금융권을 덮친 AI 해킹
지난달 말부터 국내 금융권에서 연쇄 해킹이 이어지면서 피해 기관이 16곳으로 늘었습니다. 신한·KB국민·하나·BNK부산은행 등 4개 은행을 비롯해 저축은행과 캐피탈, 온투업, 전자금융, 가상자산사업자, 상호금융까지 업권을 가리지 않았습니다. 유출된 개인정보는 이름과 연락처, 주민등록번호, 이메일 등 약 10만 건입니다.
계좌 비밀번호나 카드번호처럼 부정 결제에 바로 쓰일 수 있는 정보는 아직 확인되지 않았습니다. 다만 당국은 공유된 IP를 근거로 추가 피해 가능성을 열어두고 있습니다. 산은캐피탈은 지난 12일 고객 848명의 이름과 주민등록번호, 생년월일이 유출됐다고 공지했습니다.
뚫린 이유는 기본의 부재
공격 방식은 새롭지 않습니다. 외부에 노출된 업무지원 서비스와 대출모집 시스템이 출입구가 됐고, 최신 보안 패치 미적용과 24시간 관제 부재가 겹쳤습니다. 금융당국이 555개 금융사를 점검한 결과 130곳에서 미흡 사항이 나왔습니다.
문제는 투자입니다. 5대 은행의 정보보호 예산은 2,281억 원인데 AI 보안 예산은 221억 원으로 전체 IT 예산의 0.9%에 그쳤습니다. 정보보호 투자율도 2023년 73.3%에서 2025년 67%로 떨어졌습니다. 디지털 전환은 빨라졌지만 방어벽을 세우는 속도는 뒤처진 셈입니다.
공격자들은 딥시크 기반 V4.1-플래시, GLM-5.3, 그록 4.6 같은 오픈소스 AI 에이전트로 취약점을 자동으로 찾아냈습니다. 금융보안원은 5주 전 세미나에서 오라클 웹로직 자산을 스캔해 웹쉘을 설치한 사례를 공개하기도 했습니다.
남은 과제
금융당국은 취약점 점검·평가 주기를 연 1회에서 2회 이상으로 늘리고, 위협 정보를 통합관제시스템에 공유하도록 했습니다. 중소형 금융사에는 AI 기반 공동 보안관제 시스템을 지원하고, CEO·CISO·CIO의 책임 범위도 명확히 하기로 했습니다.
탐지와 대응만으로는 충분하지 않다는 지적도 나옵니다. 데이터 자체를 보호하는 암호 기술이 뒷받침돼야 한다는 겁니다. 2001년 표준이 된 AES는 복호화 과정에서 평문이 드러나는 한계가 있고, 동형암호처럼 암호를 풀지 않고 연산·검색하는 기술이 대안으로 꼽힙니다. 이번 대책이 현장에서 얼마나 빠르게 작동할지가 관건입니다.