AI 도구가 한국 은행에 대한 공격을 가속화

2026년 9월 말에서 10월 초 사이에 여러 한국 금융기관이 사이버 공격의 표적이 되었으며, 인공지능이 취약한 시스템을 찾는 속도를 높였습니다. 보안 기업 CrowdStrike는 공격자가 제어한 서버의 파일과 세션 로그를 기반으로 사건 과정을 재구성했습니다. The Decoder와 대만 전문 매체 iThome은 독립적으로 분석 내용을 보도했습니다. 두 출처는 귀속을 신중히 해석해야 한다고 강조합니다. CrowdStrike는 중국어 사용 공격자를 가능성 높게 보고 있지만, 중간 정도의 확신만을 제시하고 이 활동을 알려진 국가나 범죄 조직과 연결짓지 않았습니다.

ARTEX가 취약점 탐색을 자동화

이번 사건의 중심에는 ARTEX라는 오픈소스 침투 테스트 도구가 있습니다. 이 도구는 2026년 7월 GitHub에 공개되었으며 중국에서 개발되었습니다. 프로그램은 기존의 검사 방법을 대형 언어 모델과 결합합니다. 각 대상 주소와 가능한 취약점을 수동으로 조사하는 대신, 운영자는 이를 통해 절차를 자동화하고 기술적 힌트를 평가하며 공격 단계를 준비할 수 있습니다. CrowdStrike에 따르면 ARTEX는 DeepSeek v4.1-flash를 주요 언어 모델로 사용하도록 설정되었습니다. 추가 세션 로그에서는 GLM-5.3과 Grok 4.6이 보조 도구로 나타났습니다.

보안 연구원들의 말에 따르면 발견된 데이터에는 ARTEX 구성 파일, Claude Code 로그 및 저장된 작업 노트가 포함됩니다. 이 자료는 기술적인 작업 단계뿐 아니라 공격자가 텔레그램 그룹에서 도난된 데이터의 마켓플레이스를 찾고 있었음을 보여줍니다. 이러한 흔적은 탈취된 정보가 경제적으로 활용될 가능성을 시사하지만, 실제 판매가 이루어졌다는 증거는 아닙니다. 현재까지 출처는 확인된 구매자나 데이터 세트의 완전한 전달에 대한 문서를 보고하지 않았습니다.

한 은행에서 최소 25,000건의 데이터 유출

특히 신한은행에 대한 정보가 구체적입니다. 한국 신문 Khan은 해당 은행에서 25,000건 이상의 데이터가 유출되었다고 보도했습니다. 유출된 데이터에는 이름, 연락처, 소득 및 신용 한도가 포함되었습니다. 다른 은행들도 영향을 받았다고 전해졌지만, 그들의 이름과 정확한 유출 데이터 수는 현재 보고서에 완전히 공개되지 않았습니다. 따라서 전체 피해 규모나 잠재적인 재정 손실을 신뢰성 있게 추산하기 어렵습니다. 또한 신원 도용, 사기 또는 부정 대출 신청과 같은 파급 효과는 아직 정량화되지 않았습니다.

한국 금융감독원은 사건이 알려진 후 긴급 회의를 소집했습니다. 이재명 대통령은 포괄적인 조사를 요구했습니다. 이러한 반응은 정치적 파장을 보여주지만, 완전한 포렌식 검증을 대체하지는 않습니다. 현재까지 공개된 바에 따르면 모든 공격 대상 기관이 동일한 취약점을 가졌는지, 혹은 ARTEX가 각각 다른 접근 방식을 사용했는지는 확인되지 않았습니다. 또한 공격자가 네트워크에 얼마나 오래 탐지되지 않고 머물렀는지, 어떤 방어 조치가 실패했는지에 대한 정보도 부족합니다.

AI는 속도를 바꾸지만 증거 규칙은 바꾸지 않는다

이 사건은 단일 언어 모델만으로 은행을 침해할 수 있다는 증거가 아닙니다. 오히려 한 운영자가 기존 도구, 공개 모델 및 전통적인 공격 기술을 결합할 수 있음을 보여줍니다. 자동화된 탐색과 기계가 생성한 제안은 알려진 취약점에서 실제 공격으로 가는 경로를 단축합니다. 그러나 결정적인 단계는 여전히 공격자의 기술적 행위에 달려 있습니다. 귀속 판단도 인프라, 언어, 시간 패턴 및 기타 증거에 기반해야 합니다. 사용된 모델이나 중국에서 개발된 도구 자체만으로는 출처나 의뢰자를 증명하지 못합니다.

• CrowdStrike는 공격자를 중간 정도의 확신으로 중국어 사용 환경에 귀속시킵니다
• ARTEX는 여러 언어 모델과 자동화된 보안 테스트를 결합했습니다
• 신한은행에서 25,000건 이상의 데이터가 유출된 것으로 보고되었습니다
• 다른 기관에 대한 피해자 및 손실 규모가 아직 완전하게 보고되지 않았습니다
• 도난된 데이터의 판매는 공개적으로 확인되지 않았습니다

은행에게는 이로 인해 두 가지 과제가 부여됩니다. 공격자가 취약점 탐색을 점점 자동화하고 있기 때문에 알려진 취약점을 더 빠르게 차단해야 합니다. 동시에 비정상적인 조회, 새로운 도구 및 데이터 이동을 기록하여 향후 사건을 신뢰성 있게 재구성할 수 있어야 합니다. 세분화, 다중 인증, 최소 권한 부여 및 대규모 데이터 유출 감시와 같은 전통적인 보안 조치는 AI 때문에 중요성이 감소하지 않습니다. 오히려 공격 준비가 빨라질수록 짧은 대응 시간과 명확한 차단 절차가 더욱 중요해집니다.

이번 캠페인이 실제로 얼마나 광범위했는지는 아직 명확하지 않습니다. CrowdStrike의 분석은 공격자 인프라에서 확보한 자료를 기반으로 하며, 한국 당국이나 다른 보안 업체가 모든 세부 사항을 독립적으로 확인한 내용은 인용된 보고서에 없습니다. 또한 국가나 조직된 그룹과의 연관성도 입증되지 않았습니다. 가장 신뢰할 수 있는 결론은 다음과 같습니다: 공개된 AI 기반 공격 도구가 금융 기관에 대한 실제 침입에 사용되었으며, 최소 한 은행이 민감한 고객 데이터의 대규모 유출을 보고했습니다. 그 외의 사항은 진행 중인 조사에서 밝혀져야 합니다.