"금융권 해킹범, AI로 개인정보 판매처 찾았다"
크라우드스트라이크 보고서 "금전적 이득 노린 정황"
클로드에 한국 유출정보 거래 경로 등 문의
中 거주 26세 추정…금전 목적 공격 가능성
[파이낸셜뉴스] 국내 금융사들을 겨냥한 해킹 공격자가 생성형 인공지능(AI)을 활용해 한국의 유출정보 판매처를 탐색한 정황이 포착됐다. AI 기반 침투테스트 도구로 금융기관을 공격한 데 이어 탈취 정보의 거래 경로까지 AI에 문의한 것이다.
공격자의 신원을 추정할 단서도 발견되면서 금전적 이익을 노린 해킹 가능성에 무게가 실리고 있다.
글로벌 사이버보안 전문기업 크라우드스트라이크는 7일(현지시간) 공개한 분석 보고서에서 국내 금융기관을 공격한 해커의 생성형 AI 사용 기록을 확인한 결과 공격자는 중국에서 개발된 오픈소스 AI 침투 테스트 도구 '아르텍스(ARTEX)'를 활용하는 한편, 생성형 AI '클로드'에 한국의 유출정보가 일반적으로 어디에서 판매되는지 문의했다고 공개했다. 또 AI에 텔레그램 안에서 한국의 데이터 판매 관련 그룹을 찾아달라고 지시했다.
다만 실제 개인정보 판매 시도나 거래가 이뤄졌는지는 확인되지 않았다.
크라우드스트라이크는 공격자가 관리하던 서버의 공개 디렉터리에서 클로드의 코딩 도구인 '클로드 코드'의 대화 기록과 아르텍스 설정 파일 등을 확인했다. 분석 결과 공격자는 홍콩 소재 서버를 주요 공격 인프라로 활용하고 별도 서버에서 아르텍스를 구동한 것으로 나타났다. 아르텍스에는 중국 AI 모델 딥시크를 연결했으며, 추가 작업에는 GLM과 그록 등 여러 대규모언어모델(LLM)을 활용한 것으로 파악됐다.
공격자의 신원을 추정할 단서도 발견됐다. 공격자는 클로드 코드에 아르텍스를 활용한 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청하면서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등을 입력했다.
해당 기록에는 중국 광둥성 마오밍에 거주하는 26세 인물이라는 정보가 포함됐다.
특히 이력서 작성에 사용된 텔레그램 계정은 다른 사이버 공격 관련 기록에서도 발견됐다. 텔레그램 기반 대체불가토큰(NFT) 선물 거래 플랫폼의 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 것으로 추정되는 공격에서도 동일한 계정명이 사용된 것으로 파악됐다. 크라우드스트라이크는 이 같은 정황을 근거로 해당 개인정보가 공격자의 것일 가능성을 제시하면서도 현재 확보된 정보만으로 신원을 확정할 수는 없다고 설명했다.
[email protected] 최혜림 기자
