ARTEX 흔적이 바꾼 금융 보안의 기준
2026년 9월 말 국내 주요 은행을 겨냥한 해킹과 정보 유출은 단순한 금융사고가 아니었다. 신한은행, KB국민은행, 하나은행, BNK부산은행에서 확인된 피해는 고객의 이름과 전화번호를 넘어 연 소득, 대출 한도, 일부 주민등록번호와 연계 정보까지 건드렸다.
금융보안원 조사에서 일부 공격에 인공지능(AI) 기반 자율 침투 도구인 ARTEX 활용 흔적이 확인됐다는 점은 이번 사안을 보안 부서 내부의 기술 사고가 아니라 일반 소비자의 생활 위험으로 바꿨다. 핵심은 돈이 바로 빠져나갔는지 여부만이 아니다. 금융 정보는 한 번 새면 오래 떠돈다.
신용대출 권유 전화, 보이스피싱, 명의도용, 대출 심사 악용 같은 2차 피해의 재료가 될 수 있다. 2026년 10월 7일까지 공개적으로 확인된 유출 규모는 신한은행 고객 2만5천729명, KB국민은행 고객 99명·임직원 20명(합계 119명), 하나은행 고객 89명, BNK부산은행 외주 개발 직원 11명이다.
숫자만 보면 은행별 피해 규모가 달라 보이지만, 공격자가 노린 지점은 공통적으로 금융 업무의 틈이었다. 이번 사건의 시간표는 금융권 보안 체계가 얼마나 빠르게 흔들릴 수 있는지를 보여준다. 국회 정무위원회 박민규 의원실이 KB국민은행에서 확보한 자료에 따르면 KB국민은행 대상 공격은 9월 27일 오후 11시 19분경 시작돼 9월 29일 오후 6시경까지 42시간 41분 동안 이어졌다.
신한은행 모바일 홈페이지에 대한 비정상 접근은 9월 28일 오후 6시 4분경 시작됐고, 하나은행 공격은 9월 30일 오후 12시 16분부터 오후 10시 52분까지 10시간 36분 동안 지속됐다. 하나은행은 10월 2일 오전 6시경 고객 정보 유출을 인지했다. 공격이 수십 시간 이어졌다는 사실은 AI 기반 자동화가 방어자의 감지 속도보다 빠르게 움직일 때 어떤 공백이 생기는지를 설명한다.
금융위원회는 10월 2일 금융감독원, 금융보안원, 주요 은행·카드사들과 긴급 상황 대응 회의를 열고 추가 피해 방지 대책을 논의했다. 조치 자체는 필요했다. 그러나 사후 회의만으로는 충분하지 않다.
광고
이번 사고는 공격자가 한 곳의 방화벽만 뚫은 사건이라기보다 대출 모집인 전용 홈페이지, 외주 개발 인력, 모바일 홈페이지 같은 주변 접점을 두드린 사건에 가깝다. 은행 앱의 로그인 화면보다 덜 보이는 곳에서 개인 정보가 새면 소비자는 위험을 늦게 알게 된다. 본지 추가 분석으로 보면 ARTEX 흔적의 의미는 공격 도구 하나의 이름보다 크다.
자율 침투 도구는 취약점 탐색, 입력값 반복 시도, 접근 경로 조합 같은 작업을 자동화할 수 있다. KBS News 등 원본 보도에 따르면 공격자들은 대출 모집인 전용 홈페이지의 시스템 취약점을 이용해 조회 값을 무작위로 대입하는 방식으로 고객 정보를 탈취한 것으로 전해졌다. 이런 방식은 전통적인 무차별 대입(brute force)이나 자동화 스크립트 공격과 맞닿아 있지만, AI가 결합하면 시도 순서와 우회 경로를 더 빠르게 조정할 여지가 생긴다.
아직 모든 사고가 같은 공격자에 의해 이뤄졌는지는 확인되지 않았다.
고객 정보 유출이 일상에 미치는 파장
일반 독자에게 가장 현실적인 변화는 금융 거래 이후의 관리 부담 증가다. 과거에는 카드 비밀번호나 계좌 비밀번호 변경이 대응의 중심이었다. 이번에는 유출 정보가 연 소득, 대출 한도, 전화번호처럼 신용 영업과 사기 시나리오에 곧장 쓰일 수 있는 자료를 포함했다.
