시사타파NEWS - 신한 2만5천명·국민 119명·하나 89명 정보 유출...금융권 ‘AI 해킹’ 정황

신한 2만5천명·국민 119명·하나 89명 개인정보 유출…은행권 잇단 해킹
신한 공격 추정 서버서 ‘AI 자율 침투테스트 콘솔’ 흔적…실제 사용 여부는 미확인
우리·농협도 공격 대상…AI 활용한 금융권 동시다발 공격 가능성에 보안 비상

▲ 신한은행에 이어 KB국민은행에서도 해킹으로 고객 정보가 유출되는 사고가 발생한 2일 서울 시내의 한 KB국민은행 모습. 이날 금융당국과 금융권 등에 따르면 KB국민은행에서 최근 고객 정보 100여건이 외부 침입에 의해 유출된 사실을 확인했다. 2026.10.2 (사진=연합뉴스)

 

신한은행에서 약 2만5천명의 고객정보가 유출된 데 이어 KB국민은행과 하나은행, BNK부산은행에서도 잇따라 정보 유출이 확인됐다. 우리은행과 NH농협은행 역시 외부 해킹 공격을 받은 것으로 파악되면서 국내 주요 금융권 전반에 보안 비상이 걸렸다.

특히 신한은행 공격에 활용된 것으로 추정되는 웹서버에서 인공지능(AI)을 이용한 자율형 침투테스트 도구와 관련된 흔적이 발견되면서 AI를 활용한 공격 자동화 가능성도 제기되고 있다. 다만 해당 AI 도구가 실제 이번 해킹에 사용됐는지는 아직 금융당국 등 공식기관을 통해 확인되지 않았다.

2일 보안업계에 따르면 신한은행을 겨냥한 것으로 추정되는 공격 서버의 HTML 제목에서 ‘ARTEX-自主渗透試控制台’라는 중국어 문자열이 발견됐다. ‘AI 자율 침투테스트 콘솔’을 뜻하는 표현으로, 해당 서버에서 ‘ARTEX AI’가 운영됐거나 관련 환경이 사용됐을 가능성을 보여주는 정황으로 분석됐다.

ARTEX AI는 대규모언어모델(LLM)과 여러 AI 에이전트를 이용해 정보 수집부터 취약점 탐색, 공격 경로 계획, 보안도구 실행과 취약점 검증까지 자동화하도록 설계된 오픈소스 침투테스트 시스템이다. 원래 보안 취약점을 점검하는 용도로 개발됐지만 공격자가 악용할 경우 사이버 공격의 속도와 효율을 높이는 수단으로 활용될 수 있다는 우려가 나온다. 누구나 내려받을 수 있는 오픈소스라는 점에서 중국어 문자열만으로 공격자의 국적이나 배후를 특정할 수도 없다.

현재까지 가장 큰 피해가 확인된 곳은 신한은행이다. 신한은행은 지난달 30일 대출모집인 서비스의 본인확인 절차를 우회한 외부 비인가자의 침입으로 고객 약 2만5천명의 개인정보가 유출됐다고 밝혔다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건을 비롯해 고객명과 전화번호, 연소득, 대출 한도 등이 포함됐다.

KB국민은행에서는 직원용 모바일 업무지원시스템에 외부 침입이 발생해 고객 119명의 개인·신용정보가 유출됐다. 고객별로 차이가 있지만 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 하나은행에서도 영업지원시스템(ODS)을 겨냥한 비정상 접근으로 고객 89명의 주민등록번호와 이름, 주소, 이메일, 전화번호, 직장명 등이 유출된 것으로 파악됐다. 두 은행 모두 인터넷·모바일뱅킹 등 금융거래 시스템과는 별개의 시스템에서 발생한 사고라고 설명했다.

BNK부산은행도 외부 공격을 받은 뒤 점검 과정에서 외주 개발직원 11명의 이름과 전화번호, 생년월일, 이메일주소 등이 노출된 사실을 확인했다. 다만 고객정보 유출은 없었다는 것이 은행 측 설명이다. 우리은행과 NH농협은행에서도 외부 해킹 시도가 있었지만 현재까지 확인된 정보 유출은 없는 것으로 전해졌다.

 

▲ 금융권 해킹 피해 확산 현황 (제공=연합뉴스)

짧은 기간 신한·KB국민·하나·우리·NH농협 등 5대 은행과 지방은행까지 잇따라 공격 대상이 되면서 금융권에서는 개별 은행을 넘어선 동시다발적 공격 가능성에 촉각을 곤두세우고 있다. 특히 여러 금융사를 대상으로 비슷한 공격이 이어졌다는 점에서 AI 기반 자동화 도구가 활용됐을 가능성에도 보안업계의 관심이 집중되고 있다. 다만 각 은행 공격이 동일한 공격자나 동일한 AI 도구에 의해 이뤄졌는지는 확인되지 않았다.

금융사들은 이번에 공격받은 시스템이 계좌 비밀번호나 자금 이체망 등 핵심 금융거래 시스템과 분리돼 있다며 현재까지 직접적인 금전 피해는 확인되지 않았다고 설명하고 있다. 그러나 이름과 주민등록번호, 전화번호, 주소, 연소득 등 개인정보가 유출된 만큼 보이스피싱이나 명의도용 등 2차 피해 가능성에 대한 경계도 필요한 상황이다.

금융당국과 금융권은 침해 경로와 추가 유출 여부를 조사하는 한편 보안시스템에 대한 점검을 강화하고 있다. AI가 보안 점검을 넘어 사이버 공격의 자동화에도 악용될 수 있다는 우려가 현실화하면서, 금융권의 보안 체계 역시 기존 공격을 차단하는 수준을 넘어 AI 기반 공격에 대응할 수 있도록 재점검해야 한다는 지적이 나온다.

[저작권자ⓒ 시사타파NEWS. 무단전재-재배포 금지]