티스토리 뷰
목차
은행 앱이 편리해질수록 내 정보는 더 안전해진다고 생각하셨습니까? 저는 이번 뉴스를 보기 전까지 막연히 그렇게 믿고 있었습니다. 신한·KB국민·하나은행을 포함한 7개 금융사에서 동일 공격자의 IP가 발견됐고, AI를 활용한 자동화 공격 가능성까지 제기됐습니다. 편리함이 커질수록 공격자가 노릴 틈도 함께 늘어난다는 사실을 이번 사건이 다시 한번 확인시켜줬습니다.
7개 금융사, 동일 IP — 이번 침해사고의 팩트
이번 사건에서 제가 가장 먼저 눈길이 간 부분은 숫자 7이었습니다. 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈, 이 7개 금융사의 침해사고(Incident)에서 동일한 공격자의 IP 주소가 확인됐습니다. 여기서 침해사고란 외부 공격자가 허가 없이 내부 시스템에 접근하거나 정보를 탈취한 사건을 의미합니다. 한 곳의 실수가 아니라 여러 금융회사가 비슷한 방식으로 뚫렸다는 뜻이기도 합니다.
다만 동일 IP가 발견됐다고 해서 모든 사고가 같은 조직의 소행이라고 단정할 수는 없습니다. 공격자들은 VPN이나 프록시 서버를 이용해 하나의 IP를 여러 공격자가 공유하거나 반대로 한 명이 수십 개의 IP를 쓰는 방식도 흔합니다. 그래서 금융당국도 추가 확인이 필요하다는 입장을 유지하고 있습니다. 저도 이 부분은 성급하게 결론 내리기보다 조사 결과를 지켜봐야 한다고 생각합니다.
신한은행의 경우 공격자가 한국·미국·일본·홍콩·싱가포르·베트남·태국·영국 등 8개국 이상의 IP를 돌아가며 사용한 것으로 파악됐습니다. 이 정도면 단순한 스크립트 실행이 아니라 추적을 피하기 위해 상당히 계획적으로 움직였다는 인상입니다. 유출된 정보는 고객 서비스가 아니라 직원과 대출모집인용 부가시스템에 집중됐고, 인터넷·모바일뱅킹에서 금전 피해가 발생한 것으로는 확인되지 않았습니다.
그런데 저는 이 "부가시스템"이라는 표현이 오히려 더 신경 쓰였습니다. 고객이 직접 쓰는 앱보다 상대적으로 주목을 덜 받는 내부 업무 시스템이나 외부 협력사 연결망이 공격 경로가 됐다는 의미이기 때문입니다. 보안은 가장 튼튼한 문이 아니라 가장 허술한 문이 기준이 된다는 말이 다시 떠올랐습니다.
금융감독원은 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파하고, 은행·카드사는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 긴급 점검을 완료하도록 했습니다(출처: 금융감독원). 점검 항목은 아래와 같이 크게 세 가지 방향으로 나뉩니다.
- 인증 절차가 누락된 정보조회 서비스 전수조사 — 로그인 없이 정보를 조회할 수 있는 허점 차단
- 직원 업무지원 시스템 단말기 접근통제 강화 — 내부 시스템에 접근할 수 있는 기기와 계정 범위 제한
- 홈페이지 취약점 점검 및 악성코드 유입 차단 — 외부에 노출된 웹 자산의 알려진 보안 결함 제거
저는 이 세 가지 방향이 각각 다른 성격의 허점을 겨냥하고 있다는 점이 인상적이었습니다. 한 곳만 막는다고 해결되는 문제가 아니라는 것을 당국도 알고 있다는 뜻이기 때문입니다.
AI 자동화 공격 시대, 보안의 무게가 달라졌다
이번 사건에서 제가 가장 오래 머물렀던 대목은 "AI 도구를 활용한 자동화 공격 가능성"이었습니다. AI가 공격에 쓰인다는 이야기를 이전에도 들어본 적은 있지만, 실제 국내 주요 금융사 침해사고에서 그 가능성이 공식적으로 거론된 것은 제 기억으로는 처음이었습니다. 솔직히 이건 예상 밖이었습니다.
여기서 AI 자동화 공격이란 공격자가 AI 모델을 활용해 취약한 시스템을 자동으로 탐색하고, 공격 시도를 수천 번 반복하거나 여러 표적에 동시다발로 실행하는 방식을 의미합니다. 사람이 일일이 키보드를 두드려야 했던 과거 방식과 달리, AI가 대신 경우의 수를 찾아가며 공격하기 때문에 속도와 규모가 전혀 다른 수준이 됩니다.
~라고 생각하는 분들도 있는데, 저는 이 부분이 단순한 기술 트렌드가 아니라 보안 패러다임 자체를 바꾸는 신호라고 봅니다. 보안 담당자가 하루 수십 건의 경고를 수동으로 검토하는 동안, 공격자 쪽에서는 AI가 수천 건의 시도를 자동으로 실행하고 있다면 현재 방어 체계로는 따라가기 어렵습니다.
