금융권 연쇄 해킹으로 고객 정보가 잇따라 유출됐지만 금융소비자를 보호할 제도는 공격 속도를 따라가지 못하고 있다. 금융사는 보안 투자·인력을 공개할 의무가 없고, 인공지능(AI) 공격 대응지침은 권고 수준에 머물러 있다. 경영진의 보안 책임을 강화할 법 개정도 지연되고 있다. 금융사가 사고 예방에 적극 투자하도록 이끌 장치가 부족한 셈이다. 6일 금융권에 따르면 사고 관련 고객 문의는 이어지고 있다. 고객 2만 5000여명의 개인정보가 유출된 신한은행에는 지난 5일까지 총 4991건의 문의가 접수됐다. 이 가운데 유출 대상 고객의 문의는 225건, 민원성 문의는 99건이었다. 약 4만명의 고객 정보가 유출된 것으로 추정되는 예가람저축은행에는 4~5일 이틀간 5건의 문의가 들어왔다. ① 금융사 정보보호 의무공시 예외이렇게 정보 유출로 고객 불안이 커지고 있지만, 정작 소비자가 금융사의 보안 수준을 확인하고 비교할 수 있는 정보는 제한적이다. 현행 정보보호산업법 시행령에 따라 은행·보험·카드 등 금융회사는 한국인터넷진흥원(KISA)의 정보보호 의무공시 대상에서 제외된다. 자율적으로 공개할 수는 있지만, 모든 금융사의 보안 투자와 인력을 같은 기준으로 비교하기는 어렵다. 정보보호 공시는 소비자의 선택을 돕는 동시에 금융사 간 보안 투자 경쟁을 유도할 수 있다. 염흥열 순천향대 정보보호학과 명예교수는 “동종 기업의 투자 비율 등을 비교하면 경쟁적으로 정보보호 투자를 늘리는 데 기여할 수 있다”며 “금융권도 정보보호 공시제도를 활성화할 필요가 있다”고 말했다. ② AI 보안 대응은 제재 없는 권고AI 위협에 맞춘 구체적인 대응체계도 현재는 권고 중심이다. 금융위원회는 지난 7월 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화 등을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’을 배포했지만 금융사가 준수하지 않아도 제재 등 불이익이 없다. 다만 기존 전자금융 관련 법령에 따른 취약점 분석·평가 등 보안 의무는 별도로 존재한다. 다만 기술이 빠르게 바뀌는 만큼 세부 규정을 강제하는 것만으로는 한계가 있다는 반론도 나온다. 임종인 고려대 정보보호대학원 명예교수는 “AI는 6개월마다 두 배씩 성능이 좋아지는데 기존 정보보호 규정을 준수하는 수준의 대응만 반복하면 필패”라며 “업체가 스스로 투자하고 역량을 길러 보안 수준을 경쟁력으로 삼게 해야 한다”고 강조했다. ③ 책임·보안 강화법은 국회 계류금융사 경영진의 보안 책임을 강화할 법 개정도 국회에서 멈춰 있다. 유동수 더불어민주당 의원이 지난해 11월 28일 발의한 전자금융거래법 개정안은 대표이사의 책임을 명확히 하고 정보보호최고책임자(CISO)의 독립성과 권한을 강화하는 내용이다. 정보보호 공시와 제재체계 정비도 담겼지만, 지난 3월 31일 정무위원회에 상정된 뒤 계류 중이다. 보안 책임자에게 임원 직함을 주는 데 그치지 않고, 보안 예산과 인력 확보 등 주요 의사결정에 참여할 권한을 보장해야 한다는 지적도 나온다. 권헌영 고려대 정보보호대학원 교수는 금융사의 보안 관리체계 개선에 대해 “형식적으로 임원 자리만 주고 실질적으로 경영에 참여하는 권한과 책임은 안 준다”고 지적했다.

금융당국이 인공지능(AI) 에이전트를 활용한 것으로 추정되는 금융권 해킹 공격과 관련해 인터넷주소(IP) 28개를 특정했다. 당국은 IP주소와 보안 취약점 정보를 500여곳 금융회사에 알리고 점검 중이다. 금융감독원은 6일 공지를 통해 “최근 발생한 정보유출 사고와 관련해 해킹을 시도한 IP 주소 33개, 중복을 제거하면 28개를 일부 국가 정보와 함께 금융권에 전파했다”고 밝혔다. 금융권에 따르면 IP 소재 지역은 전날까지 12개국에 달한 것으로 알려졌다. 미국, 일본, 홍콩(중국), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 라트비아, 스웨덴 등이었다. 미국발 IP가 5개로 가장 많았고, 일본과 스웨덴, 독일은 각 2개씩 중복이 있었다. 국내 IP도 1개 있었다. 다만 당국은 해커가 추적을 방해하기 위해 여러 국가를 우회해 침투하는 경우가 있어 공격이 시작된 국가로 해석할 수는 없다고 설명했다. 일부 IP에서는 중국 인공지능(AI) 기반 침투테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 나왔다. 금감원은 신한은행을 비롯한 일부 은행에 비정상적 경로로 접근해 고객 개인정보를 빼내 간 IP를 토대로 공격자 IP 범위를 좁힌 것으로 전해졌다. 공격은 증권·카드·보험사뿐만 아니라 인터넷전문은행에도 시도됐다. 토스뱅크의 경우 올해 7∼8월뿐 아니라 일찍이 1월에도 당국이 지목한 일부 공격자 IP에서 14차례 비정상적 접근 시도가 있었던 것으로 파악됐다. 카카오뱅크와 케이뱅크도 올해 유사한 시도가 수차례 있었다. 당국은 한 달간 ‘개인정보 유출 2차 피해 특별대응기간’을 발표했다. 이 기간 금융사들은 개인정보 유출 전담 상담창구를 운영하고, 2차 피해 신고가 접수되거나 의심될 경우 금융당국에 즉시 보고해야 한다. 은행권 정보보호최고책임자(CISO)들도 이날 은행연합회에서 회의를 열고 보안점검 현황과 위협정보 신속 공유 등을 논의했다. 한성숙 국무총리는 이날 정부서울청사에서 금융·공공기관 개인정보 유출 관련 회의를 열고 금융위원회에 “유출된 개인 정보 범위를 정확히 파악하고 원인을 철저히 분석해 대책을 마련해달라”고 요청했다.

