철통 보안을 자부하던 국내 대형 시중은행들의 방어망이 인공지능(AI) 기술로 무장한 사이버 공격 앞에 무참히 뚫렸다.

최근 잇따라 발생한 금융권 고객 정보 유출 사태는 전통적인 해킹 방식을 넘어선 고도화된 AI 자동화 공격의 결과물이라는 점에서 업계 전반에 큰 충격을 주고 있다. 무엇보다 각 금융사가 천문학적인 예산을 투입해 구축을 공언했던 최신 보안 패러다임인 '제로트러스트(Zero Trust)' 체계마저 실제 환경에서는 허점을 드러내며, 금융권의 사이버 안보 생태계를 원점에서 재검토해야 한다는 비판이 거세게 일고 있다.

외곽 시스템의 취약점을 노린 핀셋 타격, 연쇄적인 정보 유출 사태 발발

사이버 공격자들은 메인 코어 뱅킹 시스템 대신, 상대적으로 감시망이 헐겁고 보안 투자가 미흡한 '외곽 및 지원 시스템'을 정밀하게 타격하는 우회 전술을 택했다. 이로 인해 국내 리딩뱅크로 꼽히는 신한은행, KB국민은행, 하나은행 등에서 연쇄적인 고객 및 내부 정보 유출 사고가 발생했다.

각 사의 피해 현황을 살펴보면, 가장 큰 규모의 정보가 빠져나간 곳은 신한은행으로 대출모집인 전용 서비스망이 침해를 당해 무려 2만 5천 명에 달하는 고객 데이터가 노출되었다. 이어 KB국민은행은 직원의 업무를 돕는 모바일 지원 시스템이 공격받아 100여 명의 정보가, 하나은행은 영업지원시스템이 해킹되면서 89명의 데이터가 외부로 흘러 나갔다. 또한 BNK부산은행의 경우 외주 인력의 신상 정보 11건이 탈취되는 등 정규 직원이 아닌 외부 연결 고리를 통한 취약점 노출도 심각한 문제로 대두되었다.

다만 모든 금융사가 피해를 입은 것은 아니다. 우리은행과 NH농협은행 역시 동일한 형태의 악의적인 해킹 시도에 직면했으나, 내부 시스템의 선제적 차단 조치가 작동하며 실질적인 데이터 유출로는 이어지지 않은 것으로 확인되었다. 이는 동일한 공격에 대해서도 각 금융사의 실무적인 방어 기제 작동 여부에 따라 결과가 극명하게 갈릴 수 있음을 시사한다.

'제로트러스트'의 역설… 이론과 실제 구축 환경의 괴리가 낳은 참사

이번 사태에서 가장 뼈아픈 대목은 피해를 입은 금융회사 대부분이 최근 사이버 보안의 핵심 트렌드인 '제로트러스트' 도입을 적극적으로 표방했던 기업들이라는 점이다. 제로트러스트는 내부망에 접속한 사용자와 기기조차 '그 누구도 신뢰하지 말고 항상 검증하라'는 철학을 바탕으로 설계된 보안 아키텍처다.

특히 피해 확산을 막기 위한 핵심 기술로 '초세분화(마이크로세그멘테이션)' 기법이 활용된다. 이는 네트워크 워크로드, 개별 애플리케이션, 접근 사용자, 비즈니스 프로세스를 매우 잘게 쪼개어 독립적인 보안 정책을 부여하는 방식이다. 이론상으로는 특정 구역이 해킹에 장악되더라도 다른 중요 자산으로 피해가 전이되는 것을 원천 차단할 수 있다.

하지만 보안 전문가들은 도입 자체보다 '어떻게 구현하고 운영하느냐'가 핵심이라고 지적한다. 아무리 훌륭한 제로트러스트 모델을 설계했더라도, 실제 IT 환경에 적용하는 과정에서 핵심 서비스에만 역량이 집중되고 주변부인 외곽 시스템(대출모집인, 영업지원, 외주 인력망 등)에 대한 통제가 누락된다면 언제든 백도어(Backdoor)로 전락할 수 있다는 것이다. 피해 은행들의 정보 유출 규모가 상대적으로 핵심 코어 데이터망 파괴로까지 번지지 않은 것은 그나마 망 분리나 초세분화가 부분적으로 작동했기 때문일 수 있으나, 결국 변두리 시스템의 취약점이 전체 보안의 신뢰도를 추락시켰다는 비판은 피하기 어렵다.

