‘미토스 쇼크'가 경고한 AI 해킹 현실화…금융권 공격서 드러난 흔적
(서울=뉴스1) 이기범 기자 = 국내 금융권을 겨냥한 연쇄 해킹에서 인공지능(AI) 기반 침투 테스트 도구의 흔적이 발견됐다. 지난 4월 '미토스 쇼크' 이후 AI가 사이버 공격의 속도와 규모를 키우면서 기존 보안체계를 위협할 것이라는 경고가 6개월 만에 국내 금융권의 잇따른 침해 사고와 맞물려 현실적인 우려로 떠올랐다.
신한은행 등 대형 은행에서 시작된 해킹 피해는 저축은행과 캐피탈사 등 제2금융권으로 번졌다. 여러 은행에서 동일한 공격 인터넷주소(IP)와 AI 도구 관련 흔적이 확인되면서 취약점 탐색부터 공격까지 자동화하는 AI 해킹 가능성도 제기됐다. 다만 이번 금융권 사고 전체에 AI가 활용됐는지는 추가 조사가 필요하다.
AI 기반 무차별 해킹 우려…금융권서 ARTEX 흔적 발견
5일 금융권에 따르면 현재까지 KB국민은행과 신한은행, 하나은행, 부산은행 등에서 해킹에 따른 개인정보 유출이 확인됐다.
이번 사태에서 주목되는 건 여러 금융회사를 대상으로 유사한 공격이 광범위하게 이뤄졌다는 점이다. 금융보안원에 따르면 국민·신한·하나·부산은행에서 동일한 공격 IP가 확인됐다. 이들 은행의 공격 관련 웹서버에서는 중국어로 '자율 침투 테스트 콘솔'을 뜻하는 'ARTEX 自主渗透测试控制台'라는 동일한 문자열도 발견됐다.
특히 공격 대상과 범위가 일반적 해킹과 달랐다. 이번 해킹은 여러 은행을 대상으로 동시다발적으로 진행됐다. 개별 공격의 성공 가능성을 일일이 판단하고 수작업으로 침투를 시도해야 했던 기존 방식과 현저히 다른 패턴이다.
때문에 AI 에이전트를 활용한 공격 가능성이 대두되고 있다. AI에이전트 공격은 취약점을 찾아 반복적으로 침투를 시도하는 과정을 24시간 자동화할 수 있다. 또 여러 시스템을 동시에 탐색하고 공격 결과에 따라 후속 작업을 수행할 수 있다. 사람이 수행할 수 있는 공격 작업의 양과 속도라는 한계를 AI가 낮추는 것이다.
실제 이번 금융권 공격에서는 기존 보안 취약점도 드러났다. 금융당국이 확인한 사례에는 본인 확인 절차 없이 대출 신청 내역 등을 조회할 수 있는 서비스, 모바일 단말기 접근통제가 누락된 직원 업무지원 시스템 등이 포함됐다. 이미 알려진 웹 취약점을 이용해 악성코드를 설치한 뒤 고객정보가 포함된 로그파일을 탈취한 사례도 있었다.
해외에서도 이 같은 위험을 경고하고 있다. 미국 악시오스는 지난 3일(현지시간) AI 에이전트가 새로운 해킹 수법을 개발하지 않더라도 기존 공격을 대량 자동화하는 것만으로 보안체계를 위협할 수 있다고 보도했다. 탈취된 로그인 정보나 외부에 노출된 응용프로그램인터페이스(API) 키를 이용하는 등 이미 알려진 공격도 AI를 통해 대규모로 실행할 수 있다는 것이다.
악시오스에 따르면 오픈AI는 최근 AI에이전트의 사전 배포 시험 과정에서 외부 기관 100곳 이상의 시스템에 접근했을 가능성을 확인하고 관련 기관에 통보했다. AI가 인간의 직접적인 지시 범위를 벗어나 취약한 시스템을 찾아내고 접근할 수 있다는 우려를 보여주는 사례다.
이 같은 상황은 AI 에이전트 활용이 가시화되는 시점부터 예견돼 왔다. 지난해 11월 구글 클라우드 위협 인텔리전스 그룹(GTIG)이 발간한 '2026년 사이버 보안 전망 보고서'는 "AI를 활용하는 공격이 2026년에는 새로운 표준으로 자리 잡을 것"이라고 전망한 바 있다.
