외부 창구가 뚫렸다
지난 10월 1일 신한은행에서 시작된 개인정보 유출 사고는 금융권 전체를 흔들었습니다. 대출모집용 모바일 조회 서비스에서 본인확인 절차를 건너뛴 접근으로 약 2만5천 명의 고객정보가 빠져나갔고, 주민등록번호 66건과 CI 97건도 포함됐습니다. KB국민은행 119명, 하나은행 89명, BNK부산은행 11명의 정보 역시 외부 창구를 통해 유출됐죠.
공통점은 핵심 거래 시스템이 아니라 외부 접점이 뚫렸다는 겁니다. 정기 보안점검에서 빠져 있던 조회·업무 창구가 공격 경로가 된 겁니다. 금융감독원은 공격 IP 28개를 전 금융권에 전파하고 8일까지 외부 노출 IT 자산의 인증·인가·검증 기능을 점검하라고 요청했습니다.
AI가 두뇌가 된 공격 도구
이번 사건에서 눈에 띄는 건 공격에 활용된 AI 침투 도구 아르텍스(ARTEX)입니다. 딥시크, 오픈AI, 앤트로픽 등 대형언어모델을 두뇌로 연결해 공격 목표 분석부터 침투 경로 계획, 명령 실행까지 자율적으로 수행하는 구조입니다. 플래너가 방향을 정하고 워커가 명령을 실행하는 다중 에이전트 방식으로, 사람이 개입하지 않아도 스스로 취약점을 축적하며 공격을 이어갑니다.
경찰은 해킹에 쓰인 28개 IP 대부분이 흔적을 숨기기 위한 세탁용 주소임을 확인했습니다. IP는 미국과 일본, 홍콩 등에서 유래했지만 위조 가능성도 제기됩니다. 경찰은 사이버테러수사대에 4개 팀 28명을 투입해 국제공조로 경로를 추적 중입니다. AI 모델의 출처와 연결 시스템, 실행 권한을 함께 통제해야 한다는 지적이 나오는 이유입니다.
보상과 소송, 그리고 2차 피해
신한은행 정상혁 행장은 사과문을 내고 전액 보상하겠다고 밝혔지만, 구체적 절차가 미정이라 피해자들의 불만이 이어지고 있습니다. 법무법인 세담은 1인당 10만~30만 원을 청구하는 집단소송 원고를 모집 중입니다. 손해 입증 없이 침해 사실만으로 배상이 인정될 수 있다는 점이 소송 확산의 배경입니다.
2차 피해 우려도 커지고 있습니다. 한국인터넷진흥원은 개인정보 유출 보상금을 사칭한 스미싱 주의보를 발령했고, 금융당국은 소비자경보 주의 단계를 내리고 한 달간 특별 대응 기간을 운영합니다. 웰컴저축은행과 현대캐피탈은 공격 IP 정보를 받고 나서야 사고를 인지하는 등 늦은 대응도 도마에 올랐습니다.