연쇄 해킹에 화들짝···'금융 CEO' 소집한 이억원 "AI 공격은 AI로 방어"(종합)

동일 IP로 금융사 연쇄 공격···AI 도구 활용한 것으로 추정보안 취약한 부가시스템·외부 웹서비스 공략해 정보 유출

이억원 금융위원장이 4일 오후 서울 종로구 정부서울청사에서 열린 '최근 침해위협 대응 전금융권 긴급 점검회의'에서 모두발언을 하고있다. 사진=이수길 기자

금융당국이 최근 발생한 '연쇄 해킹' 사태와 관련해 피해 은행장은 물론 전(全) 금융권 관계자를 긴급히 소집해 이야기를 나눴다. 당국은 동일한 공격자가 IP를 변경하며 인공지능(AI) 도구를 활용해 '보안 사각지대'를 노린 것으로 파악하고, 금명간 금융권 보안 취약점 점검을 강화하는 한편 AI 공격에는 AI로 방어할 수 있는 보안체계 마련에 힘써 달라고 주문했다.

금융위원회는 4일 금융감독원과 함께 서울 종로구 정부서울청사에서 '금융권 사이버 침해위협 대응을 위한 긴급 점검회의'를 개최했다. 당초 연휴가 지난 오는 6일 회의를 열 계획이었으나 금융회사의 해킹 피해 사례가 속출하자 일정을 이틀 앞당긴 것이다.

이날 회의에는 이억원 금융위원장과 이찬진 금융감독원장을 비롯해 전체 금융업권별 협회장, 그리고 최근 침해사고가 발생한 금융회사 최고경영자(CEO)들이 참석했다. 약 1시간가량 진행된 이번 회의에서 당국은 침해사고 현황과 공격 수법을 공유하고 추가 피해 방지를 위한 금융회사별 대응 상황을 점검했다.

당국에 따르면 지난달 30일부터 이달 3일까지 신한·국민·부산·하나은행과 예가람·웰컴저축은행, 현대캐피탈 등 총 7개 금융회사에서 침해사고가 발생했다. 피해는 인터넷·모바일뱅킹 등 대고객 서비스보다 직원이나 대출모집인 등이 사용하는 부가시스템에서 주로 발생했으며, 금전 피해는 확인되지 않았다.

당국은 동일 공격자 IP가 다수의 금융회사 로그에서 발견된 점에서 이번 사이버 공격은 동일범의 소행일 것으로 추정했다. 박상원 금융보안원장은 "(신한은행 등) 4개 은행은 공격 IP가 거의 동일하고, 저축은행은 IP가 조금 다른 것으로 알고 있다"면서도 "다만 수법은 약간 비슷하다"고 말했다.

사이버 공격 피해는 주로 보안이 상대적으로 미흡한 메인시스템이 아닌 직원이나 대출모집인용 부가시스템에서 발생했다. 일례로 한 금융회사는 본인 확인(휴대폰인증 등)을 거치지 않고도 대출신청내역, 기업대표정보 등을 조회할 수 있도록 잘못 개발한 것으로 나타났다. 해커가 기존에 알려진 보안취약점을 악용해 서버에 악성코드를 심고 로그파일(고객정보 포함)을 탈취한 경우도 있었다.

당국은 이번 공격이 자동화된 AI 도구를 활용한 것으로 추정하고 있다. 박 금보원장은 "동일 공격자 IP가 여러 곳에서 발견된다"면서 "확정된 것은 아니지만 수법이나 여러 정황을 봤을 때 AI를 활용한 것으로 보인다"고 말했다. 앞서 신한은행 공격에 이용된 것으로 추정되는 외부 웹서버의 일부 페이지에서 'AI 자율 침투 테스트 콘솔'이라는 중국어 문구와 중국 오픈소스 AI 모델인 '아르텍스'(ARTEX) 관련 흔적이 발견되기도 했다.

당국은 다소 보안이 취약할 수 있는 금융회사의 외부 접점이 해킹 통로로 활용되는 만큼, 보안 사각지대를 철저히 점검해 달라고 주문했다. 이 위원장은 "아무리 견고한 보안체계를 갖추고 있더라도 관리되지 않는 하나의 부분이 전체 보안체계의 취약점이 될 수 있다"며 "보안은 금융회사와 시스템의 안전성을 확보하고 신뢰를 지키기 위한 기본 투자라는 인식 전환이 필요하다"고 강조했다.

사이버 공격과 관련해선 금융권 전체가 힘을 모야 대응하자고 촉구했다. 그는 "한 금융회사에서 확인되는 공격 수법이나 취약점이 다른 금융회사에 활용될 가능성이 있는 만큼 개별 금융회사의 침해사고를 해당 회사만의 문제로 보지 말고 금융권 전체가 공동으로 탐지하고 차단할 수 있도록 협력해야 한다"고 말했다.

특히 "(이번 사안은) AI를 활용한 해킹 공격 가능성도 배제할 수 없다"며 "새로운 유형의 공격에 대응하기 위해 앞으로는 'AI로 공격하면 AI로 방어한다'는 보안체계 마련도 서둘러야 한다"고 강조했다.

한편 금융당국은 지난달 30일부터 전 금융권 약 500개사에 공격자 IP와 보안 유의사항을 전파하고 긴급점검을 요청했다. 금융보안원 등과 긴급 상황대응 회의를 열어 공격 정보를 공유하고 있으며, 은행·카드사는 오는 6일까지, 증권·보험·저축은행·전자금융업자는 오는 8일까지 점검을 완료하도록 했다.