이억원 “금융권 해킹 사고, AI 활용 추정⋯동일 공격자 IP 여러 곳 발견”

▲이억원 금융위원회 위원장이 4일 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 발언하고 있다. (연합뉴스)

최근 은행 해킹사고에서 동일 공격자가 인공지능(AI) 도구를 활용해 공격한 정황이 발견됐다.

4일 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해 사고에서 동일한 공격자의 인터넷주소(IP)가 여러 곳에서 발견됐다.

시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP는 서로 다르지만 수법 자체는 유사했다. 공격자는 IP를 변경해 지속적으로 공격한 것으로 파악됐다. 공격자는 AI 도구를 활용해 다수 금융사를 대상으로 대량으로 자동화된 공격을 한 것으로 보인다.

실제 신한은행이 국회에 보고한 자료에 따르면, 신한은행 해킹사고의 경우 공격자가 한국과 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP를 이용했다.

금융보안 관계자에 따르면 은행을 공격한 IP에서 ARTEX AI의 흔적이 확인돼 현재 경찰청 사이버수사국이 조사 진행 중이다. ARTEX AI는 중국어를 중심으로 깃허브(GitHub)에 오픈소스로 공개된 대규모언어모델(LLM) 기반 자율형 침투테스트 시스템이다. 다만, 오픈소스 모델 특성상 전 세계적으로 활용되는 데다, IP도 광범위하게 분산돼 있어 특정 국가를 배후로 단정 짓긴 어렵다는 의견이 나온다.

이번 공격으로 금융회사 직원·대출모집인용 부가시스템에서 정보가 유출됐으며, 인터넷·모바일뱅킹 등 대고객 서비스 영향이나 금전 피해는 없는 것으로 파악됐다

금융당국은 해킹 사고를 3개 유형으로 분류해 대응하도록 했다. 정보조회 서비스의 경우 본인 확인을 거치지 않고 대출신청 내역이나 기업대표정보를 조회할 수 있도록 개발이 잘못된 것으로 확인됐다. 이에 따라 인증 절차가 누락된 서비스는 전수조사해 오류를 수정하거나 서비스를 차단하도록 했다.

PB, RM 등 직원 업무지원 서비스의 경우에는 모바일 단말기 접근통제가 누락됐거나 권한 없이 접근할 수 있는 웹 취약점에 조치하지 않아 정보가 탈취된 것으로 봤다. 금융사는 사전 등록된 단말기로만 접속할 수 있도록 통제를 강화하고, 취약한 웹서비스는 즉시 개선해야 한다.

홈페이지 서비스는 해커가 이미 알려진 보안 취약점을 파고들어 악성코드를 설치하고, 고객정보가 포함된 로그파일을 탈취한 것으로 파악됐다. 이에 알려진 취약점은 조치하거나 서비스를 차단하는 등 보안 통제를 강화한다.

7개사 외 다른 금융사에서도 침해시도가 확인됐으나, 다중인증체계 도입 및 취약점 선제 조치 여부에 따라 침해 여부가 갈렸다.

금감원은 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파했다. 은행·카드는 오는 6일까지, 증권·보험·저축은행·전자금융업자 등은 오는 8일까지 긴급 점검을 마쳐야 한다. 이들은 △공격 IP 차단 및 피해조사여부 △외부노출 IT자산·서비스 식별 및 보안 강화 여부 등 12개 항목이 포함된 체크리스트에 따라 점검해야 하며, 미흡 사항이 발견되면 즉시 보완해야 한다.

금융당국은 사고발생 회사 현장 점검, 검사 결과에 따라 취약 요인과 개선사례를 전 금융권에 알려 유사 사고가 재발되지 않도록 할 계획이다. 아울러 금융당국은 오는 11월까지 전 금융권을 대상으로 IT 기본 통제 '자율 시정'을 하고 있으며, 만약 미흡한 점검으로 대규모 IT·침해 사고가 발생할 경우 엄중 조치하겠다는 입장이다.

금융당국은 해킹 사고 발생 이후 이날까지 총 3차례 긴급상황 대응회의를 진행했다. 이날은 전체 금융권 회장과 침해사고 발생 금융사 임원들을 소집해 대응 방안을 논의했다.

이억원 금융위원장은 "금융권 전체가 지금의 상황을 엄중하게 인식하고 최고 수준의 경각심을 가져야 할 시점"이라며 철저한 보안 점검과 소비자 보호 조치를 당부했다