“진짜 피해는 아직 시작 전”…금융권 해킹이 남긴 ‘디지털 클론’ 가능성

대출 한도·연 소득 결합해 ‘디지털 복제인간’
AI로 초개인화된 2차 금융범죄 우려도

최근 7개 금융사를 덮친 해킹으로 수만명의 개인정보가 빠져나간 가운데 연소득과 대출한도, 주민등록번호 등 유출 정보가 AI와 결합해 개인을 정교하게 모방한 ‘디지털 클론’의 재료가 될 수 있다는 경고가 나온다. AI가 해킹을 쉽게 만드는 것을 넘어 탈취한 정보를 활용한 2차 금융범죄까지 정교하게 만들 수 있다는 지적이다.

11일 AI와 보안업계에 따르면 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 국내 금융권 연쇄 해킹에는 AI 기반 자율 침투테스트 도구 ‘아르텍스(ARTEX)’가 활용된 정황이 포착됐다. 아르텍스는 깃허브에 공개된 AI 기반 자동 침투 테스트 도구다. 단순 자동 스캐닝 도구와 달리 이전 수행 결과를 바탕으로 다음 탐색 대상을 스스로 선정하고 공격 경로를 확장한다.

보안업계는 AI가 기존 해킹의 속도와 규모를 증폭시키고 있다는 데 주목한다. SK쉴더스는 이번 금융권 사고를 두고 AI 공격의 본질이 새로운 취약점을 발견하는 것이 아니라 관리되지 않는 자산을 더 빠르게 찾아내고 악용하는 데 있음을 보여준다고 설명했다.

AI는 해킹 공격을 보다 쉽게 만들었다. 아르텍스 관련 인프라를 분석해 약 600개의 추가 IP 주소를 확인한 안랩은 AI가 비숙련 공격자에게는 기술적 진입장벽을 낮추고, 숙련된 공격자에게는 자동화를 통해 공격 속도와 규모를 확대하는 수단이 될 수 있다고 분석했다.

한국 금융권 해킹 사건 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 밝힌 미국 사이버보안 기업 크라우드스트라이크도 낮은 운영 보안 수준과 공격 과정에서 다수의 흔적을 남긴 점 등을 근거로 “공격자가 높은 수준의 기술 역량을 가진 것은 아니었다”고 했다.

문제는 이번 사고에서 이름과 전화번호뿐 아니라 연소득과 대출한도, 주민등록번호, 직장명 등 개인의 금융·신원정보까지 유출됐다는 것이다. 각각의 정보가 다른 유출 데이터와 결합되면 한 사람의 경제 상황을 구체적으로 재구성할 수 있다는 지적이 나온다.

최병호 고려대 휴먼인스파이어드 AI연구원 연구교수는 금융권 연쇄 해킹을 두고 “당장 계좌에서 돈을 빼가는 것이 목적이 아니다”며 “대출 한도, 연 소득, 식별 번호 등을 결합해 완벽한 ‘디지털 복제인간(Digital Twin)’을 만들려는 것”이라고 분석했다.

이렇게 만들어진 금융 프로필에 생성형 AI까지 결합하면 금융사기도 더욱 정교해질 수 있다. 불특정 다수에게 똑같은 대출 문자를 보내는 대신 실제 소득과 대출 규모 등을 언급하며 접근하는 ‘초개인화’ 스피어피싱이 가능해진다. 음성·영상 생성 AI를 활용해 금융사 직원이나 가족을 사칭하는 딥페이크 범죄와 결합될 가능성도 있다.

최 교수는 “가짜 신분증으로 비대면 대출을 실행하는 등 장기적이고 정교한 2차 금융 사기의 인프라를 구축하기 위한 사전 작업이 될 수 있다”고 말했다.

▲<YONHAP PHOTO-4592> 은행권 전방위 해킹 사건 (서울=연합뉴스) 박동주 기자 = 최근 금융권 해킹 사고가 발생한 가운데 5일 서울 시내 한 건물 내에 설치된 은행 ATM기. 2026.10.5 [e-mail]/2026-10-05 14:14:42/<저작권자 ⓒ 1980-2026 ㈜연합뉴스. 무단 전재 재배포 금지, AI 학습 및 활용 금지>

향후 초개인화 보이스피싱 피해가 발생하더라도 범죄자가 활용한 개인정보가 이번 금융권 해킹에서 나온 것인지 과거 다른 유출 사고에서 확보한 것인지 입증하기 어려울 수 있다. AI가 해킹 규모를 키우고 유출된 정보를 활용한 범죄까지 정교하게 만드는 상황에서 이번 금융권 해킹 사고의 피해는 이제 시작일 수 있다.