AI 해킹이 처음으로 한국 은행권을 대규모로 강타했다. 2026년 10월 2일 금융위원회는 은행, 카드사, 감독기관과 긴급 회의를 열고 각 기관에 무단 접근 방어 체계를 전면 점검하라고 지시했다. 그에 앞선 이틀 동안 신한은행, KB국민은행, 하나은행, BNK금융그룹이 잇달아 정보 유출을 공시했고, 우리은행과 NH농협은행은 공격 시도가 있었으나 정보 유출은 확인되지 않았다고 밝혔다. 연합뉴스는 여러 공격에 AI 에이전트가 동원됐다고 보도했다.
일주일 새 네 곳이 뚫렸다, 피해가 가장 큰 곳은 신한은행
신한은행은 10월 1일 고객 약 2만 5천 명의 개인정보와 신용정보가 유출됐다고 밝혔다. 유출된 정보는 대출 신청 과정에서 제출된 이름, 전화번호, 연 소득, 대출 한도 등이다. 금융위원회에 따르면 신한은행에 대한 공격은 9월 30일에 이뤄졌고, 당국은 신한은행에 대한 현장 점검에 들어갔다. 10월 2일 KB국민은행은 고객 119명의 정보가, 하나은행은 고객 89명의 이름과 주민등록번호, 전화번호가 유출됐다고 확인했고, BNK금융그룹은 외주 인력 1명의 개인정보 11개 항목이 도난당했다고 보고했다. 각 은행은 금융 거래 정보는 포함되지 않았다고 밝혔고, 신한은행과 KB국민은행은 유출로 인한 손실을 보상하겠다고 약속했다.
수법: 먼저 크리덴셜 스터핑, 그다음 AI 에이전트가 길을 찾는다
이번 사건이 기존 해킹과 다른 점은 공격자의 도구에 AI가 들어갔다는 것이다. 서울경제신문의 10월 3일 보도에 따르면, 조사 당국은 신한은행 공격에 사용된 서버에서 중국어 오픈소스 AI 침투 테스트 도구인 ARTEX AI의 흔적을 발견했다. 공격자는 먼저 유출된 아이디와 비밀번호를 로그인 시스템에 자동으로 대입하는 크리덴셜 스터핑으로 입구를 찾은 뒤 침입했다. 국민은행, 하나은행, BNK에서는 AI 에이전트가 취약점 탐색과 공격 경로 파악을 자동화한 것으로 전해졌다. 입구를 찾고, 비밀번호를 대입하고, 경로를 그리는, 과거에 사람이 시간을 들여 하던 작업이 자동화되고 있는 셈이다.
뚫린 곳은 핵심 시스템이 아니라 편의를 위한 주변 서비스였다
주목할 점은 침입 경로가 모두 삼엄하게 지켜지는 핵심 거래 시스템이 아니었다는 것이다. 신한은행의 침입 경로는 대출 모집인을 위한 간편 조회 서비스였고, 국민은행은 직원용 모바일 업무 지원 시스템이었다. 내부 편의를 위해 만든 주변 서비스는 고객용 인터넷뱅킹보다 인증이 약한 경우가 많은데도 실제 고객 정보를 보관하고 있다. 대부분의 은행이 9월 30일에 유출 가능성을 인지한 것으로 보아, 공격은 거의 같은 시기에 여러 기관을 노렸고 방어 사슬에서 가장 느슨한 고리를 겨냥했다.
한국 은행권은 보안 수준이 가장 높은 업권 중 하나로 꼽혀 왔지만, 이번에는 같은 유형의 수법에 연달아 뚫렸다. 다른 나라 금융기관이 받아들여야 할 신호는 분명하다. 공격자가 AI 에이전트로 약점을 대량 탐색하는 시대에는 핵심 시스템만 지켜서는 부족하다. 주변 서비스, 직원용 시스템, 제3자 진입점의 인증 강도를 핵심 시스템 수준으로 다시 점검해야 한다. 금융위원회가 업계 전체에 방어 체계 점검을 요구한 가운데, AI 공격 대응에 대한 통일 기준이 뒤따를지 주목된다.
