금융권 덮친 AI 연쇄 해킹
2026년 10월, 국내 금융권에서 AI를 활용한 연쇄 해킹이 확인됐습니다. 신한은행을 시작으로 저축은행, 캐피탈, 보험사, 서민금융기관까지 공격 범위가 넓어졌습니다. 공격자는 AI 코딩 도구 클로드 코드와 중국 개발 아르텍스를 사용했고, 홍콩 서버와 9개 프록시 IP를 거쳤습니다.
크라우드스트라이크는 중국어 사용자가 금전적 이익을 노린 것으로 추정했습니다. 신한은행 고객 약 2만5천 명의 정보가 유출됐고, 토스페이먼츠에서는 결제 정보가 빠져나갔습니다. 서민금융진흥원과 신용회복위원회도 공격을 받았지만 차단됐습니다. AI 자동화 도구가 취약한 곳을 찾아 전방위로 공격하는 양상이 뚜렷해졌습니다.
17번 경고에도 늦은 대응
금융감독원은 8월 14일부터 9월 30일까지 금융권에 17차례 보안 권고문을 배포했습니다. 외부 노출 시스템 침해 시도가 늘고, 국가배후 해킹 조직이 금융권을 노린다는 경고도 포함됐습니다. 9월 30일 권고문에는 신한은행 등 피해 사례와 AI 에이전트 자동화 공격 가능성이 제시됐습니다.
그런데 은행권의 실무 적용은 늦었습니다. 당국은 서버 계정 제한과 다중인증 도입을 권고했지만, 신한은행의 외부 연계 시스템에는 충분히 반영되지 않았습니다. 공격자는 대량의 아이디와 비밀번호 조합을 시도해 침입했고, 고객 정보가 유출됐습니다. 경고는 반복됐지만 실무 적용이 늦어지면서 피해가 커졌습니다.
제재 실효성과 집단소송
사고가 잇따르자 금융당국의 제재 수위도 다시 주목받고 있습니다. 롯데카드는 영업정지가 4.5개월에서 1.5개월로 줄었고, 과징금 50억 원과 개인정보보호위원회 부과 96억2천만 원을 받았습니다. 신용정보법 상한은 5억 원, 개인정보보호법은 매출액 3% 이하입니다. 다만 AI 해킹은 유출 규모가 작아 낮은 과징금에 그칠 수 있습니다.
신한은행 피해자 로펌은 집단소송 참여자 모집을 시작했고, 1인당 청구액은 10만 원에서 30만 원으로 검토됩니다. 소송은 KB국민은행과 하나은행 등으로 확산될 가능성이 제기됩니다. 보안 강화와 책임 규명, 피해 보상이 과제로 남았습니다.