저자: 딜사이트경제TV · 한국인
요약 보기
2025년 9월 말 신한은행의 고객 정보 유출을 시작으로 KB국민은행, 하나은행, 여러 저축은행과 캐피탈사까지 금융권 해킹 피해가 이어졌다. 10월에는 대신증권, 미래에셋생명, 미래에셋자산운용, 가상자산 거래소 빗썸도 피해 명단에 올랐고, 10월 14일 기준 유출된 고객 정보는 10만 건에 달했다. 이번 공격에는 AI 자동화 도구가 활용된 것으로 추정되며, 핵심 전산망이 아니라 외부에 노출된 서버, 업무용 웹, 사내망 등 외곽 시스템의 취약점이 노려진 것으로 보인다. 또한 바이낸스에서는 약 40억 달러 규모의 가상자산이 탈취됐고, 미국 FBI는 북한 해킹 조직 라자루스의 소행이라고 발표했다. 국내 금융권의 북한 연관성은 아직 확인되지 않았다. 금융당국은 7월과 사고 2주 전 경고를 했지만, 금융사 자체 점검 방식과 보안 관리 미흡(조사 대상 약 23%)이 드러났다. 현행 과징금 상한 50억 원의 한계도 지적되며 관련 법 개정안은 국회에 계류 중이다. 보안주는 급등했지만 실적 연결 여부는 불확실하다. 수사 결과, 후속 점검, 제도 개선, 가상자산 대응을 지켜볼 필요가 있다.
다듬은 글
은행이 털렸습니다. 그런데 이번엔 AI 해킹이 동원됐다고 합니다. 더 이상한 건 금융당국이 이미 이 위험을 경고했었다는 거죠. 경고도 있었고 보안 점검도 했는데 왜 막지 못했을까요? AI가 너무 똑똑해진 걸까요, 아니면 누군가 문을 열어 둔 걸까요? 오늘 생방송 종가쇼에서 까보겠습니다.
금융권 해킹 논란은 9월 30일 신한은행의 고객 정보 유출이 확인되면서 시작됐습니다. 이후 KB국민은행, 하나은행을 비롯해 여러 저축은행과 캐피탈사까지 침해 사실이 확인됐습니다. 10월 4일 금융위원회는 긴급 점검 회의를 열었고, 10월 6일 경찰이 정식으로 수사에 착수했습니다.
사건은 여기서 끝나지 않았습니다. 10월 중순부터 대신증권, 미래에셋생명, 미래에셋자산운용까지 해킹 피해가 확인됐고, 28일에는 가상자산 거래소 빗썸도 피해 명단에 올랐습니다. 한 달 사이에 은행, 증권, 자산운용, 가상자산 거래소까지 20여 개 넘는 금융권에서 해킹 피해가 발견된 거죠. 10월 14일 기준으로만 유출된 고객 정보가 10만 건에 달한다고 합니다.
대형은행 피해도 충격적이지만, 일부 저축은행의 고객 정보 유출 규모가 상당히 컸다는 점도 눈여겨볼 대목입니다. 특정 은행이나 특정 금융업권만의 문제가 아니라 금융업계 전반에 걸쳐 전방위적으로 일어났다는 점이 핵심입니다. 다만 이 모든 사고가 같은 공격 방식, 같은 해커 조직에 의한 것인지는 아직 수사를 통해 밝혀야 할 문제입니다.
고객 정보 유출이 1단계 피해였다면, 이제 고객의 자산이 실제로 털리는 일이 벌어졌습니다. 10월 28일 빗썸에서 산하 그룹의 해킹 사실이 확인됐습니다. 빗썸은 핵심 거래망과 분리되어 있어 고객 자산에는 영향이 없다고 밝혔습니다.
그런데 이틀 뒤, 세계 최대 가상자산 거래소 바이낸스에서 초대형 해킹 사건이 터졌습니다. 인터넷에 연결된 핫월렛에서 약 40억 달러, 우리 돈 약 5조 원 상당의 가상자산이 무단 인출된 겁니다. 가상자산 업계 단일 해킹 사건으로는 사상 최대 규모입니다. 이번 공격에는 엔지니어의 노트북과 거래 승인 시스템의 허점이 이용된 것으로 알려졌습니다.