북한이 탄도미사일을 발사한 시각 미군의 핵심 정찰자산 3대가 동해 일대에서 동시에 감시 활동을 벌인 것으로 파악됐다. 6일(현지시간) 미국의소리(VOA)는 항공기 추적 사이트 ‘플라이트레이더24’ 자료를 분석한 뒤 “북한이 지난 3일 미사일을 발사할 당시 미 공군 특수 정찰기 RC-135S ‘코브라볼’과 무인정찰기 MQ-9B ‘시가디언’, 차세대 정찰·전자전 항공기 ‘아레스’가 한반도 동해 일대에서 비행한 것으로 나타났다”고 전했다. 코브라볼은 미군이 단 3대만 운용하는 특수 정찰기다. 첨단 전자·광학 장비를 이용해 원거리에서 탄도미사일 발사 징후를 포착하고, 발사 뒤에는 비행 궤적과 탄두 재진입 관련 데이터를 추적할 수 있다. 시가디언은 30~40시간 체공하면서 전 세계에서 지속적인 정보 수집, 감시 및 정찰 임무를 수행하도록 설계됐다. 우크라이나 군사 전문 매체 디펜스익스프레스에 따르면 해당 무인정찰기의 가격은 대당 2억 3700만 유로(한화 약 3570억 원)에 달한다. 매체는 시가디언을 두고 “유로파이터 전투기보다 비싸다”라고 평가한 바 있다. “미사일 발사 전부터 동해 일대 감시”VOA에 따르면 미군의 코브라볼은 지난 3일 오전 5시 26분쯤 일본 인근 해상에서 한반도 동해 방향으로 진입했다. 북한이 오전 6시 30분쯤 미사일을 발사한 시각에도 동해 상공에 머물고 있었던 것으로 파악됐다. 시가디언은 지난 2일 오후 10시 40분쯤 비행을 시작해 해안선을 따라 이동하면서 한반도 동해와 가까운 해역을 정찰한 것으로 나타났다. 통신과 전자신호를 수집·분석하는 정찰·전자전 항공기 아레스 역시 같은 시간대 작전에 투입됐다. 아레스는 지난 2일 오후 11시 45분쯤 경기 평택에서 이륙한 뒤 한반도 내륙을 가로질러 동·서해를 오가며 비행했다. 북한이 미사일을 쏜 3일 오전 6시 30분에는 동해 먼바다 상공에 있었던 것으로 분석됐다. 한국군 정찰자산으로 추정되는 항공기도 한반도 내륙과 동해 상공에서 포착됐다. VOA는 “정확한 기종은 확인되지 않았지만 동해 일대에서 정찰 임무로 추정되는 비행을 한 것으로 보인다”고 전했다. 미군이 3대 핵심 정찰자산 출동시킨 이유미군이 3대 핵심 정찰 자산을 비슷한 시간대에 운용한 가장 큰 이유는 북한의 미사일 발사가 실제 어떤 종류의 무기였는지를 포함해 미사일의 발사 장소와 궤적을 확인하기 위함으로 분석된다. 일반적으로 단일 정찰기만으로는 발사 징후와 전자 신호, 비행 궤적, 탄두의 움직임 등 서로 다른 정보를 동시에 확보하기 어렵다. 따라서 여러 자산을 동시에 띄워 감시망을 촘촘하게 만든 것으로 보인다. 실제로 코브라볼과 시가디언, 아레스는 각각 서로 다른 정보를 수집한다. 먼저 코브라볼은 ‘미사일을 직접 보는’ 데 가장 특화된 자산이다. 미 공군은 코브라볼의 임무를 “탄도체에 대한 광학·전자 정보 수집”이라고 명시하고 있다. 코브라볼은 북한이 미사일을 발사하면 발사체의 비행과 관련된 전자적·광학적 정보를 집중적으로 수집해 미사일의 성능과 비행 특성을 분석하는 역할을 맡은 것으로 추정된다. 반면 시가디언은 넓은 지역을 오랫동안 감시하는 역할에 강점이 있다. 미사일 자체만 좁게 추적하기보다는 동해 일대에서 선박·항공기·해상 활동 등에 이상 징후가 있는지 장시간 확인하고, 필요한 정보를 실시간으로 제공하는 역할을 한다. 아레스는 북한의 미사일 발사를 단순히 육안이나 레이더로 관찰하는 것이 아니라 북한의 통신·전자신호와 레이더 등 전자기 활동에서 나타나는 변화까지 파악하는 역할을 맡은 것으로 보인다. 따라서 ▲코브라볼이 미사일의 비행 관련 정보를 수집하고 ▲시가디언이 주변 해역과 공역을 장시간 감시하며 ▲아레스가 북한의 통신·전자신호 변화를 포착하면 미군은 이 정보를 서로 결합해 무엇을 발사했는지뿐 아니라 발사 전후 북한이 어떤 군사적 움직임을 보였고, 추가 행동 가능성이 있는지까지 종합적으로 판단할 수 있는 셈이다. 북한 “한국과 일본, 탐지 능력 소실”한편 북한은 지난 3일 오전 원산 일대에서 동해상으로 중거리 전략미사일 1발을 발사했다. 이후 합동참모본부는 해당 미사일이 700㎞ 이상 비행했다고 밝혔고 일본 방위성은 비행거리를 680㎞로 분석했다. 반면 북한은 관영매체를 통해 극초음속 ‘중거리 전략미사일’을 시험 발사했으며 1000㎞를 비행했다고 주장했다. 한일 군 당국의 탐지 결과와 북한 발표 사이에 상당한 차이가 난 것이다. 김여정 노동당 부장은 한일 당국이 비행거리를 700㎞ 안팎으로 발표한 것을 두고 “적들은 1차 도약점 이후부터는 목표를 소실했다”며 한일의 탐지 능력을 조롱하기도 했다. 이에 국방부는 하루 뒤인 지난 4일 “북한이 최근 발사한 미사일은 한미가 보유한 방어자산으로 충분히 탐지·요격 가능한 수준”이라고 반박했다.

남편이 처제와 불륜을 저질렀다. 그런데 그 관계를 유도한 사람은 다름 아닌 아내였다. 시댁의 구박과 감시에서 벗어나려고 여동생과 함께 계획을 세웠다는 사연을 채널A ‘탐정들의 영업비밀’이 실화 재구성으로 소개했다. 5일 방송의 ‘사건 수첩’ 코너는 집 안 금고에서 사라진 현금 1억원을 추적하다 드러난 불륜과 그 배후를 다뤘다. 처음에는 며느리를 향했던 의심이 아들의 비밀을 거쳐 자매의 계획으로 이어졌다. 사연 속 시어머니는 아들을 정치인으로 만들기 위해 사생활까지 관리했다. 여성 편력이 심했던 아들이 청년 비례대표 시의원 공천을 앞두자, 당시 만나던 여성의 신원을 알아봐 달라고 탐정에게 의뢰했다. 조사 결과 여성은 어려운 형편에서 여동생을 돌보며 살아온 사회복지사였다. 시어머니는 처음에는 교제를 반대했지만, 며느리의 성장 배경이 아들의 정치적 이미지에 도움이 된다고 판단해 결혼을 받아들였다. 아들은 이후 시의원에 당선됐다. 며느리 의심했던 1억원, 아들의 불륜 입막음 돈결혼 뒤 함께 살던 집에서 현금 1억원이 사라졌다. 시어머니는 며느리가 금고에 손을 댔다고 의심하며 다시 탐정에게 조사를 맡겼다. 하지만 돈을 가져간 사람은 며느리가 아니라 아들이었다. 탐정이 뒤를 쫓는 과정에서 한 남성이 시의원 아들을 찾아와 불륜 사진을 거론하며 압박하는 모습이 드러났다. 사진 속 상대는 아내의 여동생, 즉 처제였다. 처제의 남자친구는 사진을 공개하겠다고 협박하며 입막음 합의금으로 10억원을 요구했다. 금고에서 사라진 1억원도 이 문제와 연결돼 있었다. 아들의 여자 문제를 막으려고 사생활을 관리하고, 며느리의 가난한 성장 배경까지 정치적 자산으로 활용했던 시어머니가 이번에는 처제와의 불륜을 수습해야 하는 상황에 놓인 것이다. 불륜 뒤에 숨은 자매의 계획…결국 이혼조사가 진행되자 또 다른 반전이 나타났다. 아내가 여동생과 공모해 남편의 불륜을 유도했다는 사실이었다. 방송은 아내가 시어머니의 상습적인 인격 모독과 극심한 감시에 시달렸다고 설명했다. 자매는 남편의 불륜을 약점으로 삼아 거액의 합의금과 위자료를 받고 시댁에서 벗어나려 했다. 계획의 전모는 드러났지만, 아들의 정치 생명을 지켜야 했던 시어머니도 적극적으로 대응하지 못했다. 사연 속 부부는 결국 이혼했다. 방송은 자매가 실제로 받은 돈의 구체적인 액수나 별도의 법원 판결 내용까지 제시하지는 않았다. 전말을 지켜본 유인나는 “욕망의 끝”이라고 반응했고, 일일 탐정으로 출연한 최은경은 “시어머니가 괴물을 만들었다”고 말했다. 이번 이야기는 방송이 실화를 바탕으로 재구성한 사연이다. 등장인물과 재연 장면을 특정 정치인이나 실제 당사자의 신원으로 연결해서는 안 된다.

