“수사해도 공격 주체 파악 어렵다…‘AI해킹’ 보안점검 기준 필요”

4일 서울의 시중은행의 현금자동입출금기(ATM). 뉴스1

국내 주요 시중은행에 이어 2금융권에서도 해킹 피해 정황이 밝혀지며 사태가 일파만파 퍼지고 있다. 경찰은 고객 개인정보 유출 피해가 확인된 곳을 대상으로 즉시 수사에 나섰다. 다만 전문가들은 인공지능(AI)을 활용한 이번 해킹이 정교함도 높고 공격 주체를 특정하기도 어려워 기존 정보유출 사고보다도 여파가 클 것으로 우려하고 있다.

━

해킹 피해, 시중은행에 이어 제2금융권까지

4일 경찰 등에 따르면 경찰청 사이버테러대응수사대는 1~2일 은행·금융권 정보 유출 사태에 관계기관을 대상으로 입건 전 조사(내사)에 착수했다. 조사 대상은 신한은행, KB국민은행, 하나은행, BNK부산은행 등 해킹 피해를 공식화한 곳들로, 해킹 시도가 확인됐을 뿐 현재까지 정보 유출 피해가 발생하지 않은 우리은행과 NH농협은행은 대상에서 제외됐다.


주말 사이 해킹 피해는 저축은행·캐피탈사 등 제2금융권으로도 번졌다. 예가람저축은행은 2일 자사 홈페이지에 “지난달 30일 개인정보가 유출된 정황을 확인했다”는 내용의 유출 사과문을 게재하고 3일 고객 대상 안내 문자를 발송했다. 예가람 측에 따르면 피해 규모는 약 4만명에 달한다. 현대캐피탈도 3일 AI 활용 해킹으로 추정되는 공격을 받아 주택대출 모집인 146명의 개인정보가 유출된 것을 확인했다고 밝혔다.

1일 서울 중구 신한은행 본사 앞. 연합뉴스

제2금융권을 겨냥한 해킹도 은행권을 공격한 주체의 소행인지는 확인되지 않았지만, 보안업계에서는 이번 해킹 공격에 공개 오픈소스인 ‘ARTEX(아르텍스) AI’가 활용됐을 가능성이 있는 것으로 보고 있다. 아르텍스는 AI가 시스템의 취약점을 찾아 스스로 침투를 시도하는 자율형 보안 점검 도구다. 실제 신한은행 해킹 공격에 활용된 웹서버에서는 ‘AI 자율 침투테스트 콘솔’을 뜻하는 중국어 문자열이 확인됐다.

━

AI로 해킹 공격 고도화, 더 정밀하고 더 잡기 어려워

전문가들은 누구나 접근할 수 있는 AI 도구가 해킹에 활용되면서 공격 수법은 고도화된 반면, 공격 주체를 특정하기는 더욱 어려워졌다고 지적한다. 사람이 공격 대상을 일일이 정해 침투하는 기존 방식과 달리 AI가 취약한 시스템을 찾아 여러 대상을 동시다발적으로 공격할 수 있어 피해가 확산할 가능성도 커졌다는 것이다.


박춘식 서울여대 정보보호학과 교수는 “해커가 직접 주 전산망을 공격하는 통상적인 방식과 달리 AI를 활용해 무작위 해킹 공격을 시도한 것으로 추정된다”며 “과거 ‘미토스 쇼크’ 당시 제기됐던 AI를 통한 해킹 우려가 이번 사건에서 현실화했을 가능성이 있어, 향후 수사에 따라 정보 유출 피해가 더 크게 나타날 수도 있다”고 말했다. ‘미토스 쇼크’는 지난 4월 앤트로픽이 공개한 AI ‘미토스’가 사람의 개입 없이 스스로 보안 취약점을 찾아내면서 불거진 논란이다. 당시 과학기술정보통신부가 AI를 활용한 해킹 가능성을 우려해 긴급회의를 여는 등 정부와 보안업계에서도 대응 논의가 이어졌다.


경찰 수사로 공격 주체를 파악하기도 쉽지 않다. 박 교수는 “이번 사태는 과거 피의자를 특정할 수 있었던 쿠팡 정보유출 때와 달리 누구나 활용할 수 있는 오픈소스 AI를 활용한 해킹 공격으로, 우회 접속도 가능해 공격 주체를 특정하기 어렵다”며 “국제 수사까지 범위를 넓히더라도 해외 공조가 잘 이뤄지지 않기 때문에 실제 피의자를 추적하기는 쉽지 않을 것”이라고 말했다.

2일 금융당국과 금융권 등에 따르면 KB국민은행은 최근 고객 정보 100여건이 외부 침입에 의해 유출된 사실을 확인했다. 연합뉴스

━

“정부 부처, AI 해킹 공격에 대한 보안점검 기준 마련했나”

반면 AI 공격에 대비한 보안체계는 여전히 미흡하다. 이성엽 한국정보통신법학회 회장은 “국내에서 AI 에이전트의 침투에 대비한 별도의 보안점검 기준을 마련한 곳은 거의 없을 것”이라며 “최근 새로운 형태의 공격이 나타나고 있는 만큼 정부 부처 차원에서 AI 에이전트에 대비한 별도의 안전점검 기준을 논의해야 한다”고 말했다. 이어 “현재로써는 다양한 외부 침입 경로를 막을 수 있도록 보안 방어체계를 강화하는 것이 최선”이라며 “상시 모니터링과 가상 모의공격 등을 통해 보안 조치가 실제로 제대로 작동하는지 지속해서 확인할 필요가 있다”고 말했다.

이번 잇따른 정보유출 사태 속 시민 불안감은 커지고 있다. 20여년간 신한은행을 이용해온 자영업자 최모(58)씨는 “해킹 속보에 놀라 거래 안심차단 서비스를 신청하고 계좌 비밀번호를 바꿨다”며 “통신사나 이커머스가 아닌 은행마저도 보안이 취약하다는 걸 알게 돼 불안함이 크다”고 말했다. 직장인 이모(26)씨는 “이름, 연락처 등만 노출됐다고 하는데 계좌나 카드번호 같은 금융정보가 유출되지 않았다고 어떻게 확신할 수 있나”라며 “성인이 된 뒤 지금까지 KB국민은행을 주거래은행으로 이용해왔는데, 이젠 개인의 노력만으로는 정보보안에 신경 쓰기 어렵겠다는 생각이 들었다”고 토로했다.





노유림.최혜리([email protected])