은행 해킹 (AI에이전트 해킹, 고객정보유출, 금융보안)

은행 앱 비밀번호를 복잡하게 설정하면 안전할까요? 저도 그렇게 믿었습니다. 그런데 2026년 9월 말부터 10월 초, KB국민·신한·하나·BNK부산은행에서 동시다발적으로 고객 개인정보가 유출됐습니다. 공통된 정황은 AI 에이전트를 활용한 자동화 해킹. 고객이 접근조차 할 수 없는 내부 업무시스템이 뚫렸다는 사실이 가장 신경 쓰였습니다.

 

AI 에이전트 해킹, 실제로 어떻게 벌어졌나

보안이 가장 철저하다고 여겨지는 곳이 은행인데, 왜 이번에는 막지 못했을까요. 사고 경위를 들여다보면 기존 해킹과 결이 다르다는 게 보입니다.

국민은행은 9월 30일 늦은 오후, 직원용 모바일 업무지원 시스템에 비정상적인 외부 접근이 발생해 고객 119명의 정보가 유출됐습니다. 하나은행도 같은 날 영업지원 시스템(ODS)이 뚫려 89명의 고객 정보가 빠져나갔습니다. 여기서 ODS란 은행 영업점 직원들이 고객 상담과 계좌 관리에 활용하는 내부 운영 데이터 시스템을 말합니다. 일반 고객이 쓰는 앱과는 별개의 시스템입니다.

신한은행에서는 대출모집인용 모바일 홈페이지 'M신한'이 9월 28일부터 공격받기 시작했습니다. 은행이 접근을 차단할 때마다 공격자는 다른 취약점을 찾아 사흘에 걸쳐 공격을 이어갔고, 결국 고객 2만 5천729명의 정보가 유출됐습니다. BNK부산은행도 10월 1일 오후 9시경 직원용 모바일 영업지원 시스템에서 외주 개발 직원 11명의 이름·주소 등 민감 정보가 노출됐습니다.

실제 유출로 이어지지는 않았지만 우리은행과 NH농협은행에서도 비슷한 공격 시도가 포착됐습니다. 우리은행은 9월 29일부터 사흘 연속 해킹 시도를 확인했다고 밝혔습니다. 제가 이 부분에서 가장 불안했던 건 '동시성'이었습니다. 서로 다른 시스템을 가진 여러 은행이 같은 기간, 비슷한 방식으로 공격받았다는 점은 우연으로 보기 어렵습니다.

 

이번 사고에서 보안업계가 주목하는 핵심은 AI 에이전트의 활용입니다. AI 에이전트란 사람이 일일이 명령을 내리지 않아도 스스로 상황을 판단하고 다음 행동을 결정하는 자율형 AI 프로그램을 말합니다. 해킹에 이 기술이 결합되면 공격의 차원이 완전히 달라집니다.

기존 해킹 방식에서는 해커가 직접 시스템을 분석하고, 취약점을 찾아 공격 경로를 설계했습니다. 시간도 많이 걸리고 한 사람이 동시에 여러 곳을 공략하기 어려웠습니다. 반면 AI를 이용하면 취약점 탐색부터 공격 경로 변경까지 상당 부분 자동화됩니다. 한 경로가 막히면 즉시 다른 경로를 탐색하고, 동시에 여러 금융회사를 대상으로 공격을 퍼붓는 것도 가능해집니다.

보안업계 관계자에 따르면 이번 공격에 사용된 웹서버 일부에서 중국어 문자열이 확인됐고, AI 기반 침투 테스트 도구인 아텍스(ARTEX)의 운영 가능성이 제기됐습니다. 여기서 아텍스란 단순히 공격 방법을 안내하는 데 그치지 않고, 실행 결과를 스스로 분석해 다음 공격까지 자율적으로 결정하는 자동화 침투 도구입니다. 쉽게 말해 공격자가 명령 한 번만 내리면 AI가 알아서 빈틈을 찾아다니며 뚫는 방식입니다.

신한은행 사례가 이 점을 잘 보여줍니다. 은행이 첫 번째 경로를 차단하자 공격자는 즉시 다른 취약점을 찾아 재공격했고, 이 과정이 사흘 동안 반복됐습니다. 사람이 실시간으로 이 속도를 유지하기는 어렵습니다. 제가 이 부분을 읽으면서 든 생각은 '이건 사람과 AI의 속도 싸움'이라는 것이었습니다. 방어 측은 사람이 판단해서 막는데, 공격 측은 AI가 쉬지 않고 다음 구멍을 찾는 구조라면 결과는 뻔합니다.

