금융사 자체 탐지정보는 공유망 밖에…연쇄 해킹이 드러낸 공백

금융위원회의 14일 발표에 따르면, 금융당국이 잡은 해킹 위협은 업계에 전파됐지만, 금융회사 자체 감시에서 잡힌 위협정보는 공유되지 않았다. 연쇄 침해사고 후속대책에서 드러난 방어체계의 빈칸이다. 당국은 회사들이 발견한 정보도 통합관제시스템으로 모으도록 개선하기로 했다.^[1]

해외에서 한국 금융권 사고는 AI 공격의 사례로 주목받았다. 미국 보안매체 더레코드는 6일 한국 당국이 여러 은행 해킹에 AI 에이전트가 사용됐을 가능성을 보고 있다고 전했다. 7일에는 미국 보안업체 크라우드스트라이크가 공격자 측 서버에서 발견한 자료를 공개했다. AI 도구 설정과 대화 기록이 근거였다.^[2][3]

공격 도구의 기록과 금융회사의 빈틈

크라우드스트라이크는 공격자가 관리하던 공개 디렉터리에서 ARTEX라는 AI 침투시험 도구의 설정 파일, Claude Code 세션 기록과 메모리 파일을 발견했다고 밝혔다. 공격자는 AI에 한국 유출정보를 거래하는 경로도 물었다. 업체는 이 자료들을 토대로 AI를 활용한 한국 금융권 공격으로 분석했다. 이제가 공격 서버에 접속하거나 로그의 진위를 직접 감정한 것은 아니다.^[3]

해외 보안업체 쓰렛북의 15일 갱신 분석은 공격이 닿은 장소를 더 구체적으로 설명했다. 대출모집인의 조회 화면, 직원의 모바일 업무지원, 고객 관련 웹페이지처럼 인터넷에 연결된 업무시스템이었다. 이 분석에 따르면 사용자 신원과 접근 권한을 확인하는 빈틈을 이용해 여러 기관의 정보를 반복 조회했다. 돈을 이체하는 화면 바깥에도 고객의 소득과 연락처가 쌓여 있었다.^[4]

금융위 후속 점검에도 보안패치 미적용, 외부시스템의 인증·권한 확인 누락 등이 등장한다. 555개사가 제출한 12개 항목 점검에서 130개사가 미흡사항을 보고했다. 사고가 확인된 16개사와는 별도 집계다. 당국은 모든 외부 연결지점을 목록으로 만들고 접근 권한과 관리 책임을 정리하는 전수점검을 추진한다. 구체적 일정은 협의 대상이다.^[1]

한 회사의 발견을 다음 회사의 방어로

금융위 자료가 보여준 정보 공유의 차이는 분명하다. 감독기관과 금융보안원이 포착한 위협은 통합관제시스템 FIRST 등을 통해 전달됐다. 반면 금융회사 자체 관제에서 파악한 정보는 공유되지 않는 상태였다. 같은 유형의 공격이 여러 회사를 건너갈 때, 앞선 회사의 발견을 뒤의 회사가 활용하도록 연결하는 것이 이번 개선의 핵심이다.^[1]

독자가 맡긴 정보의 위험도 이체 피해에만 한정되지 않는다. 쓰렛북은 실제 소득·대출한도·직장정보가 사칭범의 신뢰를 높이는 재료가 될 수 있다고 설명했다. 공격자가 개인 사정을 알고 접근하면 평범한 대출 권유도 더 그럴듯해진다. 고객정보를 다루는 업무용 조회 서비스의 보안은 이런 2차 위험과 연결된다.^[4]

14일 금융위가 확인한 유출 규모는 약 10만 건이다. 당시 계좌 비밀번호·카드번호 등의 유출은 확인되지 않았고, 사건 사이 연관성과 AI 활용 가능성은 조사 중이었다. 해외 업체가 확보했다는 도구 기록과 당국의 전체 사건 판정은 확인 범위가 다르다.^[1]

외신의 보도와 업체의 증거, 어디까지 확인됐나

더레코드의 6일 기사는 한국 당국의 발언과 국내외 보도를 연결했다. 이 매체가 공격 로그를 직접 확보했다는 보도는 아니었다. 크라우드스트라이크의 7일 보고서는 공격자 측 디렉터리에서 확보했다는 도구 설정과 대화 기록을 제시했다. 같은 사건을 다뤘지만, 앞의 기사는 당국의 판단을 전했고 뒤의 보고서는 기술 분석의 근거를 추가했다.^[2][3]

공격자의 신원에는 아직 빈칸이 있다. 크라우드스트라이크는 중국어 지시문 등을 근거로 중국어 사용자일 가능성을 중간 수준의 확신으로 평가했다. AI에 이력서를 작성해 달라는 요청 속에는 광둥성 거주와 26세라는 정보가 들어 있었지만, 업체는 그 정보와 실제 공격자의 동일성을 확정하지 못했다고 밝혔다. 연합뉴스의 10일 해설도 중국어 사용 흔적과 신원 확인을 구분해 전달했다. 이 대목은 원자료의 한계를 보존한 보도다.^[3][5]

외신 보도와 해외 업체 보고서를 합쳐 ‘금융권 연쇄 해킹의 범인과 수법이 모두 밝혀졌다’고 단정하면 조사보다 앞서게 된다. 금융위는 14일에도 사건들의 연관성과 AI 활용 가능성을 조사 중이라고 밝혔다. 도구 기록은 공격 방식을 추적하는 근거이고, 여러 사고의 전체 관계를 밝히는 일은 별도 조사다. 이번 기사에서 확인된 공백은 금융회사 자체 탐지정보의 공유 구조다.^[1]

이제의 총평

금융회사 자체 탐지정보를 업계 공동 방어에 잇는 통로가 빠져 있었다. 이번 대책의 성패는 새 장비의 이름보다, 한 금융회사가 발견한 위험을 다른 회사가 얼마나 빨리 차단하는지에 달려 있다. 고객 정보를 맡은 회사의 책임은 조회창의 인증, 접근 권한, 발견한 위협의 공유처럼 구체적인 업무에서 시작한다.