북한이 동해상으로 탄도미사일을 기습 발사하던 시각, 미국 공군과 해군의 핵심 정찰 자산 3대가 동해 상공에 동시 출격해 밀착 감시를 한 것으로 확인됐다. 북한이 미사일 사거리와 탐지 여부를 두고 연일 대남·대미 압박 수위를 높이는 가운데 한미 양국이 북한의 도발 징후를 사전 포착하고 정밀 추적 중이었음을 보여주는 정황이다. ‘코브라볼·시가디언·아레스’…美 핵심 정찰 자산 동해 상공 집결6일 미국의소리(VOA) 방송 및 항공기 추적 사이트 ‘플라이트레이더24’에 따르면 북한이 탄도미사일을 발사한 지난 3일 미군의 핵심 특수 정찰기들이 한반도 동해 일대에서 정찰 임무를 수행했다. 동해 상공에 집결한 정찰기는 미 공군의 특수 정찰기 RC-135S ‘코브라볼’, 해상 감시 무인정찰기 MQ-9B ‘시가디언’, 차세대 정찰·전자전 항공기 ‘아레스’(ARES) 등 총 3대다. 특히 미군이 단 3대만 보유하고 있는 ‘코브라볼’은 북한의 미사일 발사 직전인 지난 3일 오전 5시 26분쯤 동해상으로 진입해 발사 시점인 오전 6시 30분에도 상공을 비행 중이었던 것으로 나타났다. 첨단 전자·광학 장비를 탑재한 코브라볼은 원거리에서 탄도미사일 발사 징후를 감지하고, 발사 후 탄두의 비행 궤적과 재진입 데이터를 정밀 추적하는 임무를 담당한다. 한반도 내륙·해상 입체 감시망 가동…韓 정찰 자산도 가세 다른 감시 자산들도 촘촘한 포위망을 구축했다. 통신 및 전자신호를 수집·분석하는 차세대 정찰기 ‘아레스’는 지난 2일 오후 11시 45분쯤 경기도 평택에서 이륙해 내륙과 동·서해를 오가다 발사 시각에는 동해 먼바다 상공에 머물렀다. 해상 감시용 무인기 ‘시가디언’ 역시 같은 날 밤부터 해안선을 따라 오가며 동해 가까운 해역을 밀착 감시했다. 여기에 정확한 기종은 확인되지 않았으나 우리 군 정찰 자산으로 추정되는 항공기까지 한반도 내륙과 동해 상공에서 정찰 임무 비행을 수행한 것으로 파악됐다. “목표 소실” 북한 주장 반박…실시간 추적·요격 태세 입증 앞서 북한은 지난 3일 오전 원산 일대에서 동해상으로 중거리 전략미사일 1발을 발사한 뒤 1000㎞를 비행했다고 주장했다. 또한 김여정 노동당 부장은 한미 당국이 비행거리를 700㎞ 안팎으로 발표한 것을 두고 “적들은 1차 도약점 이후부터는 목표를 소실했다”며 한일의 탐지 능력을 조롱한 바 있다. 그러나 발사 전후 시각에 미군 특수 정찰기 3대와 우리 군 자산이 동해 상공을 샅샅이 감시하고 있었던 사실이 입증되면서 북한의 주장은 설득력을 잃게 됐다. 국방부 역시 “북한이 최근 발사한 미사일은 한미가 보유한 방어자산으로 충분히 탐지·요격 가능한 수준”이라고 밝혔다.

②15~67시간 ‘깜깜’ 이유는‘짧은 시간 인증·조회 반복’ 허점 노려③피해 없는 곳의 차별점은다중 인증·상시 점검 체계로 방어금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안이 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

내부·외부망 분리, 보안 취약점으로“AI 공격, AI로 방어 체계 마련해야”금융거래 등 민감정보 노출은 부담 금융권 연쇄 해킹을 계기로 외부 침입을 막기 위해 도입한 ‘망분리’ 규제가 오히려 최신 보안 기술 활용을 어렵게 한다는 지적이 나온다. 인공지능(AI)이 쉴 새 없이 취약점을 찾아 공격하는 상황에서 금융사도 AI로 대응해야 하지만, 외부 서비스 연결을 제한하는 규제가 걸림돌이 된다는 것이다. 금융당국은 망분리 규제 긴급 완화에 이어 전면 해제까지 논의 중이다. 5일 금융당국에 따르면 지난 4월 ‘미토스 쇼크’ 이후 AI 방어 기술을 활용하기 위한 망분리 완화를 검토하고 있다. 미토스 쇼크는 앤트로픽의 최신 AI 모델이 보안 취약점을 찾고 침투 경로까지 설계하면서 불거진 보안 위기다. 이억원 금융위원장이 전날 전 금융권 긴급회의에서 “새로운 유형의 빈도 높은 사이버 공격이 앞으로 이어질 수 있는 만큼 AI 공격은 AI로 방어하는 보안 체계를 마련해야 한다”고 강조한 배경이다. 2013년 도입된 망분리는 금융사의 내부 업무망을 외부 인터넷과 분리해 금융정보와 핵심 전산망을 보호하는 조치다. 해커가 들어올 외부 통로를 줄이는 방식이다. 하지만 급격한 정보기술(IT) 환경의 발전 속에서 금융서비스가 다양해지며 외부 연결도 늘어 망분리만으로 모든 공격을 막기는 어려워졌다. 이번에도 핵심 거래 시스템보다는 대출모집인용 간편 조회 서비스와 직원용 모바일 업무지원시스템 등에서 취약점이 드러났다. 문제는 기존 망분리 환경에서는 외부의 고성능 AI나 보안 서비스형 소프트웨어(SaaS)를 내부 업무망과 연결해 활용하기 어렵다는 점이다. 해커는 AI로 취약점을 찾아 쉴 새 없이 공격을 반복하지만, 금융사는 규제로 최신 AI 보안 기술을 활용하는 데 제약을 받는 역설이 생긴 셈이다. 금융위 관계자는 “AI가 접속 기록과 이상 행동을 분석해 공격을 탐지하려면 관련 정보를 분석 시스템과 연결해야 하는데, 외부 통신을 제한하는 망분리 규제 아래에서는 도입이 어렵다”고 말했다. 다만 금융회사 입장에서 이 규제를 완화할 경우 당장 금융 거래 등 민감한 정보에 대한 공격 표면이 늘어나는 점은 부담이다. 이 때문에 금융당국은 지난 6월 망분리 규제 완화 1차 테스트에서 보안 서비스형 소프트웨어, 보안 목적 AI 용도로 제한했다. 곽진 아주대 사이버보안학과 교수는 “망분리를 풀더라도 외부의 이상 접근을 실시간으로 탐지하고 취약점을 자동 분석하는 능동적 방어 체계를 갖춰야 한다”고 강조했다.