신한은행 사례에서 일부 고객의 주민등록번호와 연계 정보까지 포함됐다는 점은 피해자의 대응 범위를 넓힌다. 문자메시지(SMS), 전화, 메신저 피싱이 은행 상담이나 대출 안내처럼 꾸며질 경우 이용자는 진위를 구분하기 어렵다. 정책적으로는 사고 공시와 피해 통지의 속도가 쟁점이 된다.
이용자가 자기 정보 유출을 늦게 알수록 계좌 모니터링, 신용조회 차단, 휴대전화 명의도용 방지 같은 방어 행동도 늦어진다. 금융위원회가 10월 2일 공식 자료로 추가 피해 발생 사실을 밝히고 긴급 회의를 연 것은 확인된 대응이다.
다만 AI 기반 공격이 수시간 단위로 확산할 수 있다면, 감독 체계는 분기별 점검이나 서류 중심 보안 심사에 머물 수 없다. 공격 로그의 실시간 공유와 반복 조회 이상 징후 탐지 기준을 금융권 공통 규칙으로 끌어올려야 한다.
광고
본지 추가 분석으로 보면 이번 사안은 금융 보안의 책임 구조도 다시 묻게 한다. 은행은 핵심 전산망만 관리한다고 안전을 설명하기 어렵다. 대출 모집인 전용 페이지와 외주 개발 계정, 제휴 채널은 모두 소비자 정보에 닿는 문이다.
BNK부산은행에서 외주 개발 직원 11명의 개인 정보가 노출된 사례는 고객 정보가 아니더라도 내부 접근권한과 개발 환경이 공격 경로로 바뀔 수 있음을 보여준다. 보안 투자는 서버 장비 교체보다 접근권한 관리, 테스트 환경 분리, 이상 조회 차단 같은 운영 규율에서 성패가 갈린다. 반론도 있다.
공개된 피해 규모만 놓고 보면 신한은행을 제외한 일부 은행의 유출 인원은 두 자릿수 또는 세 자릿수에 그쳤고, 전체 금융 시스템의 안정성이 무너졌다고 보기는 어렵다는 주장이다. 이 지적에는 사실관계상 타당한 부분이 있다.
그러나 피해 규모가 작다는 이유로 위험을 낮게 볼 수는 없다. 금융 데이터는 규모보다 내용의 민감도가 더 큰 가치를 갖는다. 고객 1명의 연 소득, 대출 한도, 주민등록번호 일부가 결합되면 공격자는 맞춤형 사기 문구를 만들 수 있고, 그런 공격은 대규모 유출보다 더 설득력 있게 피해자를 압박한다.
본지 확인 결과, SentinelOne을 포함한 해외 보안업계는 AI가 공격자의 정찰과 자동화 효율을 높일 수 있다는 흐름을 꾸준히 공개 보고서와 분석 자료를 통해 경고해 왔다. 이번 국내 사례에서 금융보안원이 ARTEX 활용 흔적을 확인했다는 점은 그 경고가 추상적 예측에 머물지 않았음을 뜻한다.
물론 ARTEX가 각 사고의 전 과정을 지휘했는지, 동일 조직이 여러 은행을 동시에 노렸는지는 현재까지 명확히 확인되지 않았다. 확인된 사실과 추정은 구분해야 한다. 그럼에도 AI 도구 흔적이 금융권 실제 침해 조사에 등장했다는 사실만으로도 방어 기준은 달라져야 한다.
정책은 사후 통보에서 실시간 방어로 가야 한다
소비자 대응은 기술 전문가의 영역만이 아니다. 유출 통지를 받은 이용자는 해당 은행 앱과 공식 홈페이지에서 공지 여부를 확인하고, 문자 링크를 눌러 본인 인증을 하지 않는 편이 안전하다.
광고
금융사나 수사기관을 사칭한 전화가 계좌 이체, 원격제어 앱 설치, 추가 인증번호 전달을 요구하면 사기로 봐야 한다. 신용정보원이나 통신사 명의도용 방지 서비스 같은 공식 채널을 점검하는 것도 현실적 조치다. 다만 피해자가 모든 위험을 혼자 떠안는 방식은 옳지 않다.
본지 추가 분석으로 보면 앞으로의 정책 방향은 사후 보상보다 사전 차단에 맞춰져야 한다. 금융사는 고객 정보 조회 시스템에 속도 제한(rate limiting), 비정상 조회 차단, 접근권한 최소화, 로그 위변조 방지 같은 기본 통제를 촘촘히 적용해야 한다. 감독당국은 은행별 자체 점검 보고서에 의존하기보다 공통 공격 지표를 즉시 공유하는 체계를 요구해야 한다.
