AI 해킹 금융권 전방위 확산…당국, 금융사 CEO 긴급소집

은행·저축銀·캐피털 이어 상호금융까지 공격 정황
신한銀 2만5727건 유출…국민銀도 고객·임직원 정보 피해
금융위·금감원 수장 직접 대응…“추가 피해 가능성 배제 못해”

▲(사진=AI 생성)

AI를 활용한 해킹 공격이 시중은행에서 저축은행·캐피털·상호금융까지 금융권 전반으로 확산하고 있다. 고객 대상 핵심 시스템보다 상대적으로 보안이 느슨한 직원용·업무지원 시스템을 집중적으로 노렸다는 점에서 금융권 보안체계의 사각지대가 동시에 드러났다는 평가다. 금융당국은 추가 피해 가능성을 배제할 수 없다고 보고 금융회사 최고경영자(CEO)들을 긴급 소집해 공동 대응에 나선다.

4일 금융당국과 금융권에 따르면 새마을금고중앙회는 최근 신한은행 고객정보 유출 사고와 동일한 공격자 인터넷주소(IP)에서 비정상적인 접근이 이뤄진 사실을 확인했다. 자체 보안장비로 해당 해외 IP를 차단해 정보 유출로 이어지지는 않았다.

NH농협은행과 전산망을 공유하는 농협 상호금융에서도 유사한 침입 시도가 있었지만 방어에 성공한 것으로 알려졌

다.

제2금융권에서는 실제 피해가 잇따랐다. 예가람저축은행은 지난달 30일 해킹 공격으로 약 4만명의 고객 이름과 생년월일, 연락처 등이 유출됐다고 밝혔다. 현대캐피탈에서는 대출모집인 146명의 이름과 연락처, 이메일 주소, 주민등록번호 등이 유출됐다. 웰컴저축은행 역시 법인고객 정보 유출 사실을 파악하고 피해 규모와 경위를 조사 중인 것으로 전해졌다.

현재까지 증권·보험·카드업권과 IBK기업은행, 한국수출입은행 등에서는 동일한 공격 흔적이 확인되지 않은 것으로 알려졌다. 다만 금융권에서는 실제 공격을 받은 금융사가 외부에 알려진 곳보다 많을 가능성이 있다는 관측이 나온다.

금융권 관계자는 “정보 유출이 없었더라도 침해 시도가 확인되면 금융당국에 신고해야 한다”며 “이번에 공격을 받은 금융회사는 현재 알려진 것보다 훨씬 많을 수 있다”고 말했다.

금융당국도 상황을 엄중하게 보고 있다. 이억원 금융위원장과 이찬진 금융감독원장은 이날 오후 정부서울청사에서 금융권 협회장과 침해 사고가 발생한 금융회사 CEO를 불러 긴급 점검회의를 연다. 신한·KB국민·하나·부산은행과 현대캐피탈, 예가람·웰컴저축은행 대표 등이 참석할 예정이다.

이번 공격의 특징은 특정 금융회사를 정밀하게 겨냥하기보다 AI 등을 이용해 다수 금융회사의 취약점을 광범위하게 탐색한 뒤 보안이 약한 시스템을 파고든 것으로 추정된다는 점이다.

특히 고객이 직접 이용하는 핵심 금융시스템보다 직원이나 대출모집인 등이 사용하는 내부 업무지원 시스템과 부가 서비스가 집중적으로 표적이 됐다. 핵심 전산망에 비해 인증 절차나 보안 수준이 상대적으로 낮은 이른바 ‘위성 시스템’의 빈틈을 노린 셈이다.

신한은행에서는 대출모집인이 이용하는 ‘대출상담사 접수 대출 진행현황 조회’ 서비스가 정보 유출 경로로 활용됐다. 신한은행이 국회에 제출한 자료에 따르면 공격자 IP는 지난달 28일 오후 6시4분께 처음 유입됐으며 30일 0시15분까지 공격이 이어졌다. 이 과정에서 개인정보 2만5727건이 유출됐다.

신한은행은 29일 오전 9시30분 공격을 인지한 뒤 IP를 차단하고 일부 서비스를 중단했지만 공격자는 모바일 홈페이지의 대출신청결과 조회 등 6개 서비스를 상대로 공격을 이어갔다. 한국을 비롯해 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP가 동원됐다.

KB국민은행도 직원용 모바일 업무지원 시스템인 ‘RM 에이전트’와 ‘PB 에이전트’를 통해 피해를 봤다. 국회 제출 자료에 따르면 지난달 27일 오후 11시19분부터 29일 오후 6시까지 공격이 이어졌으며 임직원 20명의 정보와 고객 이름·휴대전화 번호 등 총 153건이 유출됐다. 일부 고객의 암호화된 주민등록번호도 포함됐다.

사고가 발생한 은행들은 보안 취약성이 확인된 일부 업무지원 사이트 운영을 한시적으로 중단하고 추가 피해 여부를 점검하고 있다. 고객 신고 창구도 열고 실제 피해가 발생할 경우 전액 보상한다는 방침이다.

금융당국은 아직 발견되지 않은 추가 피해 가능성도 열어놓고 있다. 금융당국 고위 관계자는 “현재까지 당국에 보고된 사고 외에도 추가 피해 상황이 나올 가능성을 배제할 수 없다”고 말했다.

금융권에서는 AI 기반 공격이 기존 사이버보안 체계가 전제했던 공격 속도와 범위를 넘어선 만큼 개별 금융회사에만 방어 책임을 맡기기 어렵다는 목소리가 커지고 있다.

금융당국 역시 기존 보안체계를 전면 재점검할 필요가 있다고 보고 있다. 지난 2일 금융위원회 주재 긴급 상황 대응회의에서도 AI를 활용한 신종 공격에 대응할 수 있도록 제도와 보안체계를 보완해야 한다는 의견이 나온 것으로 전해졌다.

금융사의 AI 활용 확대와 맞물려 망분리 규제 개선 논의에도 속도가 붙을 전망이다. 당국은 보안 역량을 갖춘 금융사가 AI를 활용해 사이버 공격에 실시간 대응할 수 있도록 망분리 규제를 단계적으로 완화하는 방안을 추진 중이다. 지난 6월부터 규제 완화 테스트를 진행하고 있으며 오는 7일 2차 테스트 참여사가 선정될 예정이다.