금융권 연쇄 해킹을 계기로 외부 침입을 막기 위해 도입한 ‘망분리’ 규제가 오히려 최신 보안 기술 활용을 어렵게 한다는 지적이 나온다. 인공지능(AI)이 쉴 새 없이 취약점을 찾아 공격하는 상황에서 금융사도 AI로 대응해야 하지만, 외부 서비스 연결을 제한하는 규제가 걸림돌이 된다는 것이다. 금융당국은 망분리 규제 긴급 완화에 이어 전면 해제까지 논의 중이다. 5일 금융당국에 따르면 지난 4월 ‘미토스 쇼크’ 이후 AI 방어 기술을 활용하기 위한 망분리 완화를 검토하고 있다. 미토스 쇼크는 앤트로픽의 최신 AI 모델이 보안 취약점을 찾고 침투 경로까지 설계하면서 불거진 보안 위기다. 이억원 금융위원장이 전날 전 금융권 긴급회의에서 “새로운 유형의 빈도 높은 사이버 공격이 앞으로 이어질 수 있는 만큼 AI 공격은 AI로 방어하는 보안 체계를 마련해야 한다”고 강조한 배경이다. 2013년 도입된 망분리는 금융사의 내부 업무망을 외부 인터넷과 분리해 금융정보와 핵심 전산망을 보호하는 조치다. 해커가 들어올 외부 통로를 줄이는 방식이다. 하지만 급격한 정보기술(IT) 환경의 발전 속에서 금융서비스가 다양해지며 외부 연결도 늘어 망분리만으로 모든 공격을 막기는 어려워졌다. 이번에도 핵심 거래 시스템보다는 대출모집인용 간편 조회 서비스와 직원용 모바일 업무지원시스템 등에서 취약점이 드러났다. 문제는 기존 망분리 환경에서는 외부의 고성능 AI나 보안 서비스형 소프트웨어(SaaS)를 내부 업무망과 연결해 활용하기 어렵다는 점이다. 해커는 AI로 취약점을 찾아 쉴 새 없이 공격을 반복하지만, 금융사는 규제로 최신 AI 보안 기술을 활용하는 데 제약을 받는 역설이 생긴 셈이다. 금융위 관계자는 “AI가 접속 기록과 이상 행동을 분석해 공격을 탐지하려면 관련 정보를 분석 시스템과 연결해야 하는데, 외부 통신을 제한하는 망분리 규제 아래에서는 도입이 어렵다”고 말했다. 다만 금융회사 입장에서 이 규제를 완화할 경우 당장 금융 거래 등 민감한 정보에 대한 공격 표면이 늘어나는 점은 부담이다. 이 때문에 금융당국은 지난 6월 망분리 규제 완화 1차 테스트에서 보안 서비스형 소프트웨어, 보안 목적 AI 용도로 제한했다. 곽진 아주대 사이버보안학과 교수는 “망분리를 풀더라도 외부의 이상 접근을 실시간으로 탐지하고 취약점을 자동 분석하는 능동적 방어 체계를 갖춰야 한다”고 강조했다.

금융권을 겨냥한 인공지능(AI) 해킹 사고로 소비자 불안도 커지고 있다. 서울신문이 유출 확인법과 금융사의 탐지가 늦어진 이유, 피해를 막은 금융사의 차이 등 세 가지 궁금증을 짚었다. 내 정보 유출됐나… 금융사별 확인법 달라5일 금융권에 따르면 개인정보 유출 확인 방식은 금융사마다 다르다. 신한은행은 ‘신한 SOL뱅크’와 홈페이지에서 직접 조회할 수 있고 피해 고객에게 문자·일부 우편으로 알렸다. KB국민은행도 홈페이지에 조회창을 마련하고 피해 대상자에게 멀티미디어메시지(MMS)를 보냈다. 하나은행은 피해 고객 89명에게 개별 통보했고, 약 4만명 규모로 추정되는 예가람저축은행은 홈페이지 공지와 문자 안내에 나섰다. 별도 조회창이 없다면 금융사의 개별 통지나 공식 홈페이지 공지를 확인하는 게 우선이다. 특히 ‘개인정보 유출 확인’을 내세운 문자 속 링크를 누르기보다 거래 금융사의 공식 애플리케이션(앱)이나 홈페이지에 직접 접속하는 게 안전하다. 수백억 보안투자에도… 왜 15~67시간 몰랐나수백억원대 보안 투자와 각종 인증에도 대형 은행들은 공격을 수십 시간 동안 알아채지 못했다. 공격 시작부터 인지까지 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분이 걸렸다. AI가 짧은 시간에 인증·조회 시도를 반복하며 기존 탐지체계의 허점을 파고들었을 가능성이 거론된다. 신한은행에서는 정상적인 조회처럼 접근한 뒤 고객번호 등을 대입해 대출신청 결과 등 6개 서비스를 집중 조회한 것으로 파악됐다. 다만 AI가 실제 어느 단계에서 활용됐고 탐지 지연에 얼마나 영향을 미쳤는지는 아직 조사 중이다. 같은 공격에도 피해 없었다… 다중인증·선제 점검방어 수단으로는 비밀번호 외에 추가 인증을 요구하는 다중인증과 취약점 선제 점검이 꼽힌다. 우리은행은 AI 기반 솔루션 ‘진트(Xint)’와 자체 도구로 주요 시스템의 취약점을 상시 확인한다. NH농협은행도 비정상 접속과 인증 우회 시도를 탐지·차단하는 체계를 운영한다. 두 은행은 유사한 공격을 받았지만 이날까지 정보 유출은 확인되지 않았다.

장동혁 국민의힘 대표는 5일 이재명 대통령을 향해 “우크라이나에는 ‘분노조절장애’, 북한에는 ‘분노조절잘해’”라며 서부전선 비무장지대(DMZ) 지뢰 폭발 사건에 대한 국군통수권자로서의 고강도 대응을 요구했다. 장 대표는 이날 국회 기자회견에서 북한군 포로 송환을 둘러싼 한국과 우크라이나의 갈등을 거론하며 “이 대통령은 북한군 포로를 송환해 준 우크라이나에 비공개 합의를 어겼다는 이유로 공개 사과를 요구했다”며 “그런데 북한에 대해서는 어떠냐”고 했다. 이어 “지뢰를 매설해서 우리 군인의 발목을 날렸는데도 ‘불의의 사고’라며 찍소리도 못한다”며 “북한이 미사일을 쏘고 ‘자작 광대’라고 조롱하는데도 납작 엎드려 평화를 구걸하기 바쁘다”고 지적했다. 전날 이 대통령의 10·4 남북공동선언 기념식 축사도 문제 삼았다. 장 대표는 “북한의 도발에 대해서는 형식적인 유감 표명조차 없었다”며 “도대체 북한에 얼마나 큰 약점을 잡힌 것이냐”고 했다. 그러면서 이 대통령의 2005년 변호사 시절 방북과 친형 고 이재선씨의 과거 통화 녹취를 거론하며 “20여 년 전 방북 당시 도대체 무슨 일이 있었던 것이냐. 쌍방울 불법 대북송금을 넘어서는 엄청나게 큰 약점이라도 잡힌 것 아니냐”고 의혹을 제기했다. 이 대통령이 국군의 날 기념사에서 강조한 ‘자주국방’과 전시작전통제권 조기 환수도 비판했다. 장 대표는 북핵·미사일 대응을 위해 주한미군과 한미동맹이 필요하다며 “대통령이 싸워야 할 대상은 북한”이라고 했다. 이어 “대통령이 보살펴야 할 것은 김정은 심기가 아니다”라며 “즉각 북한에 사과를 요구하고 강력한 대응 조치에 나서야 한다”고 촉구했다. 또 “국방을 포기한 대통령은 그 자리에 있어서는 안 된다”며 “국민을 지킬 생각이 없다면 지금이라도 스스로 내려오기 바란다”고 했다. 김지용 초대 중대범죄수사청장 후보자를 둘러싼 여권 내부 갈등도 겨냥했다. 장 대표는 “강경파들은 김지용을 ‘친윤’이라고 공격하고 이 대통령은 ‘친윤’이 아니라 ‘반윤’이라고 반박한다”며 “오로지 ‘우리 편이 맞냐, 아니냐’로 싸우고 있다”고 했다. 이어 “‘정치 검찰’이라면서 해체를 밀어붙이더니 이제는 자신들 입맛에 맞는 ‘정치 중수청’을 만들겠다는 것”이라고 했다. 장 대표는 전종민 중수청 차장과 임은정 광주지방중수청장 등을 거론하며 “이런 사람들이 권력 비리 수사를 할 수나 있겠느냐”며 “정권 하명 수사, 정치 보복 수사에만 매달릴 것”이라고 말했다. 경찰·중수청·공수처 간 사건 관할과 공소청과의 사건 이관 절차가 제대로 정리되지 않았다며 “‘수사 뺑뺑이’, ‘재판 지연’, ‘사건 암장’으로 대한민국이 ‘치안 지옥’이 될 것”이라고도 했다.

