서울에서 금융권의 잇따른 사이버 침입과 개인정보 유출에 대한 긴급 대응이 본격화되고 있다. 피해가 주요 은행을 넘어 저축은행과 캐피탈까지 확산하고 있지만, 이번 사태에서 더 주목해야 할 것은 피해 금융회사의 숫자보다 공격자들이 어디를 노렸느냐다.

3일 현재까지 드러난 사례를 보면 인터넷뱅킹이나 모바일뱅킹 같은 핵심 금융거래 시스템보다 직원용 업무지원 시스템, 대출모집인 관련 서비스, 외부 솔루션 등 인터넷과 연결된 주변 시스템에서 피해가 발견됐다. 금융권이 오랫동안 가장 강하게 보호해온 핵심망을 정면으로 공격하기보다 상대적으로 취약한 외부 연결 지점을 파고든 것이다.

금융당국도 대응을 서두르고 있다. 금융위원회는 10월 4일 정부서울청사에서 은행·금융투자·보험·여신전문금융·저축은행·상호금융·가상자산·핀테크 등 전 금융업권 협회장과 침해사고가 발생한 금융회사 대표들을 소집해 긴급 점검회의를 개최한다. 당초 7일 금융회사들의 자체 점검 결과를 보고받을 예정이었지만 저축은행과 캐피탈에서도 추가 피해가 확인되면서 일정을 앞당겼다.

현재까지 확인된 피해 규모도 작지 않다. 신한은행에서는 약 2만5,000명의 고객정보가 유출됐고, KB국민은행에서는 고객 119명, 하나은행에서는 고객 89명의 개인·신용정보가 노출된 것으로 파악됐다. BNK부산은행에서는 고객정보 유출은 확인되지 않았지만 외주 개발직원 11명의 개인정보가 노출된 정황이 확인됐다.

우리은행과 NH농협은행에서도 외부 공격 시도가 있었지만 이를 차단해 현재까지 정보유출은 확인되지 않았다. 2금융권에서는 예가람저축은행에서 약 4만 명으로 추정되는 고객정보가 유출됐으며, 현대캐피탈에서는 주택대출 모집인 146명의 일부 개인정보가 유출된 것으로 확인됐다.

다만 이들 사고가 모두 하나의 공격세력에 의해 이뤄졌다고 볼 근거는 아직 없다. 동일 세력이 여러 금융회사를 동시에 노린 것인지, 서로 다른 공격이 금융권의 집중 점검 과정에서 한꺼번에 발견된 것인지 추가 조사가 필요하다.

공격자는 핵심망 밖에서 길을 찾았다

이번 사태에서 가장 눈여겨봐야 할 대목은 피해가 발생한 시스템의 성격이다.

금융회사는 오랫동안 인터넷뱅킹과 모바일뱅킹 등 핵심 금융거래 시스템을 중심으로 강한 인증과 접근통제를 적용하고 외부 인터넷과 분리하는 데 많은 보안 자원을 투입해왔다. 이러한 방어체계는 여전히 중요하다. 실제로 현재까지 확인된 사고에서도 핵심 금융거래 시스템 자체가 직접 침해됐다는 사실은 확인되지 않았다.

문제는 그 바깥이다. 금융서비스가 디지털화되면서 직원용 모바일 시스템, 대출모집인 페이지, 외부 솔루션, API, 외주·협력업체 시스템 등 핵심망과 연결되는 접점은 계속 늘어나고 있다.

공격자 입장에서는 가장 강하게 보호된 시스템과 정면으로 싸울 이유가 없다. 상대적으로 관리가 약한 시스템을 통해 개인정보나 내부 데이터에 접근할 수 있다면 그곳이 더 쉬운 공격 대상이 된다.

금융위원회가 10월 2일 긴급 상황대응 회의에서 금융회사들에 외부에서 접근할 수 있는 IT 자산과 서비스를 모두 파악하도록 요구한 것도 이 때문이다. 대고객 서비스인지 내부 업무용인지와 관계없이 외부에서 접근 가능한 시스템을 찾아 인증과 접근통제가 제대로 작동하는지 점검하고, 불필요하게 노출된 정보도 최소화하도록 했다.

