AI가 두드린 금융권의 옆문, 지니언스 침해사고 분석 리뷰
2026. 10. 19 · 지니언스 시큐리티 센터(GSC) 「금융분야 침해사고 이슈 분석」(10.12) 리뷰
지난 몇 주 동안 은행 해킹 뉴스가 하루가 멀다 하고 나왔죠. 신한은행 이후로 이름이 하나씩 늘어나는데, 기사마다 숫자도 다르고 'AI 해킹'이라는 말만 크게 걸려 있어서 정리가 잘 안 됐습니다.
그러던 중 보안 기업 지니언스의 분석 조직(GSC)이 10월 12일 낸 보고서를 읽었어요. 당국 발표와 언론 보도를 교차 검증해 15쪽으로 정리한 자료입니다. 기술적인 내용이 꽤 깊은데, 여기서는 일반 이용자가 알아야 할 부분만 추려 보겠습니다.
- 금융사 7곳에서 개인 약 6만6천 명, 법인 약 2,200건의 정보가 새어 나갔습니다.
- 공격은 인터넷뱅킹이 아니라 대출모집인·직원·외주용 '옆문'으로 들어왔습니다.
- 같은 공격을 받고도 막아낸 곳이 많았고, 차이를 가른 건 다중인증이었습니다.
무슨 일이 있었나
본격적인 공격은 9월 28일 저녁 신한은행에서 시작됐습니다. 은행이 알아챈 건 다음 날 아침이었고요. 그런데 보고서를 보면 예가람저축은행은 9월 18일부터 접근 흔적이 있었고, 토스뱅크와 카카오뱅크에는 같은 공격 IP가 올해 1월부터 기웃거린 기록이 남아 있었습니다. 몇 달 동안 문을 두드려 보다가 약한 곳을 골라 들어갔다는 얘기죠.
| 기관 | 들어온 곳 | 유출 규모와 항목 |
|---|---|---|
| 예가람저축은행 | 외부 솔루션 취약점(추정) | 약 4만 명 이름·생년월일·연락처 |
| 신한은행 | 대출모집인 전용 조회 서비스 | 2만5,729명 연소득·대출 한도 등, 주민번호 66건·CI 97건 포함 |
| KB국민은행 | 직원용 모바일 업무 시스템 | 119명 이름·전화번호·주소·암호화된 주민번호 |
| 하나은행 | 영업지원 시스템 | 89명 주민번호·이름·주소·이메일·직장명 |
| 현대캐피탈 | 주택대출 모집인 조회 페이지 | 모집인 일부 이름·휴대폰·주민번호 등 |
| BNK부산은행 | 직원용 모바일 영업지원 시스템 | 11명 외주 개발 직원 정보 |
| 웰컴저축은행 | 조사 중 | 최대 2,200건 법인명·담당자 연락처 |
출처: 지니언스 GSC 보고서 [표 1] 재구성 · 10월 7일 기준, 수사 결과에 따라 바뀔 수 있음
그나마 다행인 건 보고서 기준으로 뱅킹 핵심 시스템이 뚫리거나 계좌·결제 정보가 새어 나간 흔적은 없다는 점입니다.
정문은 단단했는데, 옆문이 열려 있었다
보고서에서 가장 눈에 들어온 대목은 침투 경로였어요. 7곳 모두 우리가 쓰는 인터넷뱅킹이 아니라, 대출모집인이나 직원, 외주 인력이 쓰라고 만든 부가 시스템이 뚫렸습니다. 신한은행 사례를 보면 이렇습니다.
그래서 정말 AI가 해킹한 걸까
뉴스에서 가장 크게 다뤄진 부분이죠. 지니언스는 공격에 쓰인 것으로 보이는 서버에서 'ARTEX'라는 AI 침투 도구가 설치된 화면을 직접 확인했다고 밝혔습니다. 원래는 보안 점검용으로 공개된 오픈소스인데, 누구나 내려받아 쓸 수 있다 보니 공격에 돌려쓰기도 쉬운 도구예요.
다만 이 보고서가 좋았던 건 확인된 것과 아직 정황인 것을 분명히 나눴다는 점입니다.
- 공격 추정 서버에 ARTEX가 구축돼 있었음
- 7개사 사고에서 같거나 연관된 공격 IP 발견, 12개국 경유
- 공격 IP 상당수는 추적을 피하려는 '세탁 IP'
- 공격 전 과정에 AI가 실제로 쓰였는지
- 누가, 어느 나라에서 했는지
- 한 조직의 단일 공격인지
그러니 "AI가 은행을 털었다"고 단정하기는 아직 이릅니다. 보고서의 결론도 같아요. 범인이 누구든, AI 도구로 수많은 금융사 문을 자동으로 두드려 보는 공격은 이미 현실이 됐다는 겁니다.
막은 곳과 뚫린 곳, 무엇이 달랐나
개인적으로 이 보고서에서 가장 값진 부분입니다. 우리은행과 농협은행은 같은 IP의 공격을 받고도 피해가 없었어요. 금융감독원은 "수법은 비슷했고, 다중인증 적용 여부가 피해를 갈랐다"고 분석했습니다.
이건 은행 얘기만이 아니에요. 우리 개인 계정도 똑같습니다. 비밀번호 하나로만 지키는 계정은 AI가 자동으로 두드리기 딱 좋은 문입니다.
일반인이 알아야 할 것
"고객님 한도로 저금리 대환이 가능합니다"라는 연락이 숫자까지 맞으면 믿기 쉽죠. 이번에 샌 정보가 다른 곳에서 샌 정보와 합쳐지면 이런 일이 가능해집니다. 보고서도 보이스피싱 같은 2차 피해 위험이 높다고 짚었어요.
- 유출 여부는 공식 앱에서 직접 확인하세요. 문자로 온 '유출 확인' 링크는 누르지 마세요.
- 대출·대환 권유 전화는 끊고, 금융사 대표번호로 직접 다시 거세요.
- 여러 사이트에 같은 비밀번호를 쓰고 있다면 바꾸고, 2단계 인증을 켜세요. 은행이 막아낸 비결이 바로 이것이었습니다.
- 주민번호까지 유출됐다면 명의도용방지서비스(엠세이퍼)와 거래 은행의 여신거래 안심차단을 신청하세요.
- 집단소송 원고 모집이 시작되면서 '보상금 신청' 사칭 문자도 나올 수 있어요. 개인정보를 먼저 요구하면 의심하세요.
리뷰를 마치며
사실과 정황을 표로 나눠 과장을 피했고, 피해 기관만이 아니라 막아낸 기관과 비교해 '무엇이 달랐나'를 보여줬습니다.
보안 기업 보고서라 뒷부분에 자사 솔루션 소개가 있습니다. 피해 금융사 내부 로그를 직접 본 것이 아니라 공개 자료를 종합한 분석이라는 점도 보고서 스스로 밝히고 있어요.
읽고 나서 남는 건 결국 기본입니다. 공격은 AI로 빨라졌지만, 뚫린 이유는 약한 인증과 관리 안 되던 옆문이었어요. 은행에는 문을 줄이고 인증을 강화하라는 숙제가, 우리에게는 2단계 인증을 켜고 의심스러운 연락을 한 번 더 확인하는 숙제가 남았습니다.
자주 묻는 질문
이 글은 2026년 10월 7일 기준 자료를 정리한 보고서를 바탕으로 했습니다. 피해 규모와 공격 주체는 수사 결과에 따라 바뀔 수 있습니다.