반대로 방어 쪽에서도 AI를 적극적으로 도입해야 한다는 이야기가 나오는 이유가 여기에 있습니다. 이상행위 탐지(Anomaly Detection), 즉 평소와 다른 접속 패턴이나 데이터 이동을 실시간으로 감지하는 기술이 대표적입니다. 이미 일부 금융회사에서는 이상거래탐지시스템(FDS, Fraud Detection System)을 운영하고 있습니다. FDS란 고객 계좌에서 비정상적인 금융 거래가 발생할 때 이를 자동으로 감지하고 차단하는 시스템으로, 쉽게 말해 '이 거래, 뭔가 이상하다'를 기계가 먼저 알아채는 구조입니다. 앞으로는 이 FDS의 범위가 고객 거래뿐 아니라 내부 시스템 접근 전반으로 확대될 가능성이 높다고 봅니다(출처: 금융보안원).
제 경험상 이런 보안 이슈는 사고가 터진 직후 한두 달은 집중 조명을 받다가 시간이 지나면 흐지부지되는 경우가 많았습니다. 그런 맥락에서 이번에 이억원 금융위원장이 "금융권 전체가 최고 수준의 경각심을 가져야 할 시점"이라고 직접 언급한 것은 일회성 대응이 아니라 구조적 변화를 촉구한 것으로 읽힙니다.
한 가지 더 짚고 싶은 것은 소비자 입장에서의 위험입니다. 이번 유출이 금전 피해로 직결되지 않았다고 해서 안심하기는 이릅니다. 이름과 전화번호, 대출 관련 정보가 결합되면 단순한 스팸전화보다 훨씬 정교한 보이스피싱이나 스미싱 시도가 가능해집니다. 저도 앞으로 출처가 명확하지 않은 금융 관련 연락은 반드시 한 번 더 확인하는 습관을 더 철저히 지켜야겠다고 생각했습니다.
자주 묻는 질문
Q. 이번 금융 해킹으로 내 계좌 돈이 빠져나갈 수 있나요?
A. 현재까지 인터넷·모바일뱅킹 등 고객 서비스에서 금전 피해가 발생한 것으로는 확인되지 않았습니다. 다만 유출된 정보가 다른 데이터와 결합되면 보이스피싱이나 스미싱에 악용될 가능성은 있습니다. ~라는 의견도 있지만, 저는 단기 금전 피해보다 개인정보 결합에 따른 2차 피해를 더 주의해야 한다고 봅니다.
Q. AI 해킹 공격이라는 게 구체적으로 어떤 건가요?
A. AI 도구를 이용해 취약한 시스템을 자동으로 찾고, 공격 시도를 빠른 속도로 반복·분산 실행하는 방식입니다. 사람이 수동으로 공격할 때보다 훨씬 짧은 시간에 여러 기업을 동시에 겨냥할 수 있다는 점이 핵심입니다. 아직 공식 확정된 내용은 아니고 금융당국이 가능성을 보고 있는 단계입니다.
Q. 내가 해당 금융사 고객인데 지금 뭘 해야 하나요?
A. 당장 계좌를 바꿀 필요까지는 없지만, 금융사로부터 개인정보나 인증번호를 요구하는 문자·전화가 오면 반드시 공식 앱이나 대표번호로 직접 확인하는 것이 좋습니다. 비밀번호가 오랫동안 동일한 상태라면 이 기회에 바꾸는 것도 권장합니다.
Q. 동일 IP가 여러 금융사에서 발견됐다고 같은 해커라는 건가요?
A. 반드시 그렇지는 않습니다. VPN이나 공용 프록시 서버를 쓰면 서로 다른 공격자가 같은 IP를 공유할 수도 있고, 반대로 한 명이 IP를 계속 바꿔가며 공격할 수도 있습니다. 금융당국도 이 점을 인식해 "모두 동일 세력의 소행인지는 추가 확인이 필요하다"는 입장을 유지하고 있습니다.
결론
이번 사건을 정리하면서 제가 내린 결론은 하나입니다. 금융 보안은 이제 IT 부서만의 문제가 아니라는 것입니다. 공격자가 AI를 활용해 속도와 규모를 키운다면, 방어하는 쪽도 같은 속도로 따라가야 합니다. 그리고 그 과정에서 소비자가 완전히 수동적인 위치에만 있을 수는 없습니다.
저는 앞으로 금융회사를 선택하거나 평가할 때 금리나 앱 편의성 외에 "이 회사가 보안에 얼마나 진지하게 투자하는가"를 하나의 기준으로 보게 될 것 같습니다. 출처가 불분명한 금융 관련 연락은 무조건 공식 창구로 재확인하는 습관, 주기적인 비밀번호 변경, 금융사 공지 확인, 이 세 가지가 지금 당장 할 수 있는 가장 현실적인 대비책이라고 생각합니다.