- 은행·저축은행·캐피털 7곳에서 개인정보 6만 8천여 건이 새어 나갔고, AI 해킹 도구가 쓰인 정황이 나왔어요.
- 그런데 실제로 뚫린 자리는 로그인 횟수 제한, 권한 확인 같은 아주 기본적인 문이었어요.
- 같은 공격을 받은 은행 중에는 기본 방어막 덕분에 아무것도 안 새어 나간 곳도 있었어요.
안녕하세요, 제시예요. 은행 앱에서 「내 정보가 유출됐는지 조회하기」 같은 메뉴를 보셨다면, 이번 일 때문이에요. 지난 9월 말부터 국내 금융사 일곱 곳에서 고객 정보가 연달아 새어 나갔어요. 대통령이 국무회의에서 직접 "AI가 쓰인 정황이 있다"고 말할 만큼 큰일이 됐고요. 무슨 일이 있었는지, 그리고 우리가 오늘 챙길 것은 무엇인지 차근차근 정리해 볼게요.
무슨 일이 있었나요
9월 30일 신한은행을 시작으로, 일주일 사이에 여러 금융사가 고객 정보 유출을 알렸어요. 금융당국이 조사해 보니 일곱 곳의 사고에서 같은 공격자의 인터넷 주소가 나왔어요. 한 사람 또는 한 무리가 여러 회사를 차례로 두드렸다는 뜻이에요.
| 금융사 | 알려진 피해 |
|---|---|
| 신한은행 | 대출 관련 정보, 약 2만 5천 명 |
| KB국민은행 | 직원용 업무 시스템을 통해 고객 119명 |
| 하나은행 · BNK부산은행 | 유출 확인, 쓰인 경로는 아직 공개 안 됨 |
| 예가람저축은행 · 웰컴저축은행 · 현대캐피탈 | 유출 확인 |
모두 합치면 6만 8천여 건이에요. 새어 나간 것은 이름, 전화번호, 연 소득, 대출 한도 같은 정보였어요. 신한은행 쪽에서는 주민등록번호 66건도 함께 나갔고요. 지금까지 돈이 빠져나간 피해는 확인되지 않았어요.
AI는 어디에 쓰였나요
여기서 이름이 하나 나와요. 아르텍스(ARTEX)라는 프로그램이에요. 원래는 회사가 자기 시스템의 빈틈을 미리 찾아보는 데 쓰라고 공개된 도구예요. 누구나 내려받을 수 있게 풀려 있어요.
이 도구는 AI 여러 개를 한 팀처럼 움직여요. 한 명은 정보를 모으고, 한 명은 약한 곳을 찾고, 한 명은 어떻게 들어갈지 계획을 짜는 식이에요. 사람이 하나하나 손으로 하던 일을 기계가 밤새 쉬지 않고 대신하는 거예요.
공격자 서버에서 이 도구의 흔적이 발견됐어요. 다만 AI가 이번 공격의 어느 단계를 맡았는지는 아직 확인되지 않았어요. 경찰이 여러 나라와 함께 경로를 쫓고 있어요. 공격에 쓰인 인터넷 주소가 미국, 일본, 베트남 등 여러 나라에 흩어져 있지만, 당국은 주소만 보고 공격자 국적을 짐작하면 안 된다고 했어요. 주소는 얼마든지 남의 나라 것을 빌려 쓸 수 있거든요.
정작 뚫린 것은 기본기였어요
보안 전문가들이 입을 모아 짚는 지점이 여기예요. 수법 자체는 새롭지 않았어요.
먼저 신한은행 쪽 이야기예요. 대출을 모아 오는 상담사들이 쓰는 모바일 서비스가 들어가는 문이 됐어요. 공격자는 다른 사이트에서 이미 새어 나간 아이디와 비밀번호를 잔뜩 구해 와서 하나씩 넣어 봤어요. 이런 방식을 크리덴셜 스터핑이라고 해요. 주운 열쇠 꾸러미를 들고 아파트 현관마다 하나씩 꽂아 보는 것과 같아요. 사람들이 여러 사이트에 같은 비밀번호를 쓰니까, 그중 몇 개는 맞아떨어져요.
