AI 해킹 도구, 신한은행 2만5000명 정보 유출로 드러난 자동화 위협

신한은행 정보 유출이 드러낸 AI 해킹 자동화

신한은행에서 10월 초 약 2만5000명의 대출 신청 관련 정보가 유출됐고, 신한은행을 겨냥한 것으로 추정되는 공격 인프라에서는 아르텍스(ARTEX) 사용 흔적이 발견됐다. 이 사건이 투자자에게 말하는 것은 단순한 금융회사 한 곳의 사고가 아니다. AI 기반 도구가 취약점 탐색과 침투 작업의 규모를 키울 때 보안 수준을 평가하는 기준도 달라져야 한다는 경고다.

AI 기반 해킹 도구는 인공지능을 이용해 공격 대상을 찾고 침투 작업을 수행하는 수단이다. itdaily.kr 보도에 따르면 KB국민은행에서는 10월 2일 고객 정보 100여 건의 유출 사실이 알려졌다. 금융위원회는 14일 금융회사 16곳에서 최근 침해사고가 발생했으며, 당시 파악된 정보 유출 규모가 약 10만 건이라고 발표했다.

아르텍스와 케언, 공격 작업의 단위가 바뀌었다

기술의 투자 함의는 도구 이름보다 처리량에서 나온다. 마이크로소프트(MS)는 21일 스톰-0940(Storm-0940)이 아르텍스로 전 세계 수백 개 기업을 공격했다고 발표했다. 동시에 신한은행 관련 공격 인프라에서 같은 도구의 흔적이 확인되면서 AI 해킹 자동화가 금융권과 기업 웹사이트에 함께 등장했다.

newscj.com 보도에서 노르포지는 19일(현지시간) 케언(Cairn) 관리 패널 20여개의 공격 기록을 분석했다고 밝혔다. 노르포지가 집계한 3개 집단의 공격 작업 1269건 가운데 134건, 10.6%에서 서버 침투와 정보 접근 등 유의미한 성과가 보고됐다. 기업 웹사이트 100곳 이상에 침입했다는 분석도 제시됐다.

가장 활발한 집단으로 분류된 AIA0001 관련 관리 패널에서는 공격 작업 1139건이 확인됐고, 그중 96건인 8.4%에서 성과가 보고됐다. 전체 공격 작업에서 AIA0001이 차지한 비중은 89.8%였다. 작업당 평균 AI 이용료는 약 5달러, 약 6600원으로 추산됐으며 중국어 사용 집단의 목표 달성 작업은 평균 23시간 미만이었다.

금융회사의 약점은 탐지 시간으로 드러났다

침입 규모만큼 무거운 숫자는 사고 인지까지 걸린 시간이다. 신한은행은 15시간 26분, 하나은행은 41시간 44분, KB국민은행은 67시간 41분 뒤 침해 사실을 인지했다. 각 은행이 탐지를 늦춘 구체적인 이유는 확인되지 않았으므로 같은 원인으로 묶을 근거는 없다.

문종현은 공격에 사용된 웹 서버의 일부 HTML 타이틀에서 ‘ARTEX — 自主渗透测试控制台’이라는 문자열이 확인됐다고 설명했다. S2W 관계자는 권한 검증 문제를 ‘투숙객이 자기 방 카드키로 다른 방을 열었더니 그 방 문도 열린 것’에 비유했다. 자틴 사치데바의 진단은 더 짧다. ‘필요한 보호 조치는 과거와 다르지 않다.’

마이크로소프트와 금융권을 보는 투자 기준

• 마이크로소프트(MS) 스톰-0940의 아르텍스 활용 공격을 발표한 직접 관련 기업이다. 발표 사실만으로 매출이나 비용 영향을 계산할 자료는 없다. 투자 판단은 공격 분석의 공개와 기업 실적을 분리해 읽어야 한다.
• 신한은행·KB국민은행·하나은행 정보 유출 또는 침해 인지 시간이 확인된 금융회사다. 투자자가 확인할 항목은 유출 규모의 추가 변경과 탐지 시간에 대한 구체적인 설명이다.
• BNK부산은행·현대캐피탈 금융권 침해 사례에 포함된 직접 관련 대상이다. 제공된 자료에는 회사별 유출 규모와 실적 영향이 없어 상대적인 피해 수준을 비교할 수 없다.
• 보안 섹터 공격 작업이 확대하면 탐지와 권한 검증에 대한 기업의 평가 기준이 강화될 여지가 있다. 다만 보안 기업별 수주, 매출, 비용 자료가 없어 개별 종목 수혜로 연결하는 판단은 이르다.

투자자가 확인할 다음 데이터

• 금융위원회가 14일 발표한 금융회사 16곳과 약 10만 건의 정보 유출 규모가 이후에도 유지되는지 본다.
• 신한은행, 하나은행, KB국민은행이 침해 사실을 늦게 인지한 구체적인 이유를 공개하는지 확인한다.
• 노르포지 분석의 기업 웹사이트 100곳 이상 가운데 전체 명단과 케언 공격 피해액이 추가로 확인되는지 살핀다.
• AIA0001의 실제 신원과 금융권 공격의 정확한 배후가 밝혀지기 전에는 서로 다른 공격 사례를 하나의 주체로 단정하지 않는다.

AI 해킹의 확산과 반대 시나리오

낙관 시나리오는 금융회사와 기업이 이번 기록을 바탕으로 탐지와 권한 검증을 강화하는 경우다. 정보 유출 규모가 줄어들면 AI 공격의 처리량이 곧 피해 확대로 이어진다는 우려도 낮아진다. 보안 섹터에는 실제 수주와 매출이 확인될 때 비로소 실적 논리가 생긴다.

리스크는 낮은 작업당 비용과 대량 실행이 이어지는 데 있다. AIA0001의 1139건과 3개 집단의 1269건은 공격자가 반복 작업을 넓힐 수 있음을 보여준다. 다음 분기 출하량을 보듯 이 사안에서는 공격 작업 수, 성과가 보고된 건수, 금융회사의 사고 인지 시간이 확인 지표다. 숫자가 개선되지 않으면 시장이 재평가할 대상은 AI의 성능보다 기업의 보안 통제다.

본 글은 원문 기술 뉴스를 바탕으로 자동 요약·분석된 콘텐츠입니다. 원문 보기 (KBS 뉴스)