9월, 국내 금융회사 7곳이 AI를 앞세운 해킹에 뚫렸다. 신한은행에서는 고객 2만5000명의 정보가 빠져나갔고, 코리아중앙데일리는 예가람저축은행 고객 약 4만 명도 피해를 본 것으로 전했다. 해커들이 파고든 곳은 고객이 매일 쓰는 인터넷·모바일뱅킹 화면이 아니었다. 외부와 맞닿아 있는 바깥쪽 시스템이었다.

바깥 문으로 들어온 해커

뚫린 입구는 기관마다 달랐다. 신한은행은 대출모집인이 고객의 대출 진행 상태를 살펴보는 간편조회 서비스가 뚫렸고, KB국민은행은 직원용 모바일 업무지원시스템, 하나은행은 영업지원시스템이 공격을 받았다. BNK부산은행에서는 외주 직원 정보 11건이 유출됐죠. 모두 일반 고객이 드나드는 정문이 아니라 직원과 협력사가 쓰는 뒷문에 가까운 곳이었습니다.

신한은행 간편조회는 인증서 없이 이름, 주민등록번호, 휴대폰번호와 문자 인증번호만 있으면 접속할 수 있는 구조였다. 해커는 이 인증을 우회해 얻은 정보를 다른 조회 서비스에 넣어 보며 빼낼 수 있는 범위를 넓혀 갔다. 이상근 고려대 교수는 “기초적인 보안이 안 된 건데 AI 탓으로 가는 것은 위험하다”고 말했다.

AI 탓인가, 기본 보안인가

비즈워치는 이번 공격에서 AI가 새로운 해킹 기법을 만든 것이 아니라, 이미 있던 빈틈을 빨리 찾아낸 것으로 분석했다고 전했다. 한 금융사 정보보호최고책임자(CISO)도 “반복 요청은 AI 없이도 자동화할 수 있다”며 “AI는 숨겨져 있던 문제를 찾고 발견하는 속도를 높이는 역할”이라고 설명했다. 그렇다면 왜 이런 빈틈이 남아 있었을까요? 이 교수는 맞는 아이디와 비밀번호라도 시도할 때마다 2차 인증을 요구하고, 모집인이 쓰는 기기까지 인증했다면 뚫리기 힘든 상황이었을 것이라고 짚었다. 그러면서 “사내는 잘 막아놨을 텐데 협력업체는 허술한 경우가 많다”고 덧붙였다.

늦게 알아챈 탐지, 움직인 당국

탐지도 과제로 남았다. 신한은행은 9월 29일 오전 조회 건수가 치솟은 것을 보고 이상을 알아챘지만, 공격은 30일까지 이어졌다. 이 CISO는 여러 계정으로 조금씩 나눠 조회하면 단순한 횟수 기준을 피할 수 있다며, 관련 기록을 함께 들여다봐야 한다고 말했다.

정부도 움직였다. 이재명 대통령은 이번 사건에 대해 전면 조사를 지시했고, 금융당국은 외부 시스템 감독 공백을 포함해 조사에 착수했다. AI위클리는 조사 초기 단계에서 중국어 기반 AI 해킹 도구 ‘ARTEX AI’의 흔적이 확인됐다고 보도했다. 피해 기관은 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈 등 7곳이다. 같은 흐름은 통신사로도 번지고 있죠. 우리 매체는 지난 11일 SKT·KT·LG유플러스가 AI 해킹 대응을 위해 전사 점검에 나섰다고 전한 바 있다.

다음 관전 포인트는 금융당국 조사 결과가 외부 시스템 감독 범위를 어떻게 정리할지에 있죠.