보통은 비밀번호를 몇 번 틀리면 잠기잖아요. 그런데 이 서비스에는 그런 제한이 없었던 것으로 보여요. 기계가 밤새 꽂아 봐도 문이 계속 받아 준 거예요.
안에 들어간 다음이 더 아팠어요. 서버는 "이 사람이 이 고객 정보를 볼 자격이 있나"를 따지지 않았어요. 공격자가 요청 속 고객 번호만 바꿔 넣자 다른 사람의 정보가 그대로 나왔어요. 헬스장 사물함 하나의 열쇠를 받았는데, 번호표만 바꿔 달면 옆 사물함도 다 열리는 셈이에요.
보안 쪽에서 이 구멍을 부르는 이름 보기
보안 업계에서는 이런 결함을 「접근 통제 실패」, 영어로 Broken Access Control 이라고 불러요. 로그인은 「당신이 누구인가」를 묻고, 권한 확인은 「당신이 이것을 봐도 되는가」를 묻는데, 뒤엣것이 빠진 거예요. 웹 보안 단체 OWASP 가 꼽는 가장 흔한 웹 취약점 목록에서 맨 위에 오르는 항목이기도 해요. KB국민은행은 직원용 업무 시스템에 비밀번호를 계속 넣어 보는 공격이 의심되고 있어요. 공격이 몰린 곳은 고객이 매일 쓰는 인터넷뱅킹이 아니라 대출 상담 창구, 영업 지원 화면처럼 눈에 덜 띄는 바깥 시스템이었어요.
같은 공격을 막아 낸 은행도 있었어요
이 대목이 이번 일에서 제일 중요해요. 우리은행과 NH농협은행도 같은 공격을 받았어요. 그런데 이 두 곳에서는 정보가 하나도 새어 나가지 않았어요. 본인 인증을 여러 겹으로 걸어 두었고, 침입을 막는 장치가 제대로 움직였거든요.
AI가 공격을 빠르고 끈질기게 만든 것은 맞아요. 대통령도 AI 때문에 "특별한 기술이 없는 사람도 해킹을 쉽게 할 수 있게 됐다"고 걱정했고요. 하지만 AI가 없던 문을 새로 만들어 낸 것은 아니었어요. AI는 원래 잠겨 있지 않던 문을 더 빨리 찾아냈을 뿐이에요.
앞으로 무엇이 바뀌나요
금융감독원은 금융사들에 바깥에서 접속할 수 있는 시스템을 전부 다시 조사하라고 지시했어요. 그동안 눈에 덜 띄던 작은 창구들까지 하나하나 들여다보라는 거예요. 10월 19일 국회 국정감사에는 다섯 개 큰 은행의 은행장이 증인으로 불려 나와 경위를 설명할 예정이에요.
조사가 끝나면 피해 규모가 더 늘어날 수도 있어요. 그러니 지금 숫자는 「현재까지 확인된 것」으로 보는 게 맞아요.
오늘 우리가 할 수 있는 것
이번 공격의 출발점은 다른 곳에서 새어 나간 비밀번호였어요. 그러니 내 쪽에서 막을 수 있는 몫도 분명히 있어요.
- 1비밀번호 돌려쓰기 끊기금융 앱만큼은 다른 사이트와 다른 비밀번호를 써요
- 2유출 여부 조회하기거래하는 금융사 앱의 유출 조회 메뉴를 확인해 보세요
- 3대출 권유 전화 의심하기내 소득과 대출 한도를 아는 전화일수록 끊고 은행에 직접 확인해요
세 번째가 특히 중요해요. 이번에 나간 정보가 소득과 대출 한도라서, 그걸 아는 척하며 접근하는 보이스피싱이 걱정되는 상황이에요. 금융당국도 그래서 소비자 경보를 냈어요. 상대가 내 정보를 정확히 안다고 해서 진짜 은행이라는 뜻은 아니에요.
출처: AFP(France 24, 2026-10-06), The Record(2026-10-06), 보안뉴스(2026-10-02), 주간경향(2026-10-12) 보도. 피해 규모는 금융위원회 집계 기준이며, 조사가 진행 중이라 바뀔 수 있음.