신한·KB국민·하나은행 등 대형 시중 은행 3곳과 예가람저축은행에서 고객 개인정보가 유출됐다. 그동안 개인정보 유출은 내부 직원의 일탈이나 외부 업체의 부주의 때문이었다. 이번 유출은 보안 관리가 허술한 대출모집인용 홈페이지, 직원용 모바일 업무 시스템 등 ‘뒷문’을 통한 공격이었다. 이억원 금융위원장은 어제 “여러 업권에서 사고가 단기간에 다수 발견되고 있다”며 “인공지능(AI)을 활용한 공격 가능성도 배제할 수 없다”고 밝혔다. 해커의 인터넷 프로토콜(IP) 주소가 일부 중복됐고, 공통으로 반복·자동화된 외부 공격이 확인됐다. 중국어 기반 AI 해킹 도구가 사용되기도 했다. 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스’의 흔적이 발견된 사실은 무엇보다 주목할 부분이다. 아르텍스는 공개 플랫폼이어서 중국발 공격으로 단정할 수는 없으나, 국제 공조를 통해 정밀하게 파악해야 할 문제다. AI 기술이 결합하면서 해킹 양상은 파괴적으로 변하고 있다. 예전에는 해커가 시스템의 허점을 찾기 위해 직접 수많은 변수를 넣었지만 이제는 AI에 목표만 정해주면 정보 수집, 취약점 탐색, 공격 실행, 결과 분석까지 모든 과정을 스스로 수행한다. AI 악용에 따른 보안 위협의 심각성은 예상됐던 일이기도 하다. 삼성SDS가 국내 정보기술(IT) 및 보안 담당자들에게 올해 기업에 가장 큰 영향을 미칠 사이버 보안 위협을 물었더니 ‘AI 기반 보안 위협’이 압도적인 비중(81.2%)으로 꼽혔다. 이번 해킹은 보안이 허술한 지점에서 발생했지만 금융사의 잘못된 체계 탓도 있었다. 본인 확인을 거치지 않고 대출신청 내역이나 기업 대표 정보를 조회할 수 있거나, 직원 업무용 모바일 단말기에 대한 접근 통제가 빠졌거나, 권한 없이도 특정 웹서비스에 접근할 수 있었다. 해킹 사고 유형이 공유된 만큼 대응 소홀로 유사 사례가 재발한다면 경영진에게 엄중하게 책임을 물어야 한다. 오픈뱅킹으로 은행은 물론 핀테크 기업, 증권, 카드 등 다양한 업권이 연결된 현실이다. 연결 고리가 해킹의 주요 도구가 되지 않도록 금융권의 공동 대응이 절실하다. 뚫린 이후의 대응도 중요하다. 침범 당했더라도 핵심 정보까지 접근하지 못하도록 모든 정보 요청을 매번 확인해야 한다. 온라인동영상서비스(OTT)와 전자결제, 미용의료 정보 플랫폼 등에서 개인정보가 잇따라 유출되고 있다. 서로 다른 곳에서 유출된 개인정보들이 결합해 대형 사기로 번질 수 있다는 불안감도 커진다. 개별 회사의 보안 강화는 물론 국가 차원에서 AI 방어막을 구축해야 하는 시점이다.

은행·저축은행·캐피털 등 금융권 전반으로 개인정보 탈취 시도가 확산하는 가운데, 중신용자를 위한 ‘1.5금융’을 표방하는 온라인투자연계금융업(P2P·온투업)계에서도 해킹 피해가 확인됐다. 4일 금융권에 따르면 국내 1호 등록 온투업체인 피에프씨테크놀로지스(PFCT·옛 피플펀드)에서 지난달 27일 오전 3시 30분쯤 외부의 무단 접근으로 고객 302명의 정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름·주민등록번호·전화번호 등이 포함된 것으로 전해졌다. 다른 금융사와 마찬가지로 인공지능(AI)을 활용한 공격으로 추정된다. 대응이 느슨해질 수 있는 추석 연휴 새벽에 발생했다. PFCT 관계자는 “대출정보는 유출되지 않은 것으로 파악하고 있다”며 “실시간 대응으로 추가 피해를 막았으며 금융감독원에 보고한 뒤 조사 중”이라고 밝혔다. PFCT는 관계기관 조사 결과가 확정되는 대로 고객 보상안을 마련할 계획이다. 온투업체는 투자자에게 모은 돈으로 대출을 내주고, 차주가 갚은 원리금을 투자자에게 돌려주는 방식으로 운영된다. 대형 금융사보다 규모가 작아 보안에 투입할 자금과 인력이 제한적이다. 소규모 핀테크의 보안 취약점을 노린 AI 해킹이 확산할 수 있다는 우려가 나온다. 다른 온투업체인 모우다도 지난달 27~28일 제3자의 웹사이트 불법 접근을 통한 개인정보 유출 가능성을 확인했다고 29일 공지했다.