미국 FBI는 10월 31일 이번 해킹이 북한 해킹 조직 라자루스의 소행이라고 발표했습니다. 그렇다면 국내 금융권 해킹에도 북한이 관련돼 있는 걸까요? 국내 금융권에는 북한 IP를 통한 약 440만 건의 스캔성 접근이 포착됐습니다. 다만 아직 국내 금융권 해킹에 북한의 연관성이 밝혀진 것은 아닙니다.
바이낸스는 피해 자산 전액 보상을 약속했고, 인출된 부족분은 고유자산으로 충당해 고객 피해를 최소화하겠다고 밝혔습니다. 거래도 재개되고 있습니다.
철저한 보안으로 유명한 금융사와 가상자산 거래소가 어떻게 뚫렸을까요? 이번에 주목받은 건 AI를 활용한 자동화 공격입니다. AI가 은행의 핵심 전산망을 장악한 것은 아닙니다. 외부에 노출된 서버나 장치, 접근 경로를 통해 취약점을 찾고, 고객 정보를 반복적으로 조회하고 수집하는 방식이 쓰인 것으로 추정됩니다.
쉽게 말해, 은행 본진을 뚫고 금고를 부순 것이 아니라 뒷문, 옆문, 지하의 작은 문들을 찾아다니다 쉽게 열린 문 하나를 발견한 셈입니다. AI를 활용하면 이런 취약점 탐색과 반복 공격을 빠르고 사실상 무한대로 할 수 있습니다. 이번 사고에서는 중국어 기반 AI 침투 테스트 시스템 '아르텍스'의 사용 가능성도 거론됐습니다. 실제로 쓰였는지는 추가 수사로 밝혀져야 합니다.
그렇다면 어디가 취약했을까요? 핵심은 외부 외곽 시스템입니다. 금융사들은 핵심 전산망을 인터넷과 분리해 운영하지만, 업무용 웹페이지, 직원 사내망, 대리점 접속처럼 외부에 연결된 서버와 시스템은 적지 않습니다. 실제 금융당국의 보안 점검에서도 보안 패치 미적용, 외부 자산 관리 미흡, 다중 인증 부족 등이 확인됐습니다. 결국 AI가 모든 금융 전산망을 한 번에 무너뜨린 것이 아니라, 기존 시스템의 취약점을 찾아내고 그 공격의 속도와 규모를 키운 것입니다.
문제는 금융 감독 당국과 금융사들이 이 위험을 몰랐던 게 아니라는 겁니다. 두 차례 경고가 있었습니다. 첫 번째는 7월, 금융당국과 금융보안원이 AI 자동화 공격에 대한 보안 점검을 당부했습니다. 두 번째는 사고 발생 2주 전, 금융보안원이 금융사 약 80곳에 AI를 활용한 공격 사례를 소개했습니다. 초기 피해가 확인된 일곱 개 금융사 중 무려 다섯 곳이 이 세미나에 참석했던 것으로 확인됐습니다. 위험은 충분히 알렸지만 신속하고 충분한 대비로 이어지지 못했다는 비판이 나옵니다.
보완 점검 결과도 문제입니다. 10월 14일 금융당국이 공개한 결과를 보면, 점검 대상 금융사 500여 곳 중 130곳, 약 23%에서 보안 관리 미흡 사항이 발견됐습니다. 보안 패치, 외부 노출 차단 같은 기본적인 조치가 부족했다는 뜻입니다.
더 큰 문제는 점검 방식입니다. 금융사가 스스로 점검하고 결과를 제출하는 체계였습니다. 자체 점검만으로 제대로 된 점검이 가능한지 의문이 제기되는 대목입니다.
금융당국은 앞으로 보안 점검을 강화하고, 취약점 평가와 현장 점검도 확대하기로 했습니다. 하지만 근본적인 의식 변화도 필요합니다. 현행 전자금융거래법상 해킹 사고에 대한 금융사 과징금 상한은 50억 원에 불과합니다. 이 기준을 바꿔야 한다는 지적이 많습니다. 매출액의 3% 같은 식으로 상한을 높이거나 경영진 책임을 강화하는 법률 개정안이 이미 국회에 올라가 있지만, 2년째 계류 중입니다. 보안 투자가 소홀해 큰 사고로 이어졌는데, 그에 걸맞은 책임을 제대로 묻고 있는지 따져 볼 필요가 있습니다.