 AI 에이전트는 취약점 탐색·경로 변경·동시 다발 공격을 자동화해, 사람 중심의 기존 방어 체계를 속도에서 압도할 수 있습니다.

 

고객정보유출, 왜 앱 비밀번호 바꾼다고 끝이 아닌가

뉴스를 접한 뒤 저도 습관적으로 은행 앱부터 열어서 비밀번호를 바꿨습니다. 그런데 잠시 생각해 보니 이번 사고와 제 행동 사이에는 간극이 있었습니다. 이번에 뚫린 건 고객이 직접 접근하는 앱이 아니라 직원용 업무지원 시스템, 대출모집인용 시스템, 외주 개발자 계정 등이었습니다. 고객이 아무리 본인 계정을 철저하게 관리해도, 은행 내부 시스템 어딘가에 인증 절차가 허술한 곳이 있다면 개인정보는 빠져나갈 수 있습니다.

금융위원회는 사고 직후인 10월 2일 은행·카드사 등을 긴급 소집해 공격에 사용된 IP 주소, 공격 수법, 침해 시도 내역 등 위협 정보를 공유했습니다(출처: 금융위원회). 또한 개인정보를 조회하는 과정에서 인증 절차가 미흡한 시스템이 없는지 전면 점검하도록 주문했습니다. 여기서 인증 절차란 시스템에 접근하는 사용자가 실제 권한을 가진 사람인지 확인하는 과정으로, 아이디·비밀번호 외에 2차 인증, 접근 IP 제한 등이 포함됩니다.

 평소에 은행 앱에서 공인인증이니 생체인증이니 몇 단계를 거쳐야 한다고 불편하다 생각했는데, 정작 뚫린 곳은 그 화려한 인증 체계 바깥에 있는 내부망이었습니다. 소비자가 직접 경험하는 보안 절차와, 은행이 실제로 관리해야 할 보안 영역 사이에 거리가 꽤 있다는 걸 이번에 실감했습니다.

한 가지 현실적으로 주의할 것은 있습니다. 이번처럼 개인정보 유출 사고가 생기면 어김없이 "고객님의 정보 확인이 필요합니다"라는 형태의 보이스피싱과 스미싱이 따라옵니다. 유출된 이름·주소·연락처는 사기 문자와 전화를 더 그럴듯하게 만드는 재료가 됩니다. 저도 앞으로 은행 명의의 문자나 전화는 일단 공식 채널로 다시 확인하는 습관을 들이기로 했습니다.

이번 유출은 고객 접근 앱이 아닌 내부 업무시스템에서 발생해, 고객 개인의 보안 조치만으로는 예방할 수 없는 구조적 문제입니다.

 

금융보안, 이제 사후 차단이 아닌 선제 대응이 필요한 이유

이번 사고를 보면서 가장 아쉬웠던 점은 사고가 터진 뒤 차단하는 방식의 한계가 이미 드러났는데도, 얼마나 빠르게 구조가 바뀔 수 있을지 불투명하다는 것입니다.

현재 금융권의 일반적인 보안 구조는 침입 탐지 시스템(IDS)과 침입 방지 시스템(IPS)을 중심으로 이상 징후를 감지한 뒤 차단하는 방식입니다. 여기서 IDS란 네트워크나 시스템에 들어오는 트래픽을 분석해 비정상적인 접근을 감지하는 장치를 말하고, IPS는 탐지에서 한 발 더 나아가 공격을 자동으로 차단하는 시스템입니다. 문제는 AI가 사람보다 훨씬 빠르게 새로운 공격 경로를 찾는다는 점입니다. 기존 IDS·IPS는 알려진 공격 패턴을 기반으로 작동하는 경우가 많아, AI가 만들어내는 새로운 변형 공격에는 반응이 느릴 수 있습니다.

보안 전문가들 사이에서는 이제 금융회사도 AI를 활용한 선제적 취약점 탐색, 즉 레드팀(Red Team) 자동화 방식을 도입해야 한다는 목소리가 나옵니다. 레드팀이란 내부에서 해커 역할을 맡아 스스로 시스템의 허점을 찾는 모의 공격 팀을 의미합니다. 공격자가 AI로 빈틈을 찾는 속도에 맞서려면 방어 측도 AI를 써서 먼저 약점을 발견하고 메워야 한다는 논리입니다(출처: 한국인터넷진흥원(KISA)).

