하루 만에 은행 네 곳이 흔들렸어요
10월 2일 오후 서울 중구 금융위원회. 신진창 사무처장이 은행·카드업권 관계자들을 불러 모아 ‘긴급 상황 대응 회의’를 주재한 자리에서 강조한 건 한 가지였습니다. “국민이 불안하지 않도록 자체점검을 확실하게 진행해야 한다”는 것이었죠. 하루 사이에 은행 네 곳의 이름이 잇따라 오르내린 탓입니다.
가장 먼저 알려진 건 신한은행이었어요. 대출모집인 전용 서비스에서 본인 확인 절차를 우회한 외부 비인가자에 의해 약 2만5천명의 개인정보가 유출됐고, 주민등록번호 66건과 연계정보(CI) 97건도 포함됐습니다. 그다음이 KB국민은행입니다. 직원용 모바일 업무 지원 시스템이 뚫려 고객 119명의 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 새어 나갔어요. 2일에는 하나은행이 영업지원시스템(ODS)을 겨냥한 비정상 접근으로 89명의 주민등록번호와 성명, 주소, 이메일, 직장명 등이 유출됐다고 밝혔습니다.
지역 은행도 예외가 아니었어요. BNK부산은행에는 1일 밤 9시께 AI 에이전트를 활용한 것으로 추정되는 웹서버 공격 시도가 있었습니다. 주요 공격은 막았지만 후속 점검 과정에서 외주 개발직원 11명의 성명, 전화번호, 생년월일, 이메일 주소 등이 노출된 정황이 확인됐죠. 우리은행과 NH농협은행에도 공격이 있었지만 정보 유출은 없었던 것으로 전해졌어요.
이번 사고에서 반복해 등장하는 방식이 ‘크리덴셜 스터핑’입니다. 미리 확보한 아이디와 비밀번호 조합을 여러 시스템에 무차별 대입하는 수법인데, 한 벌의 열쇠 꾸러미를 들고 현관문부터 창고 문까지 차례로 대보는 것과 비슷해요. 눈에 띄는 건 속도입니다. 보안업계에 따르면 공격에 쓰인 것으로 추정되는 서버에서는 중국어 기반 오픈소스 AI 침투 테스트 도구 ‘ARTEX AI’와 관련한 흔적도 발견됐어요. AI 에이전트가 취약점을 찾고, 공격을 실행하고, 결과에 따라 방법을 고치는 단계까지 왔다는 분석이 나옵니다.
대응도 속도를 냈어요. 금융위원회와 금융감독원, 금융보안원은 현장 조사에 착수해 공격자 IP와 공격 유형 정보를 한국인터넷진흥원(KISA) 등과 공유했고, 정보 유출 신고가 접수된 4개 은행에는 인력을 급파했습니다. 경찰도 곧바로 내사에 들어갔죠. 금융위는 외부에 노출된 전산시스템 전반을 점검하고, 인증 없이 내부 정보에 접근할 수 있는 경로가 있는지까지 확인하라고 업권에 주문했습니다.
보안업계에서는 개별 시스템의 침입을 막는 기존 ‘경계형 보안’만으로는 이번 같은 공격을 감당하기 어렵다는 지적이 나옵니다. AI 기반 상시 감시와 제로트러스트를 중심으로 보안 체계 자체를 바꿔야 한다는 겁니다. 관련 보고서를 종합하면, 공격자는 이미 자동으로 취약점을 훑는 단계에 들어섰는데 방어는 여전히 사람 손과 정해진 규칙에 기대는 경우가 많다는 겁니다.
이번 변화는 금융 보안의 성적표가 ‘AI를 얼마나 잘 도입했나’에서 ‘AI가 두드리는 속도를 얼마나 빨리 따라잡나’로 넘어가고 있다는 신호로 읽혀요. 뚫린 곳들이 고객용 앱이 아니라 대출모집인·직원용 시스템이라는 점도 눈여겨볼 대목이에요. 정면 문은 여러 겹으로 잠가 두는 동안 옆문 관리가 느슨해졌다는 뜻이거든요. 자체 점검 결과와 조사 결론이 나오는 시점에 다른 금융사들의 대응 속도가 어디까지 올라가는지가 가까운 확인 지점이 되겠습니다.
원문: 연합뉴스 — 하나은행도 AI 해킹 뚫렸다…89명 개인정보 유출(종합)
보조 출처: 연합뉴스 — [AI프리즘] 은행 줄줄이 뚫은 AI 에이전트…해킹 자동화의 그림자(종합), 연합뉴스 — 금융위 “국민 불안하지 않게 신속 파악”…은행·카드에 점검지시(종합)
작성: sw4u 9시뉴스 안나영 / 2026-10-02 21:00