신한은행과 KB국민은행 등 금융사 7곳에서 잇따라 개인정보가 유출되면서 금융당국이 비상 대응에 나섰다. 일부 공격에서는 인공지능(AI) 기반 침투 도구의 흔적까지 발견돼 AI를 활용한 대규모 자동화 공격 가능성도 제기되고 있다.
5일 금융당국에 따르면 최근 침해 사고로 정보 유출이 확인된 곳은 신한·KB국민·하나·BNK부산은행과 현대캐피탈, 예가람·웰컴저축은행 등 7곳이다.
현재까지 약 6만6000명의 고객·직원·대출모집인 개인정보가 유출됐으며 웰컴저축은행에서는 법인고객 정보가 최대 2200건 유출된 것으로 추정된다.
피해 규모가 가장 큰 곳은 예가람저축은행으로 고객 약 4만명의 이름과 생년월일, 연락처 등이 유출됐다. 신한은행에서도 약 2만5700명의 고객 정보가 빠져나갔다.
KB국민은행에서는 고객 119명, 하나은행에서는 고객 89명의 정보가 유출됐다. BNK부산은행에서는 외주 개발직원 11명, 현대캐피탈에서는 대출모집인 146명의 개인정보가 노출됐다.
다만 인터넷·모바일뱅킹 등 핵심 금융서비스가 직접 침해되거나 현재까지 금전 피해가 발생한 사실은 확인되지 않았다.
이번 공격에서 특히 주목되는 것은 AI 활용 가능성이다.
금융당국은 여러 금융사를 공격한 인터넷주소(IP)와 공격 수법에서 공통점을 확인했다. 은행권을 겨냥한 일부 공격 서버에서는 중국어를 기반으로 개발된 AI 자율 침투테스트 도구 'ARTEX AI'와 관련된 흔적도 발견됐다.
ARTEX AI는 대규모언어모델(LLM)을 기반으로 시스템의 취약점을 찾아 침투 테스트를 수행하는 오픈소스 도구다. 누구나 내려받아 사용할 수 있는 만큼 실제 공격에 ARTEX AI가 사용됐는지, 공격자가 누구인지는 아직 확인되지 않았다.
공격자는 여러 국가의 IP를 바꿔가며 금융사의 취약한 시스템을 반복적으로 노린 것으로 파악됐다. 고객이 직접 사용하는 뱅킹 시스템보다 대출모집인·직원·외주 인력이 사용하는 업무지원 시스템과 외부 웹페이지가 주요 표적이 됐다.
실제 정보 유출로 이어지지 않은 공격도 있었다. 우리은행과 NH농협은행, 새마을금고중앙회 등에서도 비정상적인 접근 시도가 확인됐지만 차단돼 현재까지 정보 유출 피해는 확인되지 않았다.
금융당국은 사태가 금융권 전반으로 확산하자 4일 정부서울청사에서 '침해위협 대응 전 금융권 긴급 점검회의'를 열었다.
이억원 금융위원장은 "AI를 활용한 공격 가능성도 배제할 수 없다"며 "금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점"이라고 밝혔다.
특히 이미 공유된 공격 IP와 사고 사례가 있는데도 금융사가 필요한 보안 조치를 소홀히 해 유사한 사고가 다시 발생할 경우 관련 법령에 따라 엄정 대응하겠다고 경고했다.
금융당국은 약 500개 금융회사에 공격 IP와 보안 유의사항을 공유하고 전산시스템 긴급 점검을 지시했다. 외부에 노출된 IT 자산과 서비스, 인증·접근통제 체계 등을 집중적으로 살펴 미흡한 부분은 즉시 보완하도록 했다.
이재명 대통령도 최근 금융기관과 공공기관의 개인정보 유출 사고를 보고받고 "엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기할 것"을 지시했다.
경찰도 피해 금융사를 대상으로 공격 주체와 AI 활용 여부 등을 조사하고 있다.