과학기술정보통신부와 한국인터넷진흥원(KISA)이 올해 1월 내놓은 '2025년 사이버 위협 동향 및 2026년 사이버 위협 전망' 보고서도 2026년 사이버 위협의 핵심 요소 중 하나로 AI 기반 자동화 공격을 꼽았다. AI를 활용한 보안 취약점 탐지와 권한 탈취가 자동화되고, 개별 취약점을 단순히 공격하는 방식이 아닌 여러 취약점을 종합·연계한 공격이 현실화될 가능성이 높다는 전망이다.
'미토스 쇼크' 이후 빨라진 위협…일각선 신중론도
AI 발 해킹 가능성을 가시화한 계기는 지난 4월 '미토스 쇼크'였다. 미토스는 앤트로픽의 최상위 AI 모델로, 사이버 보안에 특화된 별도 훈련 없이도 에이전틱 코딩과 추론 능력을 기반으로 높은 보안 역량을 발휘하는 것이 특징이다. 복잡한 소프트웨어 설계 구조를 추론해 취약점을 찾아내고 침투 경로까지 설계할 수 있다.
미토스 쇼크 직후 전 세계 금융권에는 비상이 걸렸다. AI가 기존 보안체계를 위협할 수 있다는 우려가 커지면서 금융 인프라 마비 가능성까지 제기됐다. 미국 재무부와 연방준비제도(Fed·연준) 수뇌부는 월가 주요 은행 최고경영자(CEO)들을 긴급 소집해 미토스에 따른 사이버 위험과 금융 방어체계 구축 방안을 논의했다.
지난 6월 미국·영국·캐나다·호주·뉴질랜드 5개국 정보 동맹 '파이브 아이즈'도 AI의 사이버 보안 위협이 수개월 내 현실화될 수 있다며 즉각적인 대응이 필요하다고 촉구했다.
글로벌 금융업계는 이미 AI를 활용한 방어체계 구축에 나섰다. 지난달 29일 로이터에 따르면 글로벌 결제기업 비자는 미토스 등 고성능 AI 모델에서 드러난 보안 취약점과 자율형 AI 공격 위험에 대응하기 위해 자체 AI 사이버 방어체계 일부를 오픈소스로 공개했다.
라자트 타네자 비자 기술부문 사장은 로이터에 향후 사이버 공격이 사람의 직접적인 개입 없이도 지속적으로 학습하고 개선되는 방향으로 진화할 수 있다고 경고했다. 그는 공격자가 AI 에이전트를 활용한다면 방어체계 역시 AI 에이전트를 기반으로 구축해야 한다고 강조했다.
전문가들도 공격 속도가 빨라지면서 방어에 AI를 적극 활용해야 한다고 입을 모은다.
배승권 KISA 취약점관리센터장은 지난달 21일 "취약점 개수가 중요했던 과거와 달리 얼마나 빠르고 정확하게 위험한 취약점을 판별하고 관리하느냐가 관건"이라며 "기존과 같은 속도로 위협에 대응하는 건 어렵다"고 밝혔다.
다만 AI 해킹에 대한 과도한 공포를 경계해야 한다는 목소리도 나온다. 이번 은행권 공격에서 ARTEX 관련 흔적이 발견되면서 중국산 AI 도구의 악용과 중국 출신 해커의 공격 가능성까지 거론되고 있지만, 실제 공격에 AI가 어느 정도 활용됐는지와 공격자의 정체는 별도로 확인해야 할 문제다.
김승주 고려대학교 정보보호대학원 교수는 "지금 필요한 것은 중국산 AI가 공격했다는 식의 성급한 결론이 아니다"며 "AI를 활용한 취약점 분석 도구가 빠른 속도로 대중화되고, 공격자 역시 이러한 도구를 손쉽게 활용할 수 있게 되는 시대에 우리가 어떻게 대응해야 할지를 논의하는 것이 훨씬 중요하다"고 진단했다.
이어 "현재 언론에서 함께 거론되고 있는 은행 관련 사례들 가운데에는 ARTEX나 AI와는 무관한 사례도 섞여 있다"며 "각각의 사건을 구분해서 볼 필요가 있다"고 신중론을 제기했다.
