저축은행까지 번진 AI 해킹, 내 계좌 점검 순서
지난달 말부터 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7곳이 AI 해킹 도구 '아르텍스'에 뚫려 나흘간 개인정보가 수만 건 유출됐다. 공격이 시중은행에서 저축은행·캐피탈로 번지면서 2금융권 이용자도 안전지대가 아니게 됐다. 내 거래 금융사가 피해 명단에 있는지 확인한 뒤 비밀번호·이체한도·명의도용 조회 순으로 점검하면 2차 피해를 줄일 수 있다.
7곳이 뚫렸다, 시중은행에서 저축은행까지
지난달 28일 신한은행에서 고객 2만5000여 명의 정보가 외부로 빠져나간 뒤, 나흘 사이 피해가 7개 금융사로 번졌다. 신한·KB국민·하나·BNK부산은행에 이어 예가람·웰컴저축은행, 현대캐피탈까지 뚫렸다. 시중은행에서 시작된 공격이 2금융권으로 내려온 것이다.
규모는 금융사마다 다르다. 예가람저축은행은 개인 고객 약 4만 명, 웰컴저축은행은 법인 고객 2200건, 현대캐피탈은 대출모집인 등 146명의 정보가 유출됐다. 반면 우리은행·농협은행, 새마을금고중앙회와 저축은행중앙회는 "해킹 시도는 있었지만 유출 피해는 없었다"고 밝혔다.
| 금융사 | 유출 대상 | 규모 |
|---|---|---|
| 예가람저축은행 | 개인 고객 | 약 4만 명 |
| 웰컴저축은행 | 법인 고객 | 2200건 |
| 현대캐피탈 | 대출모집인 등 | 146명 |
나흘간 7개사에서 빠져나간 개인정보는 집계가 진행 중이라 보도마다 6만6000여 명에서 6만8000여 건까지 차이가 있다. 수치 자체보다 중요한 건, 저축은행과 캐피탈 이용자도 더는 안전지대가 아니라는 점이다.
핵심망이 아니라 '옆문'이 뚫렸다
Photo by Tyler on Unsplash
이번 공격은 이체·결제 같은 핵심 전산망을 정면으로 뚫은 게 아니다. 금융당국은 중국산 AI 해킹 도구 '아르텍스(ARTEX)'가 쓰인 것으로 보고 있다. 원래 보안 점검용으로 만들어진 자율 모의침투 시스템인데, 사람이 일일이 찾던 취약점을 스스로 고속으로 찾아낸다.
공격자는 이 속도를 이용해 상대적으로 방어가 약한 주변부를 노렸다. 직원 업무용 웹페이지, 대출모집인이 쓰는 외부 시스템, 모바일 기기 등에 악성코드를 심고 관리자 권한을 탈취했다. 여러 금융사에서 동일한 공격자 IP가 확인됐고, 주소를 바꿔가며 동시다발로 때린 정황도 나왔다.
이억원 금융위원장은 "AI를 활용한 해킹 공격 가능성을 배제할 수 없다"며 AI 기반 방어체계 마련을 주문했다. 당국은 은행권에 6일까지, 증권·보험·저축은행에는 8일까지 긴급 보안 점검을 끝내도록 했다.
내 거래 금융사가 피해사인지 먼저 확인
점검의 출발점은 간단하다. 내가 거래하는 곳이 위 7곳에 들어가는지부터 본다. 명단에 있다면 해당 금융사가 보낸 안내 문자나 홈페이지 공지, 유출 대상 조회 페이지를 확인한다. 조직적 사고에서는 피해 고객에게 개별 통지가 원칙이므로, 아무 연락이 없다면 고객센터에 직접 유출 대상 여부를 물어보는 게 확실하다.
명단에 없더라도 방심은 이르다. 집계가 계속 늘고 있는 데다, 시도만 있었다는 곳도 공격 대상이었던 건 마찬가지다. 아래 점검은 피해사 고객이 아니어도 해두면 손해가 없다.
계정과 한도, 이 순서로 점검한다
급한 것부터 처리하면 흔들림이 줄어든다.
먼저 비밀번호를 바꾼다. 유추하기 쉬운 조합을 피하고, 다른 사이트와 같은 비밀번호를 쓰고 있었다면 그것부터 분리한다. 다음으로 전자금융 이체한도를 평소 쓰는 수준으로 낮춘다. 한도를 줄여두면 설령 계정이 뚫려도 한 번에 빠져나갈 수 있는 금액이 제한된다.
그다음은 내 명의 전체를 훑는 단계다. 계좌정보통합관리서비스(payinfo.or.kr)에서 전 금융권에 열린 내 계좌를, 금융소비자 포털 파인(fine.fss.or.kr)에서 내 대출 내역을 조회한다. 모르는 계좌나 대출이 보이면 명의도용 신호다. 마지막으로 금융감독원 개인정보노출자 사고예방시스템에 등록해 둔다. 등록하면 누군가 내 명의로 신규 대출이나 계좌를 만들려 할 때 강화된 본인확인이 걸린다.
이상 거래가 의심되면 미루지 말고 금융사 고객센터, 금감원(1332), 경찰(112)에 알려 지급정지를 신청한다.
AI 공격 시대, 개인이 지킬 습관
개인이 기업 방어체계까지 책임질 수는 없다. 다만 공격이 빨라진 만큼, 뚫렸을 때 피해를 줄이는 습관은 각자 몫이다. 이체·로그인 알림을 켜두면 내 계정의 이상 움직임을 가장 먼저 알아챌 수 있다. 자동이체와 비밀번호는 금융사별로 분리하고, 중요한 거래에는 2단계 인증을 적용한다.
이번 사고의 교훈은 '핵심망만 지켜서는 안 된다'는 것이다. 공격은 가장 약한 옆문으로 들어온다. 개인에게 그 옆문은 재사용 중인 비밀번호와 꺼놓은 알림이다. 완벽한 차단은 어렵더라도, 내 쪽 옆문을 하나씩 닫아두는 것만으로 2차 피해의 폭은 크게 달라진다.