AI 해킹 자동화, 금융 보안의 기준을 바꾸는 공격 속도
최근 금융권 침해 사고의 핵심은 단순히 피해 금융사가 늘었다는 데 있지 않습니다. 여러 금융사에서 유사한 공격 흔적이 발견되고 AI 도구 활용 가능성까지 제기되면서, 해킹은 숙련된 공격자의 개별 작업에서 빠르게 반복되는 자동화 과정으로 이동하고 있습니다. 이제 금융 보안은 공격을 막는 것뿐 아니라 공격 속도보다 먼저 취약점을 찾아 고치는 체계가 중요해지고 있습니다.
핵심 금융망 밖에서 드러난 공통의 약점
최근 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등에서 침해 사고가 확인되면서 금융권 보안 문제가 한 회사의 사건을 넘어 공통 위험으로 번졌습니다. 금융당국은 여러 사고에서 동일하거나 유사한 공격 흔적을 확인했고, 은행권에서는 같은 공격자의 인터넷주소가 여러 곳에서 발견됐다고 밝혔습니다. 저축은행에서는 공격 인터넷주소가 달랐지만 수법은 비슷한 것으로 파악됐습니다. 공격 대상도 인터넷·모바일뱅킹의 핵심 거래망보다는 직원 업무지원 시스템, 대출모집인 서비스, 외부 웹서비스처럼 외부와 연결된 주변 시스템에 집중됐습니다. 현재까지 핵심 대고객 서비스의 장애나 금전 피해는 확인되지 않았지만, 주변 시스템이 개인정보와 내부 업무에 연결되어 있다는 점에서 위험을 작게 볼 수는 없습니다. 이는 보안이 강한 핵심망만 지키는 방식으로는 충분하지 않다는 점을 보여줍니다. 특히 신한은행 공격에 이용된 것으로 추정되는 서버에서는 오픈소스 자율형 침투테스트 도구인 ARTEX AI 관련 흔적이 발견됐습니다. 다만 이 도구가 실제 공격 과정에서 직접 사용됐는지는 아직 공식적으로 확인되지 않았기 때문에, 현재 단계에서는 ‘AI 해킹이 입증됐다’기보다 ‘AI를 이용한 자동화 공격 가능성이 확인되고 있다’고 보는 편이 정확합니다.
출처: 연합뉴스
성공률보다 무서운 반복 속도의 변화
AI가 사이버 공격에서 갖는 가장 큰 변화는 새로운 해킹 기법을 만들어낸다는 점보다 기존 작업을 빠르게 반복할 수 있게 한다는 데 있습니다. 자율형 침투테스트 도구는 공개된 정보 수집, 취약점 탐색, 공격 경로 설정, 보안 도구 실행과 검증 같은 과정을 연결해 사람이 일일이 수행하던 작업을 상당 부분 자동화할 수 있습니다. 이런 기능이 공격에 악용되면 한 명의 공격자가 더 많은 웹서비스와 계정을 동시에 시험하면서 약한 지점을 찾을 수 있습니다. 중요한 것은 성공률보다 시도 횟수입니다. 자동화는 한 번의 정교한 공격에 모든 자원을 쓰기보다 수많은 시스템을 반복적으로 훑고, 작은 허점이 발견되는 곳에 공격을 집중하는 방식을 현실적으로 만듭니다. 금융위원회도 9월 AI를 활용한 보안 테스트 과정에서 광범위하고 신속한 취약점 탐색 가능성을 확인했다고 밝혔습니다. 이번 금융권 사고가 주목되는 이유도 여기에 있습니다. 개별 금융사의 보안 수준이 높더라도 오래된 외부 서비스, 빠진 인증 절차, 패치되지 않은 취약점 하나가 자동화된 탐색에 반복적으로 노출될 수 있기 때문입니다. 공격 비용과 시간이 낮아질수록 공격자는 실패를 감수하면서 더 많은 표적을 시험할 수 있고, 방어자는 지금까지 우선순위에서 밀렸던 작은 서비스와 예외 경로까지 같은 수준으로 관리해야 하는 구조가 됩니다.
출처: 금융위원회
AI보다 먼저 확인해야 할 기본 보안의 작동
이번 사건에서 눈여겨볼 기준은 ‘AI 공격을 어떤 AI로 막을 것인가’보다 먼저 기본 보안 통제가 실제로 작동했는지입니다. 금융당국에 따르면 비슷한 침입 시도를 받았더라도 다중인증을 적용하거나 알려진 취약점을 미리 조치한 금융사는 실제 침해로 이어지지 않은 사례가 있었습니다. 결국 자동화 공격 시대에도 본인 인증, 접근통제, 외부 노출 자산 파악, 신속한 보안패치 같은 기본 원칙의 중요성은 줄어들지 않습니다. 오히려 공격 속도가 빨라질수록 이런 통제가 빠짐없이 적용됐는지가 더 중요해집니다. 금융감독원은 약 500개 금융사에 공격 인터넷주소와 보안 유의사항을 공유했고, 은행·카드는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 12개 항목의 긴급 점검을 마치도록 했습니다. 동시에 방어 측에서도 AI를 활용해 외부 시스템을 상시 점검하고 이상 징후를 빠르게 분석할 필요가 커지고 있습니다. 금융당국이 망분리 규제를 일부 완화하면서 보안 목적의 AI 활용을 확대하려는 이유도 이 때문입니다. 앞으로 금융사의 보안 경쟁력은 최신 보안 제품을 얼마나 많이 갖췄는지가 아니라, 전체 IT 자산을 얼마나 정확히 파악하고 취약점을 발견한 뒤 실제 조치까지 걸리는 시간을 얼마나 줄이느냐로 평가될 가능성이 큽니다.
더 빨라진 공격이 요구하는 방어 기준
AI 해킹 자동화가 금융 보안에 던지는 질문은 기술의 위력보다 대응 속도에 가깝습니다. 공격자가 더 빠르고 넓게 취약점을 찾을 수 있다면 방어자는 모든 외부 접점을 지속적으로 확인하고 작은 허점도 빠르게 수정해야 합니다. 이번 사건의 의미는 AI가 보안을 무력화했다는 데 있지 않고, 기존 보안 체계의 빈틈을 훨씬 빠르게 찾아낼 수 있는 환경이 시작됐다는 데 있습니다.
