홈페이지의 간편조회 서비스를 통해 대출모집인 정보를 확보한 뒤 대출 신청과 관련된 고객정보에 접근한 것으로 파악됐다. 주요 금융거래에 적용되는 공동·금융인증서나 휴대전화 본인인증과 달리 상대적으로 인증 절차가 간소한 조회 서비스가 공격 경로로 이용된 것이다.

KB국민은행에서는 직원용 모바일 업무지원 시스템을 통해 고객 119명의 정보가 유출됐다. 하나은행에서는 직원 영업지원 시스템을 통해 고객 89명의 정보가 빠져나간 것으로 확인됐다. BNK부산은행에서는 고객이 아닌 외주 직원 11명의 개인정보가 노출됐다.

피해는 캐피탈업권에서도 확인됐다. 현대캐피탈에서는 주택대출 모집인 조회페이지가 공격받아 모집인 146명의 일부 개인정보가 유출됐다. 다만 현대캐피탈은 일반 고객 개인정보 유출이나 내부 시스템에 대한 접근·공격은 없었다고 밝혔다.

이번 사고에서 눈에 띄는 것은 공격 대상이다. 인터넷뱅킹이나 모바일뱅킹과 같은 핵심 금융서비스가 아니라 대출모집인·임직원·외부 인력 등이 업무상 사용하는 웹페이지와 업무지원 시스템 등 상대적으로 외부 접점이 많은 영역이 주로 공격받았다.

이억원 금융위원장도 이날 전 금융권 긴급 점검회의에서 최근 사고를 분석한 결과 대출모집인과 임직원 등이 사용하는 외부 웹페이지와 서버 등 상대적으로 관리의 관심이 덜했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다고 밝혔다. 인증 등 기본적인 보안조치가 미흡하거나 업무상 필요한 범위를 넘어 정보가 보관·조회되는 문제도 점검 대상에 올랐다.

공격 사이의 연관성도 조사되고 있다. 금융보안원에 따르면 신한·KB국민·하나·BNK부산은행 등 은행권 공격에서는 동일한 IP가 확인됐다. 저축은행권에서는 다른 IP가 확인됐지만 공격 수법은 유사한 것으로 파악됐다. 다만 금융보안원은 동일 IP와 유사한 수법만으로 공격자가 동일인이라고 단정하기는 어렵다는 입장이다.

인공지능(AI)이 공격에 활용됐는지도 조사 대상이다. 은행권 공격과 관련된 웹서버에서 ‘ARTEX’ 관련 흔적이 발견됐다. ARTEX는 대규모언어모델(LLM)을 활용한 자율형 침투테스트 시스템으로 알려져 있다. 다만 현재 확인된 흔적만으로 ARTEX가 실제 공격 과정에 사용됐다고 단정할 수는 없다. 보안업계 조사에서도 ARTEX 관련 서버가 여러 국가에서 광범위하게 관측되고 있어 서버 위치나 관련 문자열만으로 공격자의 국적이나 배후를 특정할 수 없는 상황이다.

금융당국 역시 AI 활용 가능성을 열어두면서도 이를 확정하지 않았다. 이 위원장은 “AI를 활용한 해킹 가능성도 배제할 수 없다”며 AI 공격에 대응할 수 있는 보안체계를 마련할 필요가 있다고 밝혔다.

현재까지 확인된 피해가 곧바로 계좌 탈취나 금전 피해로 이어진 것은 아니다. 금융당국은 인터넷·모바일뱅킹 등 대고객 금융서비스에 대한 영향이나 금전 피해는 현재까지 확인되지 않은 것으로 파악하고 있다. 다만 유출된 개인정보가 보이스피싱이나 스미싱 등에 악용될 가능성이 있는 만큼 2차 피해에 대한 대응을 강화하고 있다.

금융당국은 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 공유하고 긴급 점검을 지시했다. 은행과 카드사는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 외부에 노출된 IT 자산과 서비스, 공격 IP 차단 여부, 인증·접근통제 및 침해활동 탐지체계 등을 점검해야 한다.

금융위는 특히 소비자 서비스나 업무 수행에 반드시 필요한 경우를 제외하고 외부 접근을 원칙적으로 차단하도록 했다. 대출모집인이나 위탁업체 등 외부 인력이 사용하는 시스템에 개인신용정보가 불필요하게 보관되거나 조회되고 있는지, 인증 절차를 우회할 수 있는 경로가 존재하는지도 다시 살펴보도록 했다.

이번 연쇄 침해사고의 공격 주체와 AI 도구의 실제 사용 여부는 아직 조사 중이다. 현재까지 확인된 것은 여러 금융회사의 외부 노출 시스템을 중심으로 침해와 개인정보 유출이 발생했고, 은행권 일부 공격에서 동일 IP와 유사한 공격 흔적이 발견됐다는 점이다.

신한 이어 국민은행도 뚫렸다…은행권 덮친 ‘AI 해킹’ 공포
신한銀 고객정보 2만5000명 유출…주민번호·연소득까지 뚫려
금융권 강타 ‘크리덴셜 스터핑’...대응하려면?

키워드#금융권 #해킹 #AI #금융위