AI 해킹에 시중은행 5곳 연쇄 유출…10만 건 정보 노출, 내 돈은 안전한가

국내 5대 시중은행이 인공지능(AI)을 동원한 것으로 추정되는 해킹 공격에 연이어 노출되면서 금융권 전체가 보안 비상태세에 들어갔다. 금융당국 집계 기준 침해사고가 확인된 금융회사는 은행을 비롯해 저축은행·캐피탈·가상자산사업자 등 업권 전반으로 확대됐고, 지금까지 확인된 개인정보 유출 규모는 약 10만 건에 이른다. 다행히 유출 정보 가운데 계좌 비밀번호나 카드번호처럼 직접적인 부정 결제로 이어질 수 있는 항목은 확인되지 않았으나, 주민등록번호와 연락처 등이 포함돼 2차 피해 차단이 과제로 떠올랐다.

5대 시중은행 모두 공격받아…피해는 이렇게

사고의 시작은 신한은행이었다. 외부 침입으로 대출 신청 관련 고객정보 약 2만5천 명분이 유출된 것으로 확인됐다. 유출 항목은 고객명, 전화번호, 연계 정보, 연소득, 산출 한도 등이다. 정상혁 신한은행장은 "고객 여러분께 심려를 끼쳐 드린 점, 깊은 사과의 말씀 드린다"며 피해 발생 시 전액 보상하겠다는 입장을 밝혔다.

이어 KB국민은행에서는 고객 119명, 하나은행에서는 89명의 정보 유출이 각각 확인됐다. 우리은행과 NH농협은행 역시 해킹 공격을 받은 것으로 파악됐지만 정보 유출로 이어지지는 않은 것으로 전해졌다. 지방은행으로도 피해가 번져 BNK부산은행에서는 외주 개발 직원 11명의 성명과 전화번호 등이 유출됐다. 결국 5대 시중은행 전부가 공격 대상이었던 셈이다.

AI가 인증 취약점을 찾아냈다

금융당국과 보안업계는 이번 공격의 핵심에 AI가 있었다고 본다. 공격자가 AI 도구를 활용해 취약점을 탐색하고 인증·인가 절차가 누락된 대외 시스템을 공략한 정황이 여러 금융사에서 발견됐다는 것이다. 동일 공격자가 AI 도구를 썼다는 정황은 신한·KB국민·하나·BNK부산은행과 저축은행·캐피탈 등 여러 곳에서 공통으로 확인됐다.

금융당국은 공격에 사용된 특정 인터넷주소(IP) 28개를 특정해 전 금융권에 배포했고, 각 금융사는 이 목록을 기준으로 자사 시스템 침해 여부를 점검했다. 문제는 점검 과정에서 사고가 새로 확인되는 양상이 반복됐다는 점이다. 한 금융사는 공격자 IP 목록을 토대로 내부 점검을 진행하다 침해 사실을 뒤늦게 알아차리기도 했다.

이밖에 금융보안원이 실제 피해가 확산되기 약 2주 전에 AI를 활용한 해킹 위협과 대응 방안을 미리 공지했음에도 사고를 막지 못했다는 지적이 나오면서, 금융권 보안 관행 전반에 대한 성찰도 커지고 있다.

피해는 16개사로 확산…유출 정보 약 10만 건

금융위원회·금융감독원은 제2차 긴급상황대응 회의를 열고 전 업권을 통틀어 침해사고가 확인된 금융회사가 총 16개사라고 밝혔다. 초기에 알려진 주요 은행 4곳 외에 저축은행, 캐피탈사, 새마을금고, 전문금융·온라인투자업, 가상자산 사업자까지 사고가 보고됐으며, 당국은 "사고 발생 금융사 수는 더 확대될 수 있다"고 부연했다.

지금까지 확인된 유출 정보는 성명, 연락처, 주민등록번호, 이메일 등 약 10만 건이다. 다만 계좌 비밀번호나 카드번호처럼 부정 결제에 직접 쓰일 수 있는 정보는 확인되지 않아 예금 잔고가 그대로 빠져나가는 사태는 아닌 것으로 파악됐다. 유출 정보가 피싱·스미싱 등 맞춤형 사기에 악용될 가능성이 있어 개인 차원의 경계가 필요하다는 것이 전문가들의 공통 진단이다.

전 업권 전수점검…보안 체계 개편 착수

금융당국은 전 금융권 555개사를 대상으로 보안 체크리스트 점검을 실시한 결과 130개사에서 미흡 사항이 발견됐다고 밝혔다. 최신 보안패치 미적용, 지원 종료(EOS) 시스템 방치, 24시간 관제 체계 미구축, 다중인증(MFA) 미도입 등이 대표적인 지적 사항이었다. 당국은 대형 금융회사 취약점 점검 주기를 연 1회에서 연 2회 이상으로 늘리고, CEO·CISO 등의 보안 책임 범위를 명확히 하며, 중소 금융사에는 AI 기반 공동 보안관제 도입을 지원하는 방침이다.

"그간 여러 차례 전수점검과 관리 강화를 주문했지만, 금융회사에서 기본적인 부분이 잘 지켜지지 않은 사례가 발견된 것은 매우 뼈아픈 부분이다. 근본적 제도개선이 이뤄지도록 하겠다."

한편 정무위원회 국정감사에서는 주요 은행들의 해킹 사고 대응이 주요 질문 항목으로 오르는 등 정치권의 규명 요구도 높아지고 있다. 망 분리 규제 완화 등 제도 개선이 함께 추진될 전망이다.

그렇다면 내 돈은 안전한가

이번 사건에서 유출된 정보에는 계좌 비밀번호와 카드번호가 없어 자금이 직접 인출되는 사태의 가능성은 낮은 것으로 평가된다. 은행들은 피해 발생 시 전액 보상 방침을 내놨다. 그러나 주민등록번호·연소득 등이 손에 잡히게 되면서 수신자 이름과 은행, 대출 조건까지 구체적으로 꾸민 기부급식형 스미싱과 보이스피싱으로 이어질 위험은 커졌다.

전문가들은 은행·금융감독원·경찰을 사칭한 연락에서 계좌 이체나 인증번호 요구를 일절 응하지 말 것, 평소 쓰던 계좌·카드 비밀번호를 주기적으로 바꿀 것, 수신 문자 속 링크는 누르지 말 것을 기본 수칙으로 꼽는다. 이번 연쇄 해킹은 AI가 금융 보안의 공격과 방어 양쪽을 동시에 바꿔놓고 있음을 보여준 사건으로, 제도와 개인 방어 수칙 모두가 그에 맞게 갱신되는지가 다음 단계의 관전 포인트다.