1월부터 두드린 문, 늦게 울린 경보
금융권을 겨냥한 인공지능(AI) 해킹 공격이 올해 초부터 이어졌다는 사실이 뒤늦게 드러났습니다. 금융감독원은 공격에 동원된 IP 28개를 특정해 전 금융권에 공유했는데요. 미국과 일본, 홍콩 등 12개국에 흩어진 주소지만 해외 서버를 거친 탓에 실제 공격자 위치로 단정하기는 어렵습니다.
문제는 경보가 제때 울리지 않았다는 점입니다. 토스뱅크와 카카오뱅크, 케이뱅크는 1월부터 접근 시도를 탐지해 차단했고 유출도 없었습니다. 하지만 이 흔적이 금융권 전체에 공유되지 않으면서, 신한은행에서 2만5천 명의 고객 정보가 빠져나간 뒤에야 대응이 본격화됐습니다.
드러난 건 부가 시스템의 허점
해커들이 노린 곳은 본진이 아니라 주변부였습니다. 대출모집인 조회 서비스나 임직원용 업무지원 시스템처럼 외부에 노출된 부가 시스템이 주요 침입 경로가 됐는데요. 일부 은행은 본인 확인만으로 관리자 프로그램에 접근할 수 있었고, 인증서 같은 추가 절차가 없어 권한 통제가 허술했다는 지적이 나옵니다.
앱 중심인 인터넷은행은 외부 접점이 적어 방어가 수월했지만, 지점과 대리점 등 인프라가 많은 대형은행은 공격 포인트가 그만큼 넓었습니다. 웰컴저축은행과 현대캐피탈은 사고 닷새 뒤에야 침해를 인지했고, 신한은행은 이상 징후 감지에만 15시간이 걸렸습니다.
금융보안원은 7월 AI 보안 위협 대응 요령을 배포했지만, 현장 이행은 미흡했다는 평가가 나옵니다.
수사 주체부터 따져야 하는 상황
경찰은 사건을 정보통신망법 위반으로 입건하고 28명 규모의 전담 수사팀을 꾸렸습니다. 다만 새로 출범한 중대범죄수사청과의 관할 문제가 얽혀 금융위원회에 유권해석을 요청한 상태입니다. 수사 시작부터 주체를 가리는 사이 골든타임이 흐를 수 있다는 우려가 나옵니다.
이재명 대통령은 국무회의에서 사전 탐지와 선제 차단 역량을 강화하라고 주문했고, 한성숙 국무총리는 금융권을 넘어 산업계와 공공 부문 확산 위험을 경고했습니다.
2025년 사이버범죄는 36만 건을 넘어 3년 전보다 60% 가까이 늘었지만, 해킹과 디도스 같은 침해 범죄 검거율은 26.5%에 그쳤습니다. 금융당국은 한 달간 2차 피해 특별 대응 기간을 운영하며 대출 사기와 보이스피싱 경계에 나섰습니다.