신한·KB·하나은행 고객정보 유출…공격에 AI가 쓰였나

신한·KB국민·하나은행에서 9월 말 고객 정보가 빠져나간 사실이 은행 공지로 확인됐다. 신한은행은 9월 28일 외부 비인가자가 일부 서비스에 접근했고 다음 날 유출을 확인했다고 밝혔다. 유출 고객은 약 2만5천여 명이고, 주민등록번호와 대출정보가 포함됐다. KB국민은행은 9월 30일 고객 99명과 전현직 임직원 20명, 하나은행은 10월 2일 고객 89명의 유출을 확인했다고 공지했다. 언론 집계로는 BNK부산은행, 현대캐피탈, 예가람·웰컴저축은행까지 7곳이다. 이 4곳의 건수는 회사 설명을 인용한 보도로만 나와 있다.

뚫린 곳은 고객이 쓰는 인터넷뱅킹이 아니라 직원과 외부 인력이 쓰는 업무 시스템이었다. KB는 직원용 모바일 업무지원 시스템, 하나는 영업지원시스템이라고 공지했다. 신한은 공지에 '일부 서비스'라고만 적었고, 언론은 대출모집인용 조회 서비스로 전했다. 금융위원회는 10월 4일 전 금융권 긴급 점검회의에서 침해사고의 원인을 "대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템"으로 지목하고, 인증 절차가 빠지거나 우회되는 경로를 점검하라고 지시했다. 같은 공격 시도를 우리·NH농협은행은 막았다고 보도됐다.

'AI 해킹'이라는 말의 근거는 보안업체 지니언스의 문종현 시큐리티센터장이 링크드인에 쓴 분석이다. 뉴시스 등에 따르면 그는 공격에 쓰인 웹 서버의 페이지 제목에서 'AI 자율 침투 테스트 콘솔'을 뜻하는 중국어 문구와 함께 ARTEX라는 이름을 봤다고 했다. ARTEX는 7월 26일 GitHub에 올라온 오픈소스 침투 테스트(penetration test) 도구다. 설명서(README)에는 앤트로픽이나 OpenAI의 API 키로 대규모 언어 모델(LLM)을 연결해 쓴다고 적혀 있고, 실제 온라인 시스템을 공격하는 데 쓰지 말라는 문구도 있다. 이 도구가 공격에 쓰였는지는 금융당국과 은행 어느 쪽도 확인하지 않았다. 이재명 대통령은 10월 6일 국무회의에서 일부 해킹에 AI가 활용된 것으로 드러났다는 취지로 말했다고 보안뉴스와 YTN이 전했다. 금융위가 10월 2일·4일·6일 낸 보도참고자료 3건에는 이번 공격에 AI가 쓰였다는 문장이 없다.

금융위는 10월 6일 소비자경보 '주의'를 발령하고 1개월간 2차 피해 특별대응기간을 지정했다. 비밀번호와 OTP 정보는 유출되지 않았고, 이번 유출로 고객 자금이 빠져나간 사례는 아직 확인되지 않았다는 것이 금융위 설명이다. 금융위 보도참고자료 3건과 신한·KB·하나의 공지, ARTEX 저장소는 10월 6일 직접 열어 확인했다.

여러 금융회사가 같은 시기에 같은 종류의 외부 접속 업무시스템으로 뚫렸다는 점은 금융위 자료로 확인되는 공통점이다. 다음에 확인할 지점은 AI 도구가 실제로 쓰였는지와 공격 주체이고, 금융위·금융감독원·금융보안원이 9월 30일부터 현장조사를 하고 있다.