중국산 AI 도구 악용, 국내 금융권 해킹
AI가 사람 대신 일을 척척
해 주는 시대가 왔는데요,
그 힘이 나쁜 쪽으로 쓰일 수 있다는
걱정스러운 소식이 들려왔어요.
국내 은행과 금융사 여러 곳이
AI 도구를 이용한 해킹 공격을
받은 것으로 보인다는 소식이에요.
아직 조사가 진행 중이라
확정되지 않은 부분이 많아요.
그래서 글 속에 '알려졌다',
'추정된다'는 표현이 자주 나오는데,
일부러 조심해서 쓴 거예요.
10월 8일까지 나온 내용을
바탕으로 쉽게 정리했어요.
< 무슨 일이 있었나요? >
지난달 말부터 시중은행들이
외부의 해킹 공격을 받은 것으로
확인됐어요.
해킹은 다른 사람의 컴퓨터나
서비스에 허락 없이 몰래
들어가는 행위를 말해요.
피해 상황은 은행마다 달랐어요.
신한은행은 고객 약 2만 5천 명,
하나은행은 고객 89명의
정보가 유출된 것으로 알려졌어요.
우리은행과 농협은행도 공격을
받았지만, 정보가 빠져나간 흔적은
아직 확인되지 않았다고 해요.
5대 은행이 모두 공격 대상이었고,
이후 저축은행과 캐피털,
상호금융 쪽으로도 번졌다는
보도가 이어졌어요.
금융당국은 긴급 점검회의를 열고
공격에 쓰인 인터넷 주소를 찾아
금융사들과 정보를 나눴어요.
👉 노컷뉴스: 5대 은행 노린 해커들,
금융권 보안 '초비상'
< 에이전트형 AI란? >
우리가 아는 챗봇은 질문을 하면
답을 해 주는 AI예요.
반면 에이전트형 AI는 목표를 주면
스스로 계획을 세우고 여러 단계를
이어서 실행해요.
"설거지 좀 해 줘" 하면 접시를 모으고,
닦고, 정리하는 것까지 알아서
해내는 심부름꾼에 가깝죠.
이 능력이 좋은 일에 쓰이면
업무가 편해지지만, 나쁜 마음을 먹은
사람 손에 들어가면 공격을
자동으로 이어 가는 데도 쓰일 수 있어요.
< 쓰인 도구는 뭘까요? >
조사 과정에서 '아르텍스(ARTEX)'라는
도구의 흔적이 확인됐다고 해요.
월스트리트저널에 따르면 중국의
보안 엔지니어가 만든
오픈소스 AI 에이전트예요.
오픈소스는 설계도와 코드를 공개해서
누구나 무료로 내려받고
고칠 수 있게 한 방식이에요.
원래 목적은 기관 네트워크의
약한 곳을 찾아 점검하는 거였어요.
이런 점검을 침투 테스트라고 하는데,
허락을 받고 일부러 공격해 보며
보안의 구멍을 찾는 일이에요.
아르텍스는 자체 AI 모델이 아니라
여러 회사의 AI 모델을 불러와
팀원처럼 쓰도록 만들어졌어요.
점검용으로 만든 도구가
공격에 악용된 것으로 보인다는 게
보도의 핵심이에요.
이 도구의 개발 측은 사고가 알려진 뒤
무단 침입이나 데이터 탈취 같은
악의적 사용을 금지한다는 지침을
이용자 안내에 넣었어요.
다만 안내만으로 범죄 목적의 사용을
완전히 막기는 어렵다는 지적이에요.
공격은 미국·일본·독일 등
10여 개 나라의 인터넷 주소
20여 개를 거쳐 이뤄졌다고 해요.
인터넷 주소(IP)를 여러 번 거치면
누가 보냈는지 추적하기 어려워지거든요.
👉 헤럴드경제: 한국 금융사 해킹에
中 AI 도구 악용…WSJ 보도
< 해커 신원은요? >
미국 보안업체 크라우드스트라이크가
10월 7일(현지시간) 분석 보고서를
공개했어요.
공격에 관여한 사람이 중국
광둥성에 사는 20대일 가능성이
있다는 내용이에요.
근거는 이래요. 공격자가 AI 코딩
도구에 자기 경력 정리를 맡기면서
개인정보로 보이는 내용을
입력한 기록이 외부 서버에서
발견됐다는 거예요.
하지만 보고서도 정황에 따른 추정일 뿐
신원을 확정한 건 아니라고
밝혔어요.
중국 외교부는 구체적인 상황은
모른다면서도, 해킹 행위에는
일관되게 반대해 왔고 정치적 목적의
허위 정보에도 반대한다고 밝혔어요.
보고서에서 지목된 인물이
언론 인터뷰에서 자신은 아니라고
주장했다는 보도도 나왔고요.
그래서 지금은 누구라고
단정할 수 있는 단계가 아니에요.
👉 MTN: 금융권 연쇄 해킹, AI 기록서
공격자 신원 단서
< 왜 더 걱정일까요? >
한 금융권 관계자는 예전에는
뛰어난 조직이나 국가 배후 세력이
주된 위협이었다고 말했어요.
이제는 AI 덕분에 실력이 높지 않은
해커도 공격 능력을 빠르게
끌어올릴 수 있다는 거예요.
그러면 보안이 약한 중소형 금융사나
협력 업체가 먼저 노려질 수 있어서
대책이 시급하다는 목소리가 나와요.
비슷한 오픈소스 AI 침투 도구가
더 있다는 점도 불안 요소예요.
그래서 AI 공격에는 AI로 맞서야 한다며
방어하는 쪽도 AI를 써야 한다는
의견이 힘을 얻고 있어요.
< 우리가 할 일 3가지 >
금융사 보안은 우리가 어쩔 수 없지만,
내 계정을 지키는 일은
지금 바로 할 수 있어요.
STEP. 1
비밀번호 돌려쓰지 않기
이번 사건에서는 이미 확보한
아이디·비밀번호 조합을 여러 곳에
넣어 보는 수법이 쓰였을 수 있다는
추정이 나왔어요.
이를 크리덴셜 스터핑이라고 불러요.
같은 비밀번호를 여러 곳에 쓰면
한 곳이 뚫릴 때 다른 곳도
함께 위험해져요.
금융 앱의 비밀번호만이라도
다른 곳과 다르게 바꿔 두세요.
STEP. 2
추가 인증과 알림 켜기
비밀번호 말고 한 번 더 확인하는
2단계 인증을 켜 두세요.
비밀번호가 새어 나가도
문자 인증이나 앱 승인 같은
두 번째 관문이 남아 있어요.
입출금과 카드 결제 알림도
켜 두면 이상한 거래를
빨리 알아챌 수 있어요.
STEP. 3
확인은 공식 경로로만
이런 사고가 터지면 틈을 노린
스미싱 문자가 늘어나기 쉬워요.
스미싱은 "정보가 유출됐으니 확인하세요"
같은 문자로 가짜 링크를 누르게 해
정보를 빼 가는 사기예요.
문자 속 링크는 누르지 마시고,
내가 쓰는 은행의 공식 앱이나
고객센터로 직접 확인하세요.
< 오늘 점검해 볼까요? >
뉴스를 보면 덜컥 겁이 나지만
너무 불안해하지는 않으셔도 돼요.
비밀번호 하나 바꾸고 알림 하나
켜 두는 작은 점검만으로도
든든함이 훨씬 달라지니까요.
조사 결과가 새로 나오면
다시 소식 전해 드릴게요.