솔직히 이건 예상 밖이었습니다. 제가 불편하게 느꼈던 공인인증, 생체인증, OTP 같은 절차들이 사실 가장 안전한 구간이고, 정작 낡은 내부 시스템이나 외부 연결망이 더 취약한 고리였다는 점이 그렇습니다. 새로운 서비스를 빠르게 출시하는 데 집중하는 만큼, 오래된 시스템과 외주 연결망을 주기적으로 점검하는 데도 비용과 인력을 써야 합니다. 개인정보는 유출되는 순간 보이스피싱과 금융사기의 원재료가 됩니다. 보안은 비용이 아니라 고객의 돈과 신뢰를 맡기 위해 반드시 지불해야 하는 가격이라고 생각합니다.

 

 

자주 묻는 질문

Q. 이번 은행 해킹으로 제 계좌 돈이 빠져나갈 수도 있나요?

A. 이번에 유출된 정보는 이름, 주소, 연락처 등 개인 식별 정보가 중심이며, 계좌번호나 비밀번호가 직접 유출됐다는 발표는 현재까지 없습니다. 다만 유출된 개인정보는 보이스피싱이나 스미싱의 재료가 될 수 있어, 금융기관을 사칭하는 연락에는 각별히 주의해야 합니다. 특히 "정보 유출 피해 확인"을 빌미로 접근하는 전화나 문자는 공식 앱이나 고객센터를 통해 직접 확인하시기 바랍니다.

 

Q. AI 에이전트 해킹은 일반 해킹과 뭐가 다른 건가요?

A. 기존 해킹은 해커가 직접 시스템을 분석하고 공격 경로를 설계해야 해서 시간이 걸리고 동시 공략에 한계가 있었습니다. AI 에이전트 해킹은 취약점 탐색과 공격 경로 변경을 자동화해, 한 경로가 막히면 즉시 다음 경로를 찾아 재공격합니다. 신한은행 사례처럼 사흘 동안 쉬지 않고 공격을 이어가는 것이 가능한 이유가 여기에 있습니다.

 

Q. 개인이 할 수 있는 대응 방법이 있나요?

A. 이번 사고의 근본 원인은 은행 내부 시스템 취약점이라 고객이 직접 막을 수 있는 영역은 제한적입니다. 다만 사고 이후 2차 피해를 줄이기 위해 금융기관 사칭 연락을 의심하고, 금융결제원의 '계좌정보통합관리서비스'를 통해 본인 명의 계좌와 대출을 주기적으로 확인하는 습관이 도움이 됩니다. 모르는 번호로 오는 링크는 클릭하지 않는 것이 가장 기본적인 방어입니다.

 

Q. 이번 해킹에 중국이 관여했다는 게 사실인가요?

A. 보안업계 일부에서 공격에 사용된 웹서버에서 중국어 문자열과 AI 자율 침투 도구 아텍스(ARTEX) 운영 정황이 확인됐다고 밝혔습니다. 다만 이것이 중국 정부나 특정 조직의 소행이라는 공식 확인은 아직 이루어지지 않았습니다. 사이버 공격은 IP 우회와 가상 서버 활용이 일반적이라, 출처 확인에는 상당한 시간과 수사가 필요합니다.

 

마무리
제가 이번 사고에서 얻은 가장 큰 교훈은 '은행 보안은 고객이 보는 화면 바깥에서도 작동해야 한다'는 것입니다. 고객용 앱의 인증 절차가 아무리 복잡해도, 직원용 내부 시스템이나 외주 연결망에 허점이 있으면 그게 전부 무너질 수 있습니다. 이번 사고에서 정보가 유출된 경로가 전부 내부 업무 시스템이었다는 점이 그 방증입니다.

정치권도 이달 국정감사에서 이 문제를 정면으로 다룰 예정이고, 금융위원회도 긴급 점검에 나선 상황입니다. 제도적 압박이 실제 보안 투자로 이어지길 기대합니다. 소비자 입장에서는 당장 이번 사고를 빌미로 접근하는 보이스피싱·스미싱을 주의하고, 금융결제원 계좌정보통합관리서비스를 한 번 확인해 보는 것이 현실적인 다음 단계라고 생각합니다.

 

참고: https://n.news.naver.com/mnews/article/020/0003752468?sid=101