신한·국민·하나 등 영업 통로 침투정보보호 투자 비중은 10%도 안 돼 금융권 정보 유출사고는 해커가 특정 회사를 겨냥한 것이 아니라 ‘인공지능(AI) 에이전트’로 무차별 공격을 가하며 금융사 보안의 빈틈을 찾아낸 결과로 보인다. 고객의 거래·신용 정보를 관리하는 핵심 금융업무 시스템보다 상대적으로 관리가 소홀했거나 자율 점검 대상인 직원용·업무 지원 시스템이 공격의 통로가 된 것이다. 4일 금융당국에 따르면 지난달 28일부터 이어진 공격으로 대출모집인용 간편 조회서비스(신한은행), 직원용 모바일 업무지원시스템(KB국민은행·부산은행), 영업지원시스템(하나은행) 등에서 고객과 외주 직원의 개인정보가 유출됐다. 현대캐피탈에서도 주택대출 모집인 조회 페이지가 공격받았다. 일부 금융사는 휴대전화 인증 등 본인 확인 없이 대출 신청 내역과 기업 대표 정보를 조회할 수 있도록 서비스를 개발한 것으로 파악됐다. 직원용 모바일 서비스를 누구나 접근할 수 있게 열어둔 경우도 있었다. 홈페이지의 취약점을 이용해 서버에 악성 코드를 설치한 사례도 발견됐다. 기본적인 인증과 보안 시스템이 제대로 작동하지 않은 셈이다. 이억원 금융위원장은 이날 ‘전 금융권 긴급 점검회의’에서 “상대적으로 관리의 관심이 덜 했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다”며 인증 조치 미흡과 업무에 필요한 범위를 넘는 정보 보관·조회 등을 사각지대로 지목했다. 금융감독원의 연례 전자금융기반시설 취약점 점검과 과학기술정보통신부의 주요 정보통신기반시설 점검은 인터넷뱅킹 등 고객의 거래·신용 정보 관련 시스템에 초점을 맞춘다. 이번에 공격받은 외부·업무 지원 시스템 일부는 점검 대상에서 빠져 있다. 금융당국과 은행권 관계자들은 상대적으로 중요도가 낮은 시스템의 보안 점검은 대부분 금융회사 자율에 맡겨져 있다고 설명했다. AI에이전트를 활용한 공격 수법은 빠르게 고도화되지만 금융회사의 보안 투자는 이를 따라가지 못한다는 지적도 나온다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 KB국민·신한·하나·우리은행의 IT 투자액 중 정보보호 투자 비중은 각각 8.15%, 7.96%, 9.02%, 9.06%로 모두 10%를 밑돌았다. 우리은행의 정보보호 투자액은 444억원에서 364억원으로 1년 새 약 18% 줄었다. 신한은행도 IT 투자액은 늘렸지만 정보보호 투자액은 제자리걸음해 비중이 0.67% 포인트 낮아졌다. 한편 경찰청 사이버테러대응수사대는 지난 2일 신한은행 등 해킹 피해가 확인된 금융사를 대상으로 입건 전 조사에 착수했다.

신한·하나銀 등 동일 IP·中AI 흔적증권·카드·보험사에도 공격 시도李대통령 “철저한 조사·대책 마련을” 최근 발생한 ‘금융권 연쇄 해킹사고’에서 같은 인터넷주소(IP)와 중국어 기반 인공지능(AI) 해킹 도구가 사용된 정황이 확인됐다. 금융당국은 동일 공격 주체가 직원용·업무 지원 시스템 등 상대적으로 보안 관리가 느슨한 영역을 노려 침투를 시도한 것으로 보고 있다. 5대 은행을 넘어 저축은행·캐피털·상호금융에서도 공격이 발생하면서 금융당국은 전 금융권 최고경영자(CEO)를 긴급 소집했다. 4일 금융당국에 따르면 지난달 28일부터 이달 3일까지 신한·하나·KB국민·부산·NH농협·우리은행을 대상으로 한 공격에서 공통된 IP와 유사한 AI 활용 수법이 발견됐다. 당국은 최소 6곳은 동일 주체 공격으로 추정하고 있다. 신한은행에서는 약 2만 5000명, KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출됐다. 부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다. NH농협·우리은행은 공격을 막아 정보 유출로 이어지지 않았다. 동일 주체의 공격으로 추정하는 핵심 근거는 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이다. AI가 보안 약점을 찾고 공격 결과에 따라 다음 침입 방법을 선택하는 도구로, 여러 금융회사에 IP를 변경해 대량의 자동화 공격을 가한 것으로 보인다. 박상원 금융보안원장은 “공통된 IP에 아르텍스 흔적이 있다”고 설명했다. 다만 아르텍스는 공개된 플랫폼이어서 중국발 공격으로 단정할 수는 없다. 당국은 국제 공조 등을 통해 공격 주체를 확인할 예정이다. 예가람(4만명)·웰컴저축은행(2200건·법인)과 현대캐피탈(146명)에서 발생한 해킹은 IP가 달랐지만 수법은 유사한 것으로 파악됐다. 이들 3곳과 4개 은행에서 공개된 유출 규모를 단순 합산하면 약 6만 7565명이다. 증권·카드·보험사·상호금융에도 공격이 시도됐으나 추가 피해는 아직 확인되지 않았다. 이억원 금융위원장은 이날 이찬진 금융감독원장과 전 금융권 긴급 점검회의를 열고 “AI를 활용한 공격 가능성을 배제할 수 없다”면서 금융권에 최고 수준의 경각심을 주문했다. 이재명 대통령은 현황을 보고받고 “엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기할 것을 지시했다”고 강유정 청와대 수석대변인이 밝혔다.

서부전선 비무장지대(DMZ)에서 발생한 북한 지뢰 폭발 사건과 관련해 정부가 북측에 대화를 제의했지만 북한은 탄도미사일 발사로 응답했다. 남측이 제기한 지뢰 폭발 책임 문제에 사과 대신에 핵·미사일 능력을 과시해 이슈를 전환하고, 북미 대화의 협상력을 끌어올리려는 의도가 담겼다는 분석이 나온다. 북한 노동신문은 4일 “10월 3일 새벽 우리 나라 동부지역에서 조선동해로 중거리전략미사일발사훈련이 진행됐다”고 보도했다. 신문은 “미사일은 동해상 1000㎞ 거리의 목표점을 명중했다”며 구체적인 좌표를 공개했다. 앞서 합동참모본부는 전날 오전 6시 30분쯤 북한 원산 일대에서 동해상으로 발사된 탄도미사일 1발을 포착했다고 밝혔다. 군은 미사일이 700㎞ 이상을 비행한 것으로 파악했다. 북한의 미사일 발사는 정부의 대화 제의 거부를 실제 행동으로 보여준 것이란 평가다. 정동영 통일부 장관은 지난 2일 북한에 “적어도 군사분계선(MDL)을 다시 한번 확인하고 측정하는 일을, 소통하는 일을 시작해야 한다”고 제안했다. 김여정 북한 노동당 부장은 당일 “대꾸할 가치도 없는 망상이고 일방적인 넋두리”라며 “어떤 경우에도 조한 사이의 접촉 가능성이 제기될 수 있는 사소한 공간이나 여지도 허용하지 않을 것”이라고 선을 그었다. 김 부장은 다음 날 미사일 발사를 감행한 당일 이례적으로 직접 입장문을 냈다. 그는 합참과 일본 방위성이 비행거리를 700㎞ 이상, 약 680㎞라고 각각 분석한 점을 거론했다. 김 부장은 “매번 파도식 비행궤도 방식을 적용했을 때 적들은 1차 도약점 이후부터는 목표를 소실했다”며 “이미 4차례나 이와 유사한 경우를 목격하였으며 결론적으로 우리가 보유한 미사일들의 특수한 비행방식의 우월성이 현실적으로 검증된 것”이라고 주장했다. 전문가들은 김 부장이 이례적으로 발사 사실을 직접 발표한 것은 지뢰폭발 사건의 확산을 차단하려는 의도로 보고 있다. 한국이 제기한 지뢰 문제를 핵·미사일 의제로 덮어 한반도 이슈의 주도권을 가져가려는 것이다. 또 오는 11월 북미 대화 가능성이 거론되는 상황에서 미국을 향한 메시지란 해석도 제기된다. 김정은 국무위원장은 발사훈련을 참관하고 “전략적 공격수단들의 신뢰성과 그 치명성을 적수들에게 부단히 그리고 반복적으로 인식시키는 책임적인 노력을 중단없이 계속해야 한다”며 “우리의 이 같은 활동은 명백히 나라의 핵전쟁억제력을 더욱 고도화하자는데 있다”고 강조했다. 이어 “이러한 우리의 견해와 로선에서 변화란 있을 수 없다”고 언급했다. 홍민 통일연구원 선임연구위원은 “핵 능력의 불가역성을 전달하면서도 미국을 직접 겨냥한 문구는 배제해 대미 대화 여지를 보전한 것”이라고 말했다. 북한이 이번에 발사한 미사일은 원뿔형 중거리 극초음속 미사일로 분석된다. 북한은 글라이더형, 원뿔형 2종으로 극초음속 미사일을 개발하고 있다. 북한이 언급한 사거리 1000㎞는 군 당국이 포착한 700㎞ 이상과 300㎞ 차이가 난다. 원뿔형 극초음속 미사일은 1차 정점 고도를 찍은 후 하강하다가 다시 변칙적으로 솟구치는 ‘활공 재도약’ 기동이 가능한 것으로 평가된다. 때문에 지구 곡률(지표면의 꺾임)로 인한 일부 탐지공백이 발생한다. 한편 청와대 국가안보실은 전날 긴급 안보상황 점검회의를 열었다. 안보실은 “반복된 탄도미사일 발사는 유엔 안전보장이사회 결의 위반일 뿐 아니라 현 상황 관리에 전혀 도움이 되지 않는 엄중한 행위”라며 “즉각 중단할 것을 촉구한다”고 규탄했다.