금융권 해킹이 확산되자 국내 증시에서는 보안주들이 급등하기도 했습니다. 10월 6일 안랩과 지니언스는 두 자릿수 주가 상승을 기록했고, 센즈랩과 라온시큐어도 상한가를 기록했습니다. 해킹 사고가 보안 투자로 이어질 것이라는 기대감이 반영된 것입니다. 특히 AI 공격이 주목받으면서 AI 위협 탐지, 실시간 보안 관제, 사용자 인증 기술의 수요 확대가 기대된다는 평가입니다. 4분기에는 금융권을 비롯한 주요 기업들이 보안 투자에 신속하게 나설 것이라는 기대도 작용했습니다.
다만 주가 상승이 실적으로 연결될지는 별개의 문제입니다. 회사마다 사업 영역이 다릅니다. 안랩은 보안 플랫폼과 위협 대응, 지니언스는 단말 보안과 제로트러스트, 센즈랩은 AI 기반 위협 분석, 라온시큐어는 인증과 디지털 신원 보안이 주력입니다. 관련 기술이 있다고 해서 수주가 보장되는 것도 아닙니다. 실제로 10월 15일 해킹 사건 이후에는 오히려 보안주의 급등세가 나타나지 않은 날도 있었습니다. 중요한 것은 금융권과 주요 기업의 보안 투자가 실제로 늘어나고, 그것이 보안 회사들의 수주로 이어지느냐입니다.
이번 사고 이후 금융당국은 AI 공격에 맞서 방어에도 AI를 활용하겠다는 방향을 제시했습니다. 하지만 AI 도입만으로 모든 문제가 해결되지는 않습니다.
첫째, 외부에 노출된 시스템을 상시 점검하는 공격 표면 관리를 강화해야 합니다. 보안 패치와 다중 인증 같은 기본 조치도 중요합니다. 둘째, 제로트러스트입니다. 내부 접속이라도 무조건 신뢰하지 않고, 접근 권한을 다층화해 지속적으로 확인해야 합니다. 어느 곳에서든 뚫릴 수 있다는 경각심이 전제입니다. 셋째, AI를 활용한 방어입니다. AI 레드팀으로 모의 공격을 하고 취약점을 선제적으로 찾아내야 합니다. 넷째, 감독 방식의 변화입니다. 금융사의 자체 점검에만 의존하지 말고, 보안 조치 이행 여부를 현장에서 지속적으로 확인해야 합니다. 다섯째, 망 분리 정책입니다. 일각에서는 AI 활용을 위해 망분리 완화가 필요하다는 의견도 있지만, 큰 피해를 막기 위해 망분리는 여전히 필요하다는 입장이 많습니다. 정부도 망분리를 유지하면서 보안 목적의 AI 도입을 유연하게 추진하고 있습니다. 마지막으로 가상자산 거래소는 핫월렛 위험을 줄이고, 임직원 단말 보안을 강화해야 합니다. 해킹 피해에 대한 배상 책임과 보험 제도도 명확히 할 필요가 있습니다.
첫째, 수사 결과입니다. 여러 금융사에 대한 공격이 동일한 공격자에 의한 것인지, 최초 침투 경로는 어땠는지, AI 자동화 도구는 어떤 역할을 했는지 확인해야 합니다. 둘째, 금융당국의 후속 점검입니다. 미흡 사항을 보고한 130여 곳이 실제로 개선 조치를 신속하게 하고 있는지 끝까지 확인해야 합니다. 셋째, 제도 개선입니다. 전자금융거래법 개정안의 조속한 국회 논의, 경영진 보안 책임 강화, 과징금 제도 개편 여부를 지켜봐야 합니다. 넷째, 가상자산 거래소의 대응입니다. 바이낸스 사태에 북한 해킹 조직이 가담했는지, 탈취 자산의 이동 경로와 자금 세탁 과정은 어떤지, 국제 공조로 불법 자금 세탁을 막을 수 있을지 살펴봐야 합니다.
AI가 금융사의 구멍을 찾아냈습니다. 하지만 그 취약한 구멍을 만든 것은 AI가 아닙니다. 위험을 알고도 막아내지 못한 금융사, 점검까지 하고도 사전 대응하지 못한 감독 책임, 바뀌지 못한 제도적 틀. 이번 해킹이 남긴 질문은 하나입니다. 다음 공격이 오기 전에, 지금 우리는 문을 제대로 닫고 있는가?
Comments 0