대규모 언어모델(LLM)과 멀티에이전트를 장착한 AI 해커의 출현

더욱 우려스러운 점은 이번 연쇄 해킹의 배후에 고도로 훈련된 인공지능이 존재한다는 정황이 포착되었다는 사실이다. 지니언스 시큐리티센터 문종현 센터장이 분석한 바에 따르면, 국내 시스템을 겨냥한 '크리덴셜 스터핑(Credential Stuffing·무작위 대입 공격)'의 흔적 속 웹서버 HTML 타이틀에서 중국어 기반의 AI 침투 테스트 도구인 '아텍스(ARTEX)'의 사용 정황이 뚜렷하게 드러났다.

해당 서버에 남겨진 'ARTEX 自主渗透测试控制台(자율 침투 테스트 콘솔)'이라는 문자열은 단순한 스크립트 기반의 해킹이 아님을 방증한다. 깃허브 등 오픈소스 생태계를 통해 퍼지고 있는 ARTEX AI는 대규모 언어모델(LLM)과 멀티에이전트 시스템을 결합한 지능형 공격 프레임워크다. 이 도구는 타깃에 대한 정보를 스스로 수집하고, 최적의 공격 루트를 자율적으로 기획하며, 방어망의 취약점을 실시간으로 찾아내어 공격을 실행한다. 보안업계 조사에 따르면 현재 활성화되어 실질적인 위협을 가하고 있는 ARTEX AI 서버만 무려 400여 개에 이르는 것으로 파악되며, 주로 중국계 해커 그룹을 중심으로 널리 통용되고 있는 실정이다.

AI를 무기화하는 현상은 비단 어제오늘의 일이 아니다. 시스템의 고위험 취약점을 기가 막히게 찾아내는 앤트로픽의 '클로드 미토스' 모델이나, 본래 방어적 보안 테스트 목적으로 개발된 오픈소스 플랫폼 '사이버스트라이크AI(CyberStrikeAI)' 등이 악의적인 해커들에 의해 취약점 탐지 및 공격 자동화 도구로 변질되어 남용되고 있다. 짧은 시간 내에 복수의 국내 은행이 동일한 패턴에 당했다는 것은, 이러한 AI 기반 자동화 타격 도구가 국내 금융권을 정조준하여 광범위한 스캐닝과 타격을 병행하고 있음을 의미한다.

국가안보실 긴급 개입 및 범정부 차원의 대응, 금융 보안 패러다임의 대전환 예고

사안의 중대성을 인지한 관계 당국은 즉각적인 초강경 대응에 나섰다. 금융보안원은 신속히 전문 조사팀을 각 피해 금융사에 급파하여 정확한 침해 경로와 피해 규모를 산정하고 있다. 금융위원회 역시 신진창 사무처장 주재로 금융권 긴급 상황 대응 회의를 소집해 확산 방지 및 근본적인 재발 방지 대책 마련에 착수했다. 당국은 전 금융사에 보안 취약점 체크리스트를 하달하여 대대적인 자체 점검을 지시하고, 그 결과를 면밀히 모니터링할 방침이다.

나아가 이번 사태는 단순한 금융 사고를 넘어 국가 사이버 안보 차원의 위기로 격상되었다. 국가안보실은 유관 기관 전체에 비상 대응 태세 유지를 지시하며 강력한 사이버 경계령을 내렸다. 또한, 유출된 데이터가 신용정보법의 범위를 넘어 일반 개인정보보호법에 저촉되는지 여부를 판단하기 위해 개인정보보호위원회 등 타 부처의 추가 개입도 점쳐지고 있다.

과거의 사이버 방어선이 단순히 벽을 높이 쌓아 올리는 '성곽 방어'였다면, 이제는 AI라는 보이지 않는 자율형 적군과 싸워야 하는 '비대칭 사이버 전쟁'의 시대가 도래했다. 금융권은 단순히 구호에 그치는 제로트러스트 선언을 넘어, 단 하나의 사각지대도 허용하지 않는 완벽하고 실효성 있는 AI 기반 능동형 방어 체계로의 전면적인 전환을 서둘러야 할 시점이다.

국내 대형 은행들을 강타한 이번 AI 연쇄 해킹 사태는 기술의 발전이 양날의 검임을 보여주는 뼈아픈 사례다. 겉보기에 화려한 '제로트러스트'라는 방패도 관리의 사각지대 앞에서는 무용지물이었다. 적들은 이미 대규모 언어모델과 자동화 에이전트를 활용해 인간의 한계를 넘어서는 속도로 방어망의 균열을 파고들고 있다. 금융당국과 기업은 단발적인 땜질식 처방을 멈추고, 말단 외주 시스템부터 코어망까지 아우르는 입체적이고 지능적인 사이버 보안 생태계를 시급히 재건해야 한다. 소 잃고 외양간 고치는 식의 대응으로는 진화하는 AI 사이버 테러를 결코 막아낼 수 없다.