금융사 정보 유출에 인공지능(AI) 해킹 도구가 사용됐다는 정황이 나오면서 AI가 기존 보안의 패러다임을 송두리째 뒤흔들 것이라는 이른바 ‘미토스 쇼크’가 현실화했다는 우려가 나온다. 보안 전문가들은 ‘방어용 AI 시스템’ 구축과 범정부 차원의 사이버보안 컨트롤타워가 필요하다고 입을 모았다. AI의 고도화된 해킹에 맞서 AI가 방어 체계를 구축하는 전략이 가장 먼저 거론된다. 이런 전술 분야를 보안 업계에서는 ‘방어적 AI’ 또는 ‘AI 기반 사이버 보안’ 시스템이라고 부른다. 공격적 AI에 대응해 이상 징후를 탐지하고 취약점을 분석해 위협을 실시간으로 차단하는 기술 체계를 뜻한다. 챗GPT를 개발한 오픈AI는 지난달 초 AI를 활용해 보안 취약점을 찾아내고 이를 수정하는 자동화 시스템인 ‘디펜스 팩토리’를 공개했다. 황석진 동국대 정보보호대학원 교수는 4일 “칼이 요리사 손에 쥐어지면 요리 도구가 되지만 범죄자의 손에 들어가면 흉기가 되는 것”이라며 “AI의 공격을 방어하려면 AI를 통해 취약점을 찾고 공격 가능한 경로를 상시 모니터링하는 것이 중요하다”고 말했다. 청와대 국가안보실, 과학기술정보통신부(한국인터넷진흥원), 국가정보원, 개인정보보호위원회 등으로 분산된 사이버보안 대응 기능을 총괄할 범정부 컨트롤타워가 필요하다는 지적도 꾸준히 제기되고 있다. 임종인 고려대 정보보호대학원 명예교수는 “사이버 안보 문제를 조율하고 진두지휘할 부총리급 컨트롤타워가 필요하다”고 언급했다. 정보 유출이 기업 경영과 직결되도록 ‘정보보호’에 대한 인식 제고가 필요하다는 의견도 나온다. 정보 유출 사고가 난 기업들이 단순히 보안 책임자를 교체하는 것으로 사태를 마무리해선 안 된다는 것이다. 황석진 교수는 “정보 유출 사고가 나면 회사가 망한다는 인식이 들도록 해야 한다”며 “보안 관리 인력을 늘리고 최고경영자(CEO)를 비롯한 경영진의 경영 실적으로 책임을 물을 수 있는 제도적 장치가 필요하다”고 지적했다.

시간·인력 한계 뚫고 동시다발 공격여러 단계를 자체 판단하며 ‘고도화’인간 방어 속도로는 대응 못할 수도보안 업계, 탐지·피해 최소화 무게 ‘은행권 해킹’을 계기로 인공지능(AI) 사이버 공격에 대한 우려가 높아졌다. 해커가 AI를 활용해 시간·인력의 한계를 넘어 빠르고 무한 반복적인 고도화 공격에 나서면서 기존 보안체계가 감당하기 버겁다는 것이다. AI가 스스로 판단·실행하는 ‘에이전트’로 넘어가는 과정에서 예고된 위험이 현실화하면서 인간이 AI의 공격을 따라잡지 못하는 미래가 앞당겨졌다는 경고도 나온다. 4일 보안업계에 따르면 기존의 자동화 해킹이 미리 짜놓은 명령을 반복했다면 AI 에이전트는 정찰, 취약점 탐색, 침투, 계정 탈취 등 여러 단계를 스스로 판단해 반복하거나 동시에 진행한다. 실제 이번에 금융권도 사람이 수작업으로 대응하기 어려운 수준의 반복적·자동화된 외부 공격을 받았다. 보안업계 관계자는 “과거 여러 명이 (해킹) 역할을 나눴다면 이제 해커 한 명이 AI로 동시에 (공격을) 수행한다”고 말했다. 앤트로픽은 지난달 공개한 보고서에서 한 공격자가 AI로 수십 명의 피해자를 동시에 상대했고, 기업에서 데이터를 빼내기까지 2~3시간밖에 걸리지 않았다고 소개했다. 중국 정부 연계 조직은 지난해 금융사 등 약 30개 기관을 겨냥한 공격에서 정찰과 취약점 탐색, 계정 탈취, 데이터 분석·반출 등 전술적 작업의 80~90%를 AI에 맡겼다. 더 큰 문제는 공격과 방어 사이의 ‘시간차’다. 공격자는 침투 경로가 막혀도 AI로 다른 방법을 빠르게 찾아 재시도하지만 방어자는 패치를 만든 뒤 기존 시스템과의 충돌이나 서비스 장애 가능성을 검증해야 유포한다. 유럽은행감독청(EBA)은 지난 6월 프런티어 AI가 취약점을 찾아 악용하는 속도가 빨라지면서 기존 패치 주기를 흔들 수 있다고 경고했다. 보안 현장에서는 모든 공격을 사전 차단하기보다 탐지 및 피해 확산 중단에 무게를 싣고 있다. 이상 징후를 최대한 빨리 찾아 침해 계정이나 단말을 격리하고 내부 확산을 끊는 방식이다. 앤트로픽은 ‘프로젝트 글래스윙’을 통해 AI가 사전에 중요 소프트웨어를 공격하고 시스템의 취약점을 찾도록 해 방비하는 시험을 하고 있다. 보안업계의 한 직원은 올해 들어 AI를 활용한 해킹이 지난해보다 2배는 되는 것처럼 느낀다고 했다. 정부가 고의·중과실로 인한 개인정보 유출은 매출액의 10%까지 징벌적 과징금을 부과하면서 중소기업에서는 은폐가 증가해 신고되지 않은 사례는 더욱 많다는 것이다. 한 관계자는 “지금은 AI가 스스로 공격을 고도화하는 초기 단계”라며 “재귀적 (공격) 자동화가 빨라지면 인간이 대응할 시간을 잃는 지점이 올 수 있다”고 우려했다.

