지난달 말부터 이달 초까지 신한·KB국민·하나은행 등 7개 금융사가 잇따라 뚫렸어요. 왜 하필 지금, 왜 한국 금융권이었을까요. 그 답은 공격에 쓰인 도구와, 공격자가 남긴 작은 실수에 숨어 있었습니다.
공격자, AI로 이력서 쓰다 흔적을 남겼어요
글로벌 보안기업 크라우드스트라이크는 7일(현지시간) 분석 보고서에서 이번 공격 배후가 중국 광둥성에 사는 26세 인물일 가능성이 있다고 밝혔어요. 다만 정황에 따른 추정일 뿐, 확정된 신원 특정은 아니라고 선을 그었습니다. 금융권 해킹 사태의 공격자 신원과 관련한 단서가 나온 건 이번이 처음이에요.
단서는 뜻밖의 곳에서 나왔어요. 공격자가 생성형 AI 코딩 도구인 클로드 코드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했는데, 그 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지가 함께 입력된 겁니다. 심지어 클로드에 탈취한 한국 금융정보를 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾는지까지 물었어요. 해당 텔레그램 계정은 텔레그램 기반 NFT 선물 마켓플레이스 취약점 조사 정황과 중국 결제 플랫폼 공격 정황에서도 똑같이 발견됐습니다.
서버를 두 단계로 나눠 지휘했어요
공격 수법도 정교했습니다. 크라우드스트라이크에 따르면 공격자는 홍콩 소재 IP를 주 통제 인프라로 삼아 공격 전체를 지휘하고, 실제 한국 공격에 쓰인 도구는 별도 IP에서 돌리는 두 단계 구조를 썼어요. 여기에 9개의 프록시(우회 경로) IP를 번갈아 쓰며 접속 흔적을 감췄습니다.
핵심 도구는 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 ‘아르텍스'(ARTEX)예요. 사람이 일일이 문을 두드리는 대신 로봇이 잠금장치를 자동으로 훑는 방식인데, 아르텍스를 돌리는 데 쓰인 AI는 중국 딥시크의 경량 모델 ‘v4.1-플래시’였습니다. 이 모델도 정식 경로가 아니라 제3의 재판매 업체를 통해 우회 접속한 것으로 분석됐어요. 여기에 즈푸AI의 GLM-5.3과 그록 4.6까지 보조로 동원됐습니다. 특정 모델이나 인프라에 의존하지 않고, 용도에 따라 여러 AI와 서버를 상황에 맞게 조합한 셈이에요.
침해가 확인된 금융사는 신한은행과 KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈 등 7곳입니다. 금융당국에 따르면 시중은행과 저축은행·캐피탈사를 공격한 IP는 서로 달랐지만, 동일 공격자가 IP를 바꿔가며 유사한 수법으로 여러 금융사를 노린 정황이 포착됐어요. 은행 공격 IP에서 아르텍스의 흔적이 확인되면서 경찰청 사이버수사국이 수사에 나섰고, 금융권 해킹 도구로 쓰인 아르텍스의 한국어판까지 등장해 탐지 규칙이 공개됐습니다. 크라우드스트라이크는 공격자가 금전적 동기로 움직였을 가능성을 중간 수준의 신뢰도로 평가했어요.
해킹 시도 자체가 급증하고 있어요
숫자를 보면 이번 사건이 우연이 아니라는 게 드러납니다. 국회 자료에 따르면 올해 한국수출입은행을 겨냥한 해킹 시도는 283건으로, 지난해 연간 36건의 약 7.9배에 달했어요. 이는 직전 5년간 합계인 197건을 넘어선 규모입니다. 공격 발신지의 96.1%가 국외였고, 미국발이 128건으로 가장 많았으며 싱가포르 56건, 중국 18건이 뒤를 이었습니다. 한국은행도 올해 누적 136건의 해킹 시도를 받았죠. 지난 5~6월에는 개인정보 처리 수탁업체 시스템 침입으로 직원 186명의 개인정보가 유출되기도 했어요. 피해가 커지자 신한은행 개인정보 유출 피해자를 대상으로 한 집단소송 원고 모집도 시작됐습니다.
보안 업계에서는 이번 사건이 AI가 공격의 진입장벽을 낮춘 대표 사례로 기록될 것으로 보고 있어요. 과거에는 공격자가 취약점을 찾고 침투하는 전 과정을 직접 설계해야 했지만, 지금은 에이전트형 도구가 그 일을 대신합니다.
한 걸음 더 들어가 보면, 이번 사건의 진짜 분기점은 공격자의 국적이 아니라 공격의 ‘가격표’가 내려갔다는 데 있어요. 침투 자동화 도구에 성능 좋은 AI를 얹으면, 고급 인력 없이도 여러 기관을 동시에 두드릴 수 있게 됐거든요. 방어하는 쪽도 사람 눈으로 로그를 훑는 방식만으로는 속도를 맞추기 어려워요. 그래서 탐지와 대응 자체를 AI로 자동화하는 투자가 국내 금융권의 다음 과제가 됩니다. 공격이 이렇게 빨라진 만큼, 신고와 심의, 수사까지의 처리 속도를 함께 끌어올릴 수 있을지가 관건이에요.
- 원문: 연합뉴스 — 금융권 해커, 중국 광둥성 26세 추정…홍콩 서버·딥시크 활용(종합)
- 보조 출처: 연합뉴스 — 올해 수은 해킹 시도 283건, 작년의 8배…지난달 한은 공격도(종합2보)
- 작성: sw4u 9시뉴스 안나영 / 2026-10-08 09:05