인공지능(AI)을 활용한 해킹이 은행·저축은행·캐피탈 등 금융권 7곳을 덮쳤다.
정부와 수사 당국이 긴급 대응에 나섰지만, 금융회사의 정보보호 책임을 강화하기 위한 법안은 수개월째 국회에 묶여 있어 제도적 공백 우려가 커지고 있다.
ADVERTISEMENT
현재까지 침해 사고가 확인된 금융회사는 은행 4곳, 저축은행 2곳, 캐피탈 1곳 등 모두 7곳이다. 신한은행에서는 고객 2만 5천여 명의 개인정보가 유출됐고, KB국민은행·하나은행·부산은행에서도 정보 유출이 확인됐다.
예가람·웰컴저축은행과 현대캐피탈 등 2금융권도 공격 대상이 됐으며, 온라인투자연계금융업체 2곳은 현재 침해 여부를 확인 중이다.
ADVERTISEMENT
유출 정보에는 성명·전화번호·주민등록번호 같은 기본 개인정보뿐 아니라 연소득·대출 한도·직장명 등 민감한 금융거래 정보까지 포함됐다. 신한은행 공격에 쓰인 미국 IP 2개는 올해 초부터 토스뱅크 서버에도 14차례 접근을 시도한 것으로 확인됐다. 토스뱅크가 이를 차단해 실제 유출로 이어지지는 않았지만, 특정 금융사 한 곳이 아닌 여러 곳의 취약점을 광범위하게 탐색해 온 정황이다.
피해는 금융권에 그치지 않는다. 한국전력에서는 직원 약 2만 4천 명의 개인정보가 유출됐고, 일부 대학에서도 피해가 발생했다. 다만 이들 사례에서 AI 활용 공격 정황은 아직 확인되지 않았다.
● 해커가 걷기라면 AI는 '페라리급' 속도…선제 방어가 과제
경찰청 국가수사본부는 이번 사건을 정식 수사로 전환하고 28명 규모의 전담 수사팀을 꾸렸다. 금융당국은 공격에 활용된 IP를 추적해 관련 정보를 금융권에 공유하고, 8일까지 자체 보안 점검과 미흡 사항 조치를 마치도록 했다. 해킹에 사용된 IP 주소는 33개로, 미국·일본·홍콩·싱가포르 등 12개국에 걸쳐 있는 것으로 전해졌다.
이번 해킹이 특히 주목받는 이유는 AI 도구를 활용해 공격을 자동화한 정황이 포착됐기 때문이다. 기존에는 해커가 직접 시스템을 탐색해 취약점을 찾아야 했지만, AI를 활용하면 여러 기관을 동시에 탐색·공격하는 것이 가능해진다. 금융회사들이 인터넷·모바일뱅킹 같은 핵심 시스템은 비교적 철저히 관리했지만, 대출모집인용 조회 서비스나 임직원 업무 시스템 등 외부 노출 부가 시스템은 관리가 느슨했던 점이 공격의 틈을 제공한 것으로 분석된다.
ADVERTISEMENT
제도적 대응은 기술 속도를 따라가지 못하고 있다. 지난해 롯데카드 정보 유출 사고를 계기로 발의된 전자금융거래법 개정안은 금융회사 보안을 경영진의 책임으로 끌어올리는 게 골자지만, 지난해 11월 발의 이후 3월 국회 정무위원회에 상정된 뒤 추가 논의가 한 차례도 이뤄지지 않았다.
임종인 고려대 정보보호대학원 교수는 "사람이 막는 것은 한계가 있고, AI는 AI로 막아야 한다"며 "AI 기술 발전에 비례해서 내부 통제와 보안 기술을 계속 발전시켜 나가야 한다"고 강조했다. 해킹 사고 이후 책임을 묻는 사후 규제를 넘어, AI로 취약점을 선제적으로 찾아 차단하는 방어 체계를 갖추는 것이 핵심 과제로 떠오르고 있다.
ADVERTISEMENT
ADVERTISEMENT