AI 자동화로 취약점 탐색·공격 속도 급격히 빨라지는 양상외부 접점 침투 후 ‘측면이동’ … 핵심 자산까지 도달 가능“공격자가 AI 활용하는 만큼 금융권도 방어에 AI 적용해야”
  • ▲ ⓒ이 이미지는 챗GPT의 이미지 생성 기능을 통해 제작됐습니다.
    ▲ ⓒ이 이미지는 챗GPT의 이미지 생성 기능을 통해 제작됐습니다.
    신한은행 고객정보 유출 사고에 활용된 공격용 서버에서 중국어 기반 인공지능(AI) 침투테스트 도구의 흔적이 발견됐다. 실제 공격에 AI가 활용됐는지는 확인되지 않았지만, 사람이 수행하던 취약점 탐색과 공격 과정을 AI가 자동화할 경우 기존 금융권의 보안 대응체계만으로는 한계가 있을 수 있다는 경고가 나온다.

    2일 금융권에 따르면 신한은행을 겨냥한 것으로 추정되는 크리덴셜 스터핑 공격에 활용된 웹서버의 HTML 타이틀에서 'AI 자율 침투테스트 콘솔'을 의미하는 중국어 문자열이 확인됐다.

    이는 중국어 기반 오픈소스인 'ARTEX AI'와 관련된 정황으로 분석됐다. ARTEX AI는 대규모언어모델(LLM)과 멀티에이전트 구조를 활용해 정보 수집부터 취약점 탐색, 공격 경로 계획, 보안도구 실행, 취약점 검증까지의 과정을 자동화하도록 설계된 도구다. 다만 신한은행 해킹 과정에서 ARTEX AI가 실제 사용됐는지는 공식적으로 확인되지 않았다.

    보안업계에서는 단순히 'AI가 사람을 대신해 해킹한다'기보다 AI를 활용해 기존 공격 과정이 자동화되고 공격 속도가 빨라지는 점을 새로운 위협으로 보고 있다.

    보안업계 관계자는 "현재 확인된 흔적만으로 AI가 실제 공격에 활용됐다고 단정할 수는 없다"며 "기존에도 사람이 각종 해킹 프로그램을 활용해왔기 때문에 사람이 기존 도구를 사용한 것인지, AI가 공격 과정의 일부를 자동화한 것인지는 추가 조사가 필요하다"고 말했다.

    다만 AI 기반 공격이 현실화할 경우 취약점 탐색과 공격 시도의 속도 자체가 크게 달라질 수 있다는 설명이다. 새로운 취약점을 찾고 여러 입력값을 대입해 반응을 확인한 뒤 공격 성공 가능성이 높은 경로를 우선적으로 시도하는 과정을 AI가 자동화할 수 있기 때문이다.

    이일구 성신여대 융합보안학과 교수는 "자동화 도구로 취약점을 찾고 공격하는 것은 사람과 비교할 수 없을 정도로 빠르고 정확하다"며 "여러 입력을 넣어 반응을 확인하면서 취약점을 찾아낸 뒤 성공 가능성이 높은 공격부터 우선순위를 높여 시도하는 것이 기존의 사람 중심 공격과 큰 차이"라고 설명했다.

    특히 AI 공격은 새로운 해킹기법이 등장했다는 의미보다 기존 공격 방법론의 자동화라는 점에서 주목된다. 이 교수는 "기존 해커들이 사용해온 기술들이 공격 프레임워크에 축적돼 있고, AI가 이를 도구로 불러와 공격에 활용할 수 있다"며 "사람이 하나하나 수행하던 입력 생성과 분석, 공격 과정을 전반적으로 자동화하는 것"이라고 언급했다.

    금융권을 겨냥한 공격 역시 핵심 뱅킹 시스템을 한 번에 무너뜨리는 방식만 있는 것은 아니다. 신한은행은 지난달 30일 대출모집인 서비스의 본인확인 절차를 우회한 외부 비인가자에 의해 약 2만5000명의 고객 개인정보가 유출된 사실을 확인했다. KB국민은행에서도 외부 침입으로 개인·신용정보가 유출된 사고가 발생했으며, 침해 대상은 직원용 모바일 업무지원시스템으로 확인됐다.

    보안업계에서는 핵심 시스템이 아닌 외부 접점에서 최초 침투가 이뤄졌다는 사실만으로 위험도가 낮은 것은 아니라고 지적한다.

    이 교수는 "APT(지능형 지속 공격)는 처음부터 핵심 서버를 직접 공격하는 것이 아니라 외부에 노출된 취약한 지점을 먼저 공략한 뒤 내부에서 정보를 수집하고 점차 중요한 자산으로 이동하는 방식"이라며 "계정정보와 내부 시스템 구조를 확보한 뒤 이른바 '측면이동'을 통해 핵심 자산으로 접근할 수 있다"고 짚었다

    특히 외부에서 드러난 해킹 흔적만으로 실제 공격 범위를 모두 파악하기는 어렵다는 설명이다. 이 교수는 "공격자가 내부에서 목적을 달성한 뒤 중요한 흔적을 지우고 빠져나갈 수도 있기 때문에 외부에서 확인되는 흔적만으로 공격 범위를 판단해서는 안 된다"고 강조했다.

    결국 금융권의 보안 대응 역시 공격 속도에 맞춰 바뀌어야 한다는 지적이 나온다. 보안업계 관계자는 "과거에는 새로운 취약점이 공개된 뒤 실제 공격이 확산하기까지 일정한 시간이 있었지만 최근에는 취약점이 나온 당일부터 공격이 들어오는 경우도 있다"며 "사람이 취약점을 확인하고 관제한 뒤 차단하는 방식만으로는 대응이 늦을 수 있다"고 피력했다.

    이 교수 역시 "공격자가 AI를 활용하는 상황에서 방어자도 AI를 활용해야 속도와 대응 능력 측면에서 경쟁이 가능하다"고 덧붙였다. 다만 현재 AI 기반 방어 솔루션은 공격 도구만큼 성숙하지 않았다는 평가다.

    금융위원회도 AI를 활용한 보안 대응에 대비해 망분리 규제 완화에 나서고 있다. 금융위는 지난달 제2차 망분리 규제 긴급 완화 조치를 추진하면서 보안 목적의 AI 활용을 확대하기 위한 방안을 제시했고, 1차 테스트에서 AI를 활용한 광범위하고 신속한 취약점 탐색 가능성을 확인했다고 밝혔다.

    이 교수는 "금융망처럼 폐쇄망으로 관리되는 환경에서는 외부 AI 서비스를 활용하기 어려운 만큼 자체적인 LLM을 내부에 구축하는 방안 등을 고민해야 한다"며 "AI 시대에는 망분리만으로 방어하기보다는 내부망을 보호하면서 AI를 보안에 활용할 수 있는 체계를 마련하는 것이 중요하다"고 말했다.