금융권 동시다발 ‘신종 AI 해킹’…실제 대출상담 사칭 ‘맞춤형 피싱’ 우려

광고

지난 9월 말 단 며칠 사이에 금융권을 덮친, 인공지능(AI)를 활용한 것으로 추정되는 전방위적 금융권 신종 해킹이 은행은 물론 캐피털·저축은행·상호금고까지 제1·2금융권을 가리지 않고 동시다발적으로 일어난 것으로 속속 보고되고 있다. 공격 시간대와 수법이 비슷해 AI 에이전트를 활용한 동일 세력의 공격일 가능성이 큰 것으로 파악되는 가운데 더 많은 개인정보 탈취 침투와 시도가 발생할 수 있다는 우려가 나온다.

4일 금융당국과 금융권 등에 따르면, 이날 오전까지 국내 금융권에서 잇따라 보고된 외부세력 해킹 공격 및 시도 사례는 은행권의 경우 신한은행·KB국민은행·하나은행·부산은행·우리은행·NH농협은행 등이다. 지난달 30일 해커가 신한은행에서 모바일 대출모집인용 조회서비스에 접근해 고객 약 2만5천여명의 개인정보(고객명, 전화번호, 연소득, 직장명, 일부 주민등록번호 등)를 빼내간 사실이 확인된 이후, 비슷한 시기에 국민은행에서도 직원용 모바일 업무시스템을 통해 고객 119명의 정보가, 하나은행에서는 영업지원시스템을 통해 고객 89명의 정보가 털린 것으로 확인됐다. 부산은행에서도 외부의 웹서버 공격 시도 과정에서 세션 검증이 미흡했던 페이지를 통해 외주 개발직원 11명의 정보가 노출됐다. 우리은행과 NH농협은행 역시 유사한 공격을 받았으나 실제 정보 유출로는 이어지지 않은 것으로 전해졌다.

제2금융권에선 예가람저축은행이 지난달 30일 해킹 공격으로 약 4만명의 고객명, 생년월일, 연락처 등이 유출됐다고 지난 2일 발표했다. 현대캐피탈도 대출모집인 146명의 이름, 연락처, 이메일 주소, 주민등록번호 등이 유출된 사실을 인지했다. 새마을금고중앙회에서도 신한은행에서 고객 개인정보를 빼낸 것과 동일한 공격자 인터넷주소(IP)의 접근 시도를 확인한 것으로 전해졌다. 새마을금고중앙회는 자체 보안 장비로 이들 해외 IP의 비정상적 접근을 차단해 정보 유출 피해를 당하지는 않았다. NH농협은행과 망을 공유하는 농협 상호금융에도 비슷한 침입 시도가 있었으나 방어에 성공한 것으로 알려진다.

광고

금융권 전반에 대한 광범위한 해킹 공격이 며칠 사이에 줄줄이 이뤄진 것인데, 아직 공격 사례가 보고되지 않은 증권·보험·카드업권과 아이비케이(IBK)기업은행, 한국수출입은행 등 국책은행에 대해서도 해킹 공격이 확산되는 것 아니냐는 우려가 나온다. 한 금융권 관계자는 “금융회사는 정보 유출이 없었더라도 해킹 공격을 받으면 금융당국에 침해 사고 신고를 해야 한다”며 “이번에 공격 시도를 받은 금융회사는 외부로 알려진 것보다 훨씬 더 많을 수 있다”고 지적했다. 증권·보험·카드업권에 대해서도 공격이 없었던 게 아니라, 아직 보고되지 않은 상황일 가능성이 열려있는 셈이다.

이번에 해킹으로 털린 개인정보는 대부분 고객명, 전화번호, 연소득, 주소, 직장명, 이메일주소 등이다. 일부 암호화된 주민등록번호 등도 유출됐다. 금융권은 공격당한 시스템이 인터넷·모바일뱅킹 등 금융거래 시스템과는 별도 채널이어서 계좌번호 등 금융거래 정보가 유출된 것은 아니라고 설명한다. 이들 사고 중 상당수는 사람이 수작업으로 대응하기 어려운 수준의 반복적·자동화된 외부 공격을 받았다는 공통점이 있고, 그 과정에서 고객이나 직원·외주 인력의 개인정보가 빠져나간 것으로 추정된다.

광고

광고

여러 금융회사를 상대로 동시에 공격한 것으로 드러난 만큼 해커들이 인공지능을 활용해 취약점을 찾은 뒤 자동 공격했을 가능성도 제기된다. 금융당국은 이번 공격이 특정 회사를 겨냥한 것이 아니라, 인공지능으로 무작위 공격을 가하는 과정에서 취약한 금융사들이 노출됐다는 점에 주목한다. 다만, 공격 시간대와 수법이 비슷해 동일 세력일 가능성이 크지만 이번 공격에 실제 인공지능이 활용됐는지는 아직 확인되지 않았다. 해커들은 고객용 금융거래업무시스템이 아니라 직원용이나 중요도가 낮은 업무지원시스템의 빈틈을 지능적으로 파고들어 정보를 빼냈다는 공통점이 있다. 대고객 창구와 달리 엄격한 인증절차를 거치지 않아도 되는 내부용 홈페이지 메뉴나 앱을 표적으로 삼은 것이다.

유출 정보의 범위가 넓어지면서 실제 거래나 대출상담 내용을 아는 것처럼 접근하는 맞춤형 피싱 등 2차 피해로 이어질 우려도 나온다. 유출된 정보만으로는 직접 계좌에서 돈을 빼내거나 부정 결제가 이뤄지기는 어렵다. 하지만 공격자가 유출 고객의 대출정보·소득 등 다른 개인정보를 결합·활용해 보이스피싱 등에 악용할 수 있다. 실제 대출을 신청하거나 상담한 고객인 만큼 관련 내용이 포함된 사기 전화나 문자에 속을 가능성이 있기 때문이다.

광고

해킹을 당한 금융회사들은 정보 유출 피해 고객들에게 개별적으로 유출 사실과 2차 피해 예방 방법을 안내하고 있으며, 이번 정보 유출로 피해가 발생할 경우 전액 보상한다는 방침이다.