최근 금융권 연쇄 정보 유출은 해커가 특정 회사를 겨냥한 것이 아니라 ‘인공지능(AI) 에이전트’로 무차별 공격을 가하며 금융사 보안의 빈틈을 찾아낸 결과로 추정된다. 고객의 거래·신용 정보를 관리하는 핵심 금융업무 시스템보다 상대적으로 관리가 소홀했거나 자율 점검 대상인 직원용·업무 지원 시스템이 공격의 통로가 된 것이다. 4일 금융당국에 따르면 지난달 28일부터 이어진 공격으로 대출모집인용 간편 조회서비스(신한은행), 직원용 모바일 업무지원시스템(KB국민은행·부산은행), 영업지원시스템(하나은행) 등에서 고객과 외주 직원의 개인정보가 유출됐다. 현대캐피탈에서도 주택대출 모집인 조회 페이지가 공격받았다. 고객이 직접 이용하는 인터넷뱅킹이나 모바일뱅킹 대신 업무를 지원하는 서비스가 침투 경로가 됐다. 조사 결과 일부 금융사는 휴대전화 인증 등 본인 확인 없이 대출 신청 내역과 기업 대표 정보를 조회할 수 있도록 서비스를 개발한 것으로 파악됐다. 직원용 모바일 서비스를 누구나 접근할 수 있게 열어둔 경우도 있었다. 홈페이지의 취약점을 이용해 서버에 악성 코드를 설치한 사례도 확인됐다. 기본적인 인증과 접근 제한이 제대로 작동하지 않은 셈이다. 이억원 금융위원장은 이날 ‘전 금융권 긴급 점검회의’에서 “상대적으로 관리의 관심이 덜 했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다”며 인증 조치 미흡과 업무에 필요한 범위를 넘는 정보 보관·조회 등을 사각지대로 지목했다. 금융감독원의 연례 전자금융기반시설 취약점 점검과 과학기술정보통신부의 주요 정보통신기반시설 점검은 인터넷뱅킹 등 고객의 거래·신용 정보 관련 시스템에 초점을 맞춘다. 이번에 공격받은 외부·업무 지원 시스템 일부는 점검 대상에서 빠져 있다. 금융당국과 은행권 관계자들은 상대적으로 중요도가 낮은 시스템의 보안 점검은 대부분 금융회사 자율에 맡겨져 있다고 설명했다. 이번 해킹 사고로 노출된 허점과 관련해서 금감원은 인증절차가 누락된 서비스를 전수 조사해 오류를 수정할 예정이다. 또 직원용 업무지원서비스에서는 사전에 등록된 단말기로만 접속할 수 있도록 통제를 강화한다. AI에이전트를 활용한 공격 수법은 빠르게 고도화되지만 금융회사의 보안 투자는 이를 따라가지 못한다는 지적도 나온다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 KB국민·신한·하나·우리은행의 IT 투자액 중 정보보호 투자 비중은 각각 8.15%, 7.96%, 9.02%, 9.06%로 모두 10%를 밑돌았다. 우리은행의 정보보호 투자액은 444억원에서 364억원으로 1년 새 약 18% 줄었다. 신한은행도 IT 투자액은 늘렸지만 정보보호 투자액은 제자리걸음해 비중이 0.67% 포인트 낮아졌다. 디지털 서비스를 확대하는 만큼 이를 보호하는 투자도 함께 늘려야 한다는 지적이 나오는 배경이다. 금감원은 재발 방지를 위한 유의사항을 금융권에 전달하고 긴급 점검에 나섰다. 지난 7월부터 IT 기본 통제 준수 여부를 점검하고 금융사가 스스로 미비점을 고치는 ‘자율 시정’을 진행 중인 만큼, 유사 사고가 발생하면 엄중 조치할 방침이다. 경찰청 사이버테러대응수사대도 지난 2일 신한은행 등 해킹 피해가 확인된 금융사를 대상으로 입건 전 조사에 착수했다.

최근 발생한 ‘금융권 연쇄 해킹사고’에서 같은 인터넷주소(IP)와 중국어 기반 인공지능(AI) 해킹 도구가 사용된 정황이 확인됐다. 금융당국은 동일 공격 주체가 직원용·업무 지원 시스템 등 상대적으로 보안 관리가 느슨한 영역을 노려 침투를 시도한 것으로 보고 있다. 5대 은행을 넘어 저축은행·캐피털·상호금융에서도 공격이 발생하면서 금융당국은 전 금융권 최고경영자(CEO)를 긴급 소집했다. 4일 금융당국에 따르면 지난달 28일부터 이달 3일까지 신한·하나·KB국민·부산·NH농협·우리은행을 대상으로 한 공격에서 공통된 IP와 유사한 AI 활용 수법이 발견됐다. 당국은 최소 6곳은 동일 주체 공격으로 추정하고 있다. 신한은행에서는 약 2만 5000명, KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출됐다. 부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다. NH농협·우리은행은 공격을 막아 정보 유출로 이어지지 않았다. 동일 주체의 공격으로 추정하는 핵심 근거는 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이다. AI가 보안 약점을 찾고 공격 결과에 따라 다음 침입 방법을 선택하는 도구로, 여러 금융회사에 IP를 변경해 대량의 자동화 공격을 가한 것으로 보인다. 박상원 금융보안원장은 “공통된 IP에 아르텍스 흔적이 있다”고 설명했다. 다만 아르텍스는 공개된 플랫폼이어서 중국발 공격으로 단정할 수는 없다. 당국은 국제 공조 등을 통해 공격 주체를 확인할 예정이다. 예가람(4만명)·웰컴저축은행(2200건·법인)과 현대캐피탈(146명)에서 발생한 해킹은 IP가 달랐지만 수법은 유사한 것으로 파악됐다. 이들 3곳과 4개 은행에서 공개된 유출 규모를 단순 합산하면 약 6만 7565명이다. 증권·카드·보험사·상호금융에도 공격이 시도됐으나 추가 피해는 아직 확인되지 않았다. 이억원 금융위원장은 이날 이찬진 금융감독원장과 전 금융권 긴급 점검회의를 열고 “AI를 활용한 공격 가능성을 배제할 수 없다”면서 금융권에 최고 수준의 경각심을 주문했다. 이재명 대통령은 현황을 보고받고 “엄중한 인식을 갖고 철저한 조사 및 대책 마련에 만전을 기할 것을 지시했다”고 강유정 청와대 수석대변인이 밝혔다.

은행·저축은행·캐피털 등 금융권 전반으로 개인정보 탈취 시도가 확산하는 가운데, 중신용자를 위한 ‘1.5금융’을 표방하는 온라인투자연계금융업(P2P·온투업)계에서도 해킹 피해가 확인됐다. 4일 금융권에 따르면 국내 1호 등록 온투업체인 피에프씨테크놀로지스(PFCT·옛 피플펀드)에서 지난달 27일 오전 3시 30분쯤 외부의 무단 접근으로 고객 302명의 정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름·주민등록번호·전화번호 등이 포함된 것으로 전해졌다. 다른 금융사와 마찬가지로 인공지능(AI)을 활용한 공격으로 추정된다. 대응이 느슨해질 수 있는 추석 연휴 새벽에 발생했다. PFCT 관계자는 “대출정보는 유출되지 않은 것으로 파악하고 있다”며 “실시간 대응으로 추가 피해를 막았으며 금융감독원에 보고한 뒤 조사 중”이라고 밝혔다. 온투업체는 대형 금융사보다 규모가 작아 보안에 투입할 자금과 인력이 제한적이다. 소규모 핀테크의 보안 취약점을 노린 AI 해킹이 확산할 수 있다는 우려가 나온다. 온투업체는 투자자에게 모은 돈으로 대출을 내주고, 차주가 갚은 원리금을 투자자에게 돌려주는 방식으로 운영된다. 최근 시중은행 대출한파와 빚투(빚내서 투자) 수요 증가 등으로 누적 대출금액도 증가하는 추세다. 온투업 중앙기록관리기관에 따르면 지난 9월 말 기준 46개 업체의 누적 대출액은 22조 8440억원으로 집계됐다.