'AI 에이전트'에 당했다…신한은행 보안 허점 노출(종합2보)
대출모집인 서비스 본인 확인 우회해 무단 접근
신한만 노린 공격은 아닌 듯…"은행권 보안 체계 질적 전환 필요"
(서울=연합뉴스) 한지훈 강수련 기자 = 신한은행이 고객 개인정보를 탈취당하는 과정에 고도의 인공지능(AI) 에이전트가 활용된 것으로 전해졌다.
플랫폼 취약점을 파고드는 AI 기반의 신종 공격에 당한 것으로 드러나면서 금융권 전반의 정보보안 체계를 재점검해야 한다는 목소리가 나온다.
정상혁 신한은행장은 1일 홈페이지에 게시한 사과문에서 "외부의 비인가자가 비정상적인 방법을 통해 일부 서비스에서 고객정보를 유출한 사실을 확인했다"고 밝혔다.
유출된 정보는 일부 고객의 주민등록번호 66건, 연계 정보(CI) 97건을 포함해 고객명, 전화번호, 연 소득, 대출 한도 등이다.
유출 피해 고객은 약 2만5천명에 달한다.
신한은행 대출모집인들은 다른 은행과 달리 모바일 홈페이지 'M 신한'을 통해 자신이 접수한 대출 처리 현황을 간편 조회할 수 있는데, 외부 비인가자가 이 경로를 통해 정상적인 본인 확인 절차를 거치지 않고 무단 접근했다는 게 은행 측 설명이다.
이 모집인 전용 서비스의 '통신 전문 구조'(코드)를 해킹해 침입한 뒤 조회 입력 값을 무작위로 대입해 정보를 호출하고, 그렇게 확보한 고객 번호로 연락처 등 다른 정보를 탈취했다는 것이다.
이를 두고 다른 은행에는 없는 경로를 우회한 해킹 사고로 신한은행의 보안 취약성이 노출됐다는 지적이 제기된다.
금융권 관계자는 "모집인이 대출 처리 현황을 홈페이지에서 조회할 수 있도록 한 시스템은 일반적인 방식이 아니다"라며 "비정상 접근을 원천 차단하는 장치도 마련하지 않은 것 같다"고 말했다.
보안 전문가들은 이번 해킹이 신한은행을 특정해 이뤄진 것은 아니며, 플랫폼 취약점을 노린 AI 기반의 무작위 공격에 신한은행이 노출된 것으로 보고 있다.
신한은행이 내부적으로 AI 전환에 속도를 내온 만큼 은행 안팎의 충격은 한층 클 것으로 보인다.
아울러 다른 금융사도 보안이 취약한 플랫폼에서 비정상 접근을 걸러내지 못한다면 개인정보 유출 사고가 이어질 수 있어 위험성이 크다는 분석이 나온다.
특히 AI 에이전트가 발전하면서 과거와 달리 무작위로 정보값을 대입해 보는 해킹 방식이 확산하고 있다.
보안업계에서는 이번 사고가 최근 대규모 유출사고가 발생한 미용의료정보 플랫폼 강남언니, 온라인 패션 플랫폼 29CM 등의 해킹 사고와 유사한 방식인 것으로 보고 있다.
금융권 관계자는 "금융권 전체가 AI 에이전트의 공격에 취약한 상황"이라며 "이에 대응하기 위한 자체 점검이 시급하다"고 말했다.
금융위원회와 금융감독원은 이날 오전 긴급 대응회의를 소집했으며, 금융보안원이 전날부터 현장에 나가 사고 원인을 조사 중인 것으로 알려졌다.
최종 조사 결과 발표까지는 수 개월 소요될 것으로 보인다. 현재로서는 국내 해커의 소행은 아닌 것으로 추정된다.
신한은행은 비상대책반을 구성하고, 전사적 비상대응체계를 가동 중이다. 외부 IP 차단, 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치도 완료했다고 은행 측은 전했다.
신한은행은 다만, '신한 슈퍼SOL' 등 고객들이 직접 이용하는 애플리케이션과 이번 사고는 무관하다고 강조했다.
은행 관계자는 "이번 사고는 홈페이지 정보 유출로, 정식 인증이 필요한 고객용 뱅킹 앱과는 관련이 없다"고 거듭 선을 그었다.
전문가들은 은행들이 민감한 고객 정보와 재산을 지키기 위해 '패러다임 변화'가 필요하다고 강조한다.
김환국 국민대 정보보안암호수학과 교수는 "정보통신기술(ICT) 기술이 인공지능(AI) 기술로 전환되면서 공격 기술이 진보하는 가운데 현재 은행뿐 아니라 기업들의 보안 체계나 기술이 그 속도를 따라가지 못하는 측면이 있다"고 지적했다.
이어 "양적인 정보보안 인프라는 구축이 됐지만, 질적인 변화도 필요하다"며 "AI 기반의 방어 기술을 구축한다든지 과거보다 더 심도 있는 대응 체계를 마련하는 패러다임 전환이 필요하다"고 강조했다.
주요 시중은행에서 고객 개인정보가 유출된 사고는 올해 들어 벌써 두 번째다.
앞서 우리은행에서는 지난 7월 초 외부 개발업체가 임의 보관하고 있던 개인정보(닉네임·아이디) 1만7천551건이 해당 업체 직원 과실로 유출되는 사고가 발생했다.
hanjh@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>