AI 해킹 도미노, 금융권부터 흔들었다
2026년 10월 금융회사와 기업, 공공기관을 겨냥한 침해 사고가 잇따르면서 보안 체계 전반에 경고음이 커졌습니다. 금융권에서는 AI 기반 침투테스트 도구 아르텍스가 공격에 활용된 정황이 확인됐는데요. 크라우드스트라이크는 한 명의 공격자가 짧은 시간에 여러 조직을 침해할 수 있다고 평가했습니다. 공격 속도와 범위가 커지면서 사후 대응만으로는 버티기 어렵다는 지적이 나옵니다. 마이크로소프트 보고서에 따르면 북한 해킹 조직 8곳 가운데 3곳은 AI를 일상적인 공격 업무에 통합했습니다. 다만 이 활동이 10월 금융권 침해와 직접 연결됐다는 증거는 아직 없습니다.
IP 차단만으로는 부족했던 이유
KB국민은행 사례는 대응의 한계를 보여줍니다. 9월 27일 최초 접근을 확인했지만 일상적인 이상 트래픽으로 판단해 해당 IP만 차단했고, 공격자는 9월 29일 베트남 IP로 우회 접근을 시도했습니다. 초기 징후를 단순 차단으로 넘기면 공격자는 다른 경로로 다시 들어올 수 있다는 겁니다. 정보 공유의 빈틈도 도마에 올랐습니다. 금융당국이 파악한 위협정보는 통합관제시스템으로 전파됐지만, 개별 금융회사가 확보한 의심 접근 정보는 다른 회사와 충분히 공유되지 않았습니다. 금융회사 555곳의 점검에서는 130곳이 보안 관리 미흡 사항을 보고했습니다.
개인과 기업 모두 달라져야 할 때
정부는 금융회사 외부 연결 접점과 접근 권한을 통제하며, AI 취약점 점검과 중소형 금융회사 공동 보안관제도 검토합니다. 개인정보 유출 알림을 받았다면 서비스별 비밀번호를 분리하고 이메일 계정은 2단계 인증으로 강화해야 합니다. AI로 정교해진 피싱 문자와 가족 목소리 사칭 전화는 상대가 알려준 연락처나 링크를 믿지 말고 공식 앱과 홈페이지에서 직접 확인해야 합니다. 보안 시장도 탐지에서 자동 대응으로 옮겨가는 중입니다.