AI 해킹에 뚫린 은행, 이용자가 바꿀 확인 습관
9~10월 국내 금융사 여러 곳이 AI를 쓴 것으로 추정되는 자동화 공격에 뚫려 약 6만8천여 건의 개인정보가 유출됐고, 당국은 소비자경보를 발령했다. AI 공격에서 확인된 건 공격 IP에서 AI 침투도구 흔적이 나오고 공격이 대량 자동화됐다는 점이며, AI가 어디까지 자율적으로 했는지는 아직 수사 중이다. 유출된 정보로 맞춤형 피싱이 정교해질 수 있으니, 문자·전화 링크 대신 공식 앱과 대표번호로 직접 확인하고 다중 인증과 사고예방시스템 등록을 점검해야 한다.
지금 어디까지 왔나
9월 중순부터 10월까지 국내 은행과 저축은행, 캐피탈사가 줄줄이 해킹을 당했다. 주간경향 보도에 따르면 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 7곳에서 약 6만8천여 건의 개인정보가 빠져나갔다. 10월 13일에는 OK저축은행(183명)과 새마을금고(400여 명)의 유출도 추가로 확인됐다. 조사가 끝나면 규모는 더 늘 수 있다.
공격 표적은 주거래 계좌 시스템이 아니라 대출모집인 시스템, 영업 지원 플랫폼처럼 관리가 느슨했던 '섀도 IT'였다. 같은 공격자의 IP가 7곳 모두에서 발견됐다.
'AI를 썼다'는 말, 어디까지 사실인가
Photo by Samuel Angor on Unsplash
확인된 사실과 조사 중인 추정을 나눠 볼 필요가 있다. 확인된 건 공격 IP에서 '아르텍스(ARTEX)'라는 오픈소스 AI 침투 도구의 흔적이 나왔다는 점, 그리고 여러 금융사를 동시에 훑어 취약점을 찾는 대량 자동화 방식이었다는 점이다. 보안업체 SK쉴더스는 완전히 새로운 수법이라기보다 기존 공격 절차를 자동화해 규모를 키운 사례로 봤다.
아직 확정되지 않은 것도 분명하다. 대상 선정부터 침입까지 사람 개입 없이 AI가 자율적으로 해냈는지는 확인되지 않았고, 사람과 AI의 역할 분담은 수사로 밝혀져야 한다. 공격자로 중국 광둥성의 26세 인물 가능성이 거론됐지만 신원은 미확정이고 당사자는 관련성을 부인했다. 'AI가 알아서 은행을 털었다'고 단정하기엔 이르다.
눈여겨볼 대목은 따로 있다. 같은 공격을 받고도 우리은행과 NH농협은행은 다중 인증과 접속 권한 관리가 작동해 유출을 막았다. 방어의 핵심이 첨단 기술이 아니라 기본 통제였던 셈이다.
유출 정보가 피싱을 어떻게 바꾸나
계좌에서 당장 돈이 빠져나갈 가능성은 낮다는 게 전문가들의 분석이다. 계좌 비밀번호까지 털린 정황은 없어서다. 더 현실적인 위험은 '맞춤형 사기'다. 유출 정보에는 이름·연락처뿐 아니라 직장·소득·대출 정보가 포함돼, 사기범은 "○○은행 대출 담당"을 사칭해 내 실제 상황에 맞는 금리 인하나 대환대출을 제안할 수 있다.
AI는 이 지점을 더 성가시게 만든다. 과거엔 어색한 문장으로 티가 났지만, 유출된 정보를 재료로 삼으면 당사자만 알 법한 사실을 자연스러운 문장에 담기 쉽다. 금융당국이 10월 6일 소비자경보 '주의'를 발령하고 한 달간 2차 피해 특별대응기간으로 지정한 이유다.
바꿔야 할 확인 습관
원칙은 하나다. 연락이 먼저 오면 의심한다. 문자나 전화로 안내가 왔다면 거기 담긴 링크나 번호를 쓰지 말고, 내가 직접 공식 앱이나 대표번호로 접속해 확인한다.
- 유출 확인, 피해 보상, 보안 강화를 내세우며 URL 클릭이나 앱 설치를 요구하면 따르지 않는다. 악성 앱은 전화 가로채기와 위치 추적까지 가능하다.
- 금융·포털 비밀번호를 바꾸고, 돌려쓴 다른 사이트도 함께 바꾼다. OTP나 생체 인증 같은 다중 인증을 켜 둔다.
- 금융소비자포털 '파인'의 개인정보노출자 사고예방시스템에 등록하면 신규 계좌 개설과 카드 발급이 제한된다. 내계좌한눈에(payinfo.or.kr)의 금융거래 안심차단도 검토할 만하다.
- 돈을 보냈다면 즉시 112나 금융사 콜센터에 지급정지를 요청하고, 사기 상담은 1394를 이용한다.
이번 사고의 교훈은 조금 역설적이다. 공격은 AI로 빨라졌지만, 개인의 방어는 링크를 누르기 전에 공식 경로로 한 번 더 확인하는 오래된 습관에서 크게 벗어나지 않는다.