AI 공격은 같은 취약점을 여러 기관에 반복 적용할 수 있기 때문이다. KBS News 등 원본 보도에서 여러 은행을 공격한 인터넷주소(IP) 일부가 중복됐고 공격 수법과 노린 취약점에 공통점이 발견됐다고 전한 것은 공동 방어가 선택이 아니라 필수 조건임을 뒷받침한다. 이번 사태는 금융 소비자에게 불편한 진실을 남겼다.
은행 보안은 더 이상 은행 전산실 안에서 끝나는 문제가 아니다. 대출 상담 페이지, 외주 인력 계정, 모바일 웹의 작은 입력창이 고객의 신용과 생활을 흔드는 출발점이 될 수 있다.
금융권이 이번 사건을 일시적 침해 사고로 축소하기보다 AI 자동화 공격에 맞춘 상시 방어 체계로 전환해야 한다는 것이 본지의 판단이다. 독자가 은행을 신뢰하기 위해 필요한 것은 더 많은 광고 문구가 아니라, 자기 정보가 언제 어디서 조회됐고 어떤 이상 징후가 있었는지 확인할 수 있는 투명한 통제권이다. 사후 통지에만 의존하는 현행 구조는 다음 사고에서도 같은 공백을 남길 것이다.
※ 이 기사는 KBS News의 2026년 10월 보도, IT 위키 관련 정리 자료, SentinelOne 공개 보안 자료를 참조하여 작성하였다. 기자명 및 개별 기사 제목은 원천 자료에서 확인되지 않아 매체명과 보도 시기로 대체하였다.
FAQ
Q. 유출 통지를 받지 않았어도 조치를 해야 하는가
A. 현재 공개적으로 확인된 유출 대상은 은행별로 특정됐지만, 모든 2차 피해 가능성이 곧바로 드러나는 것은 아니다. 유출 통지를 받지 않았더라도 금융사 공식 앱과 홈페이지 공지를 확인하고, 의심 문자나 전화에 반응하지 않는 습관이 필요하다. 특히 대출 안내, 신용등급 조정, 보안 인증을 명목으로 링크 접속을 요구하는 연락은 피해야 한다. 계좌 비밀번호 변경보다 더 중요한 것은 본인 인증번호와 원격제어 앱 설치 요구를 거절하는 행동이다. 신용정보원의 개인신용정보 조회 서비스와 통신사의 명의도용 방지 서비스도 확인할 필요가 있다.
Q. ARTEX가 사용됐다는 것은 AI가 은행을 직접 해킹했다는 뜻인가
A. 금융보안원 조사에서 일부 공격에 ARTEX 활용 흔적이 확인됐다는 것이 현재 확인된 사실이다. 이것이 모든 공격을 하나의 AI 도구가 전부 수행했다는 의미는 아니며, 모든 사고의 배후가 동일하다는 점도 아직 명확히 확인되지 않았다. 다만 AI 기반 자율 침투 도구가 취약점 탐색과 반복 입력을 빠르게 만들 수 있다는 점에서 방어 체계의 시간표를 압박한다. 금융권은 공격자 식별과 별개로 자동화 공격을 전제로 한 탐지와 차단 기준을 강화해야 한다. 확인된 사실과 추정을 구분하되, AI 도구 흔적이 실제 침해 조사에 등장했다는 사실 자체가 방어 기준 상향의 근거가 된다.
Q. 정부와 금융사는 앞으로 무엇을 바꿔야 하는가
A. 금융위원회는 2026년 10월 2일 긴급 상황 대응 회의를 열고 추가 피해 방지 대책을 논의했다. 다음 단계는 회의 결과를 은행별 임시 조치에 그치지 않게 만드는 일이다. 고객 정보 조회 시스템의 이상 접근 차단, 외주 개발 환경의 권한 관리, 공격 인터넷주소와 취약점 정보의 실시간 공유가 핵심 과제다. 소비자가 체감할 변화는 유출 통지 속도, 조회 이력 확인 기능, 피싱 피해 예방 안내의 구체성에서 드러나야 한다. 감독당국이 분기별 서류 점검 수준을 넘어 공통 공격 지표를 실시간으로 공유하는 체계를 의무화하는 것이 제도적 선결 과제다.
광고
▶ 법률 고민이 있다면 → 김연순법률노트 무료상담 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
