AI가 금융사 보안망을 뚫고 들어온 방법과 뜻밖의 실책들
N
nuuthang
광고
이전 글과 다음 글
현재 글을 기준으로 앞뒤 글을 바로 이동해서 볼 수 있습니다.
Loading Services...
현재 글을 기준으로 앞뒤 글을 바로 이동해서 볼 수 있습니다.
연간 보안 예산으로만 수천억 원을 쓰는 대형 은행들이 AI 공격 앞에 속수무책으로 무너졌다. 해커가 직접 코드를 분석하는 게 아니라, AI 에이전트에게 공격 명령을 내리자 AI가 쉬지 않고 취약점을 찾아내 문을 열어버린 것이다. 보안 등급이 최고 수준이었던 곳들까지 휩쓸린 이번 사태는 금융 보안의 패러다임이 완전히 바뀌었음을 보여준다.
피해를 입은 곳들은 금융당국 평가에서 6년 연속 최고 등급을 받을 만큼 보안에 공을 들여온 곳들이다. 하지만 해커는 메인 서버가 아닌 관리 사각지대를 노렸다. AI는 인간 해커가 할 수 없는 속도로 수만 번의 공격을 반복하며, 상대적으로 허술한 직원용 모바일 업무 시스템이나 대출모집인 전용 서비스 같은 틈새를 찾아냈다.
사람 해커가 아닌 AI와 보안 전쟁을 벌이게 된 첫 현실화 사례다.
공격은 9월 말 신한은행을 시작으로 주요 시중은행을 먼저 타격했다. 이어 10월 초 연휴 기간에는 현대캐피탈, 예람저축은행, 새마을금고, OK저축은행 등 제2금융권으로 피해가 확산되었다. 보안이 상대적으로 취약한 곳들이 추가로 침해를 당하며 정보 유출 사고가 잇따랐다.
| 구분 | 주요 내용 |
|---|---|
| 주요 피해 금융사 | 신한은행, 현대캐피탈, 새마을금고, OK저축은행 등 |
| 당국 점검 결과 | 130여 개 금융사 보안 관리 미흡 |
| 주요 취약점 | 외부 노출 자산 및 기초적인 접근 통제 미비 |
이번 사태로 금융당국의 대응 방식도 크게 달라진다. 사이버 보안 사고와 관련해 최고경영자(CEO)에게 내부통제 기준 관리 의무 위반 책임을 묻는 방안이 추진된다. 경영진의 책임을 대폭 강화하겠다는 의지다. 또한, 보안 공백을 막기 위해 추진하던 망분리 규제 완화 조치는 사태가 완전히 수습될 때까지 잠정 유예하기로 했다.
아이러니하게도 이번 해킹을 주도한 것으로 추정되는 인물은 기술이 아닌 인간적인 실수로 꼬리가 잡혔다. 중국계 AI 모델을 사용하는 과정에서, 해킹 명령을 내리는 와중에 정작 본인의 이력서 작성을 요청하며 개인정보를 입력창에 그대로 노출한 것이다. 기술은 최첨단이었지만, 결국 인간의 허점이 결정적인 단서가 되었다.
과거에도 비슷한 황당한 사례는 있었다. 2016년 방글라데시 중앙은행 해킹 당시, 해커가 재단(Foundation)의 철자를 틀려 1조 원 규모의 송금이 막히기도 했고, 유령 계좌가 위치한 거리 이름이 경제 제재 대상 단어와 같아 경보가 울린 적도 있다. 이번 사태 역시 기술의 진보와 인간의 실수가 뒤섞인 복잡한 양상을 띠고 있다.
