AI 해킹 도구 '아르텍스'와 금융권 유출
2026년 9월, 신한은행과 KB국민은행, 하나은행 등 7개 금융기관에서 AI 기반 해킹 도구 '아르텍스(ARTEX)'를 악용한 공격이 연쇄 발생했습니다. 6만 7천 건의 개인정보가 유출됐고, 주민등록번호와 연계정보(CI) 등 민감한 데이터도 포함됐습니다. 아르텍스는 대형언어모델을 연결해 공격을 수행하는 도구입니다.
공격은 모바일뱅킹이 아닌 대출모집 조회 서비스와 직원용 업무지원 시스템 등 외부 접점을 통해 이뤄졌습니다. 이들 시스템은 자산 관리(ASM) 자동 탐지 범위에서 놓치기 쉬운 영역이었습니다. 금융위원회는 10월 6일부터 1개월간 특별대응기간을 선포하고, KISA는 24시간 비상대응 체계를 가동했습니다.
유통·식품업계로 번진 보안 경각심
금융권 사태는 유통과 식품업계로 확산되고 있습니다. SSG닷컴과 LF는 AI 기반 공격 탐지와 정보보호 투자를 강화했습니다. 스타벅스는 1,500만 리워드 회원의 공격 IP를 차단했고, 해피포인트와 CJ제일제당도 다중인증과 고객정보 암호화에 나섰습니다. 보안 수요 증가로 라온시큐어, 지니언스, 안랩 등 보안주가 급등했습니다. 정부는 보안 평가 대상을 2027년 868개, 2028년 2,160개로 확대하고, 개인정보 유출 제재와 보안 투자 공시 의무를 강화할 방침입니다.
집단소송과 망 분리 완화 시험대
피해자들의 법적 대응도 시작됐습니다. 법무법인은 신한은행을 상대로 집단소송 원고를 모집하며 1인당 1만 원의 참가비와 10%의 성과보수를 제시했습니다. 1인당 청구액은 10만~30만 원으로 예상되며, 소송이 확산되면 다른 금융사로 규모가 커질 가능성이 제기됩니다. 은행들은 전액 보상 방침을 밝혔지만, 피해자들의 불안이 커지고 있습니다.
사고는 정부의 '망 분리 규제 완화' 정책에도 영향을 미치고 있습니다. 금융위원회는 7일 예정됐던 제2차 고성능 AI 활용 보안 테스트 추가 대상 사업자 선정 일정을 연기했습니다. AI 공격 현실화로 망 분리 완화 속도 조절론이 등장했습니다.