은행도 뚫은 AI 해킹, 무엇이 달라졌나
2026년 9월 말 신한·KB국민·하나·부산은행 등에서 AI를 활용한 정황의 해킹으로 개인정보가 잇따라 유출됐다. AI 에이전트 해킹은 완전히 새로운 기술이라기보다 정찰·침투·데이터 탈취를 자동화해 속도와 규모를 키운 공격이다. 노출된 관리 페이지와 비밀번호 재사용부터 점검하는 것이 개인과 소규모 운영자 모두의 1순위다.
은행 네 곳이 이틀 만에 뚫렸다
9월 27일 밤부터 40시간 넘게 이어진 공격으로 주요 은행의 고객·임직원 정보가 잇따라 빠져나갔다. 신한은행에서 약 2만5천 명, KB국민은행 119명(임직원 20명·고객 99명), 하나은행 89명, BNK부산은행에서는 외주 개발직원 11명의 정보가 유출됐다. 예가람저축은행 서버에도 신원 미상의 접근이 있었다.
유출된 항목에는 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 섞여 있다. 금융당국은 긴급 대응 회의를 열어 외부로 노출된 시스템 전반을 점검하라고 지시했고, 경찰도 내사에 들어갔다. 공통적으로 지목된 단어가 "AI를 활용한 정황"이다. 다만 이 부분은 아직 당국이 조사 중인 단계이며, AI가 썼다고 확정된 것은 아니라는 점은 구분해 둘 필요가 있다.
자율형 AI 침투 도구, 쉽게 말하면
Photo by Albert Stoynov on Unsplash
지금까지 해킹은 사람이 직접 했다. 어떤 서버가 열려 있는지 하나씩 찾아보고, 비밀번호를 여러 번 넣어 보고, 들어간 뒤에는 어디에 중요한 데이터가 있는지 뒤졌다. 품이 많이 드는 반복 작업이다.
자율형 AI 침투 도구는 이 반복 작업을 사람 대신 돌린다. 외부에 노출된 시스템을 훑어 약한 지점을 찾고, 로그인 창에 값을 끝없이 대입하고, 성공하면 내부를 돌아다니며 데이터를 긁어 온다. 이번 사건에서 한 전문가가 "그 시간대는 도저히 수작업으로 할 수 없다"고 말한 것도 같은 맥락이다. 사람이 밤새 붙어 있을 수 없는 분량을 기계가 쉬지 않고 처리한다는 뜻이다.
실제 사례도 공개됐다. 앤트로픽은 2025년 11월, 공격자가 자사 AI(클로드 코드)를 이용해 9월 중순부터 열흘간 30여 개 기관을 동시에 노린 정황을 발표했다. 정찰, 취약점 분석, 공격 코드 제작, 내부 이동, 데이터 추출까지 상당 부분을 AI가 스스로 처리했고 사람은 민감한 접근의 최종 승인 정도만 맡았다고 한다.
사람 해커와 무엇이 다른가
핵심은 완전히 새로운 공격법이 등장했다는 게 아니다. 공격의 입구는 예전과 같다. 달라진 건 속도와 규모다.
| 구분 | 사람 중심 공격 | AI 에이전트 공격 |
|---|---|---|
| 속도 | 침투에 수 시간 | 제어권 이양 평균 22초 분석 |
| 규모 | 한 번에 소수 표적 | 수십 곳 동시 공격 |
| 지속성 | 사람 근무 시간 한계 | 24시간 연속 반복 |
보안업계에서는 시스템 제어 권한이 넘어가기까지 2022년 평균 8시간이던 것이 최근 평균 22초 수준으로 줄었다는 분석도 나온다. 사람이 로그를 보고 대응할 틈이 사실상 사라진다는 의미다. 여기에 데이터를 빼낸 뒤 백업까지 지워 복구를 막는 수법도 보고된다.
바꿔 말하면, 막는 쪽도 사람 눈에만 기대서는 따라갈 수 없다. 자동 차단과 자동 알림이 받쳐 줘야 한다.
운영자가 먼저 점검할 것
작은 서비스를 운영한다면 돈과 인력을 한 번에 다 쓸 수 없다. 효과가 큰 순서대로 짚는 게 현실적이다.
- 노출면 줄이기. 외부에서 열리는 관리자·업무 지원 페이지부터 확인한다. 이번 신한은행 유출도 대출모집인용 웹페이지가 통로였다. 쓰지 않는 외부 접점은 닫는다.
- 인증 강화. 모든 로그인에 다중 인증을 붙이고, 비밀번호 재사용을 끊는다. AI는 유출된 비밀번호를 여러 사이트에 자동으로 대입하기 때문이다.
- 속도 제한과 로그 알림. 짧은 시간에 반복되는 로그인 시도를 자동 차단하고, 이상 접근이 나오면 즉시 알림이 오게 한다. 22초 안에 끝나는 공격은 사후 확인으로는 늦다.
- 권한 최소화와 암호화. 계정마다 꼭 필요한 권한만 주고, 민감 데이터는 저장 단계에서 암호화한다. 뚫려도 피해 범위를 줄인다.
- 백업 분리 보관. 운영 시스템과 끊어진 곳에 백업을 둔다. 복구를 막는 수법에 대비하는 마지막 보루다.
일반 이용자라면 앞의 두 가지만으로도 대부분 막힌다. 은행 등에서 유출 안내를 받았다면 같은 비밀번호를 쓰던 사이트부터 바꾸고, 로그인 알림을 켜 두는 것이 지금 할 수 있는 가장 효과적인 조치다.