공격에 사용된 IP 주소와 공격수법, 침해시도 내역을 금융회사와 관계기관이 신속하게 공유하도록 한 것도 개별 금융회사의 방어만으로는 빠르게 움직이는 공격에 대응하기 어렵다는 판단에 따른 것이다.

‘AI 해킹’ 단정보다 공격 자동화를 봐야 한다

이번 사태에서는 AI가 공격에 활용됐을 가능성도 제기되고 있다.

신한은행 공격에 이용된 것으로 추정되는 서버에서 중국어 기반 AI 자율 침투테스트 환경과 관련된 흔적이 발견됐고, 보안업계에서는 오픈소스 자율형 침투테스트 도구 ‘ARTEX AI’와의 관련 가능성을 거론하고 있다. 이 같은 도구는 대규모언어모델과 멀티에이전트 기술을 활용해 정보수집과 취약점 탐색, 공격경로 설계, 보안도구 실행 등을 자동화할 수 있다.

그러나 흔적이 발견됐다는 사실과 실제 공격에 AI가 사용됐다는 것은 다른 문제다. 현재까지 ARTEX AI가 이번 공격에 실제 사용됐는지는 확인되지 않았으며, 여러 금융회사에 대한 공격이 동일 세력의 소행인지도 규명되지 않았다.

따라서 현 단계에서 이번 사태를 ‘AI 금융권 해킹’으로 규정하는 것은 이르다.

더 중요한 문제는 AI가 앞으로 공격자에게 무엇을 가능하게 하느냐다. 과거 사람이 직접 찾아야 했던 인터넷 노출 시스템과 취약점을 AI 에이전트가 빠르게 탐색하고 공격경로 설계와 일부 실행 과정까지 자동화한다면 공격에 필요한 시간과 비용은 크게 줄어들 수 있다.

금융회사는 수많은 시스템을 모두 방어해야 하지만 공격자는 그중 하나의 약점만 찾으면 된다. AI가 그 약점을 찾는 속도를 높인다면 금융보안은 지금보다 훨씬 빠른 탐지와 대응을 요구받게 된다.

금융보안의 기준을 핵심망 밖으로 넓혀야 한다

이번 사고가 던지는 가장 중요한 질문은 금융회사가 어디까지를 핵심 보안자산으로 볼 것인가다.

핵심 금융망을 강하게 보호하는 기존 방식은 여전히 필요하다. 그러나 핵심망이 안전하다는 것만으로 금융회사가 안전하다고 말하기 어려워졌다. 직원용 업무시스템 하나, 오래된 조회 페이지 하나, 외부 솔루션 하나가 고객정보나 내부 데이터와 연결돼 있다면 그곳 역시 공격자에게는 금융회사의 입구다.

금융당국이 이번에 외부에 노출된 IT 자산을 빠짐없이 파악하도록 요구한 것도 이런 현실을 반영한다. 앞으로 금융권은 외부 노출 자산을 지속적으로 찾아 관리하는 공격표면 관리(Attack Surface Management·ASM)를 비롯해 다중인증, 최소권한 원칙, 비정상적인 대량조회 탐지, API 접근통제는 물론 외주·협력업체와 외부 솔루션까지 하나의 보안체계 안에서 관리할 필요가 있다.

금융권이 지켜야 할 곳은 핵심 금융망만이 아니다. 직원용 업무시스템이나 대출조회 페이지처럼 인터넷과 연결된 작은 통로 하나가 뚫려도 고객정보는 빠져나갈 수 있다. 공격자는 가장 강한 문과 싸우지 않는다. 가장 약한 곳을 찾아 들어온다. 이제 금융회사가 해야 할 일은 공격자가 찾기 전에 그 약점을 먼저 찾아 막는 것이다.

영문판 보기

연철웅 다른기사 보기