금융권에서 개인정보 약 7만건 유출
인공지능 활용 동일인 소행 정황 발견
"AI 공격 막기 위해서는 AI 활용해야"
인공지능 활용 동일인 소행 정황 발견
"AI 공격 막기 위해서는 AI 활용해야"
|
5일 금융권에 따르면 금융사 500여곳은 금융당국의 지시로 긴급 보안점검을 진행하고 있다. 은행·카드사는 6일까지, 증권·보험·저축은행 등은 8일까지 점검을 마쳐야 한다. 당초 점검은 연휴 기간 자체 점검을 진행한 뒤 결과를 오는 7일 보고 받을 예정이었으나, 해킹 피해가 2금융권까지 확산되면서 대응 수위를 높이고 소집 날짜를 앞당겼다.
이번 해킹 공격의 특징은 인터넷뱅킹이나 모바일뱅킹 등 고객의 금융거래가 이뤄지는 핵심 시스템이 아니라 금융사 외부에 노출된 업무지원 시스템이나 부가 서비스 등이 공격 대상으로 활용됐다는 점이다. 신한은행은 대출모집인용 시스템, 국민은행은 직원용 모바일 업무지원 시스템, 하나은행은 영업지원시스템(ODS) 등이 공격 대상이 됐다. 금융당국은 대출모집인이나 임직원이 업무 편의를 위해 사용하는 외부 웹페이지와 서버 등 관리와 관심이 덜했던 영역이 공격 통로로 활용된 사례가 확인됐다고 이야기했다.
해킹 피해는 보안 체계가 취약한 2금융권까지 확대되고 있다. 최근 현대캐피탈에선 대출모집인 146명의 주민등록번호를 포함한 개인 정보가 유출됐다. 예가람저축은행에선 고객 약 4만명, 웰컴저축은행에선 법인고객 약 2200건의 개인정보가 유출됐다. 2금융권은 시중은행에 비해 보안 예산이나 전담 인력이 상대적으로 부족해 해킹 공격에 속수무책으로 뚫릴 수밖에 없는 구조다. 저축은행과 캐피털사의 대출모집인 전용 시스템이나 간편 조회 페이지, 내부 모바일 앱 채널들이 공격 대상이 됐다.
이에 망 구분 없이 보안체계를 강화해야 한다는 주장이 나온다. 염흥열 순천향대학교 정보보호학과 교수는 "AI 대응체계를 구축할 여력이 상대적으로 떨어지는 2금융권이 자체적으로 보안을 강화하는 지원체계를 마련해야 하는 것이 가장 중요하다"면서 "금융보안 연구원을 중심으로 협력체계를 구축하는 동시에 금융당국과의 협력도 필요할 것으로 보인다"고 설명했다.
공격 과정에서는 AI를 활용한 정황도 포착됐다. 문종현 지니언스 시큐리티 센터장은 이번 해킹 사태에 사용된 웹 서버에서 'ARTEX-自主渗透試控制台(자율 침투 테스트 콘솔)'이라는 문자열이 확인됐다고 밝혔다. ARTEX(아르텍스)는 지난 7월 26일 중국에서 공개된 '모의 해킹'을 통해 보안을 점검하기 위해 만들어진 AI다.
AI를 활용한 공격 가능성이 커지면서 금융권에서는 AI로 AI 공격을 방어하는 체계를 구축해야 한다는 목소리도 커지고 있다. AI가 인간보다 취약점을 빠르게 찾아내는 만큼 방어 측에서도 AI를 활용해 취약점을 상시 탐색하고 모의해킹을 자동화하는 방식으로 대응 속도를 높여야 한다는 지적이다.
실제로 해킹 피해가 발생하지 않은 우리은행은 AI 기반 점검 솔루션인 '진트(Xint)'을 구축하고 있었다. 티오리에서 만든 진트는 외부 공격자 관점에서 모의 해킹을 통해 취약점을 찾아 선제적으로 보완하기 위한 도구다. 우리은행은 진트와 자체 개발 점검 도구를 병행 활용해 외부 공격자 관점에서 취약점 점검을 실시하고, 진트가 스스로 점검이 끝날 때까지 계속해서 점검을 수행했다.
금융당국은 이 같은 상황을 고려해 전 금융권을 대상으로 긴급 점검에 착수했다. 은행과 카드사는 6일, 증권·보험·저축은행 등은 8일까지 긴급 점검을 마쳐야 한다. 이억원 금융위원장은 전날인 4일 정부서울청사에서 금융감독원, 금융보안원, 7개 주요 금융회사 등을 불러 긴급 점검회의를 열고 AI 공격은 AI로 방어하는 보안체계 마련도 서둘러 달라고 당부하기도 했다.
김용대 카이스트 정보보호대학원 교수는 "AI의 속도를 인간이 따라잡을 수는 없기 때문에 AI를 활용한 공격을 막을 수 있는 유일한 방법도 결국 AI"라며 "공격과 방어 양쪽에서 AI를 활용하는 이상 결국 누가 먼저 찾아내서 고치고 공격하느냐의 속도 싸움"이라고 말했다.
