9월 말부터 며칠 사이에 금융권을 휩쓸고 간 해킹 사건이 있습니다. 신한은행에서 시작된 개인정보 유출이 KB국민은행, 하나은행, 부산은행, 우리은행, NH농협은행까지 은행권 전역으로 번졌고, 제2금융권의 저축은행, 캐피탈, 금고까지 제1·2금융권을 가리지 않고 동시다발로 공격받은 것으로 확인됐습니다. 공격 시간대와 수법이 비슷해 동일 세력의 일관된 공격으로 추정되며, 인공지능을 활용했을 가능성까지 제기되고 있는데요.

신한은행의 경우 9월 30일 해커가 모바일 대출모집인용 조회서비스의 취약점을 통해 고객 약 2만5천여 명의 개인정보(성명, 전화번호, 연소득, 직장명, 일부 주민등록번호)를 빼냈습니다. 이후 며칠 사이에 다른 금융사들의 피해도 속속 드러났습니다. KB국민은행은 직원용 모바일 업무시스템 침투로 고객 119명의 정보가, 하나은행은 영업지원시스템 해킹으로 고객 89명의 정보가 유출됐으며, 부산은행에서는 외주 개발직원 11명의 정보가 노출됐습니다. 우리은행과 NH농협은행도 같은 방식의 공격을 받았으나 실제 정보 유출로는 이어지지 않았습니다.

제2금융권도 마찬가지입니다. 예가람저축은행은 약 4만 명의 고객명, 생년월일, 연락처가 유출됐고, 현대캐피탈에서는 대출모집인 146명의 이름, 연락처, 주민등록번호 등이 빠져나갔으며, 새마을금고중앙회와 농협 상호금융도 침입 시도를 받은 상태입니다. 금융거래 시스템 자체는 보호됐지만, 관계자들의 정보가 노출되면서 향후 악용 경로가 생기게 된 셈입니다.

이번 공격의 가장 특이한 점은 무엇일까요? 금융거래가 실제로 일어나는 인터넷뱅킹이나 모바일뱅킹이 아니라, 직원용이나 상대적으로 중요도가 낮은 업무지원시스템을 집중적으로 노렸다는 겁니다. 고객용 창구와 달리 엄격한 인증절차를 거치지 않아도 되는 내부 홈페이지 메뉴나 앱이 표적이 된 것입니다. 금융당국은 이를 인공지능이 여러 시스템을 자동으로 빠르게 탐색하면서 취약한 지점을 찾아낸 결과로 보고 있습니다. 과거처럼 해커가 시스템을 하나하나 분석해야 하는 수고를 덜게 된 셈입니다.

다만 공개된 피해가 전부라고 보기 어렵습니다. 한 금융권 관계자는 "금융회사는 정보 유출이 없었더라도 해킹 공격을 받으면 금융당국에 침해 사고를 신고해야 한다"며 "이번에 공격 시도를 받은 금융회사는 외부로 알려진 것보다 훨씬 더 많을 수 있다"고 지적했습니다.

더 큰 우려는 2차 피해입니다. 유출된 개인정보만으로는 직접 계좌에서 돈을 빼내거나 부정 결제를 하기 어렵지만, 공격자가 고객의 대출정보와 소득 등을 결합해 실제 대출을 신청하거나 상담한 사실을 이용한 맞춤형 피싱으로 악용할 수 있다는 점입니다. 보이스피싱이나 사기 전화, 문자에 관련 내용이 포함되면 피해자가 속을 가능성이 훨씬 높아집니다.

해킹을 당한 금융회사들은 영향을 받은 고객에게 개별적으로 유출 사실과 2차 피해 예방 방법을 안내하고 있으며, 피해가 발생할 경우 전액 보상하기로 했습니다.