핵심 요약
AI 요약
기사 목차 펼치기 / 접기
AI는 공격자의 작업 과정에 들어와 있었다. 국내 금융권 공격 인프라에서 설정과 작업 기록을 분석한 보고서가 나왔지만, 최근 사고 전체를 같은 도구나 같은 범인의 소행으로 묶을 증거는 아직 부족하다.
빗썸에서는 고객정보도 반출됐다
빗썸은 사내 모바일 그룹웨어 다우오피스에서 일부 고객정보도 반출됐다고 10월 29일 공지에서 밝혔다. 임직원 정보 중심이던 초기 설명에서 피해 범위가 넓어졌다. 업무시스템에 보관된 고객 자료가 함께 나가면서, 내부 직원용 서비스의 침해도 고객 피해로 이어질 수 있음을 드러냈다.
반출은 27일 오전 11시 28분부터 낮 12시 27분까지 이어졌고, 빗썸이 비정상 접근을 인지한 시각은 낮 12시 14분이었다. 인지 시각과 유출 종료 시각부터 다르다. 이상을 알아챘다는 설명만으로 유출이 그때 중단됐다고 읽어서는 안 된다.
고객 6444명 관련 자료 가운데 5600명분은 암호화돼 내용을 확인할 수 없으며, 나머지 844명의 개인정보는 유출됐다는 회사 설명이다. 임직원과 협력사 인력 등 715명은 별도다. 암호화된 자료를 평문 유출과 합칠 수는 없다. 암호화는 정보의 상태를 설명하므로, 반출되지 않은 자료로 처리해서도 안 된다.
빗썸은 공지에서 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 밝혔다.
공격일과 공개일을 나눠 봤다
금융위가 10월 14일 공개한 명단에는 16개사가 들어 있다. 28일 발표에는 빗썸과 미래에셋생명·자산운용, 대신증권의 침해도 등장한다. 두 발표에 나온 20개 기관을 기준으로 공지와 취재기사를 전수 대조했다. OK저축은행과 프라뱅의 후속 침해는 별도 행으로 나눴다.
| 기관·기록 | 공격·접근 시점 | 인지·확인 | 공개 확인일 |
|---|---|---|---|
| 신한은행 | 9/28 첫 접근 | 9/29 인지 | 10/1 |
| KB국민은행 | 9/27~29 반복 접근 | 9/30 인지 | 10/2, 추가10/26 |
| BNK부산은행 | 10/1 밤 | 10/2 새벽 | 10/2 |
| 하나은행 | 9/30 | 10/2 인지 | 10/4 이전 |
| 예가람저축은행 | 9/18 시도, 28~30 유출 | 9/30 인지 | 10/3 이전 |
| 웰컴저축은행 | 9/27~10/2 | 10/2 인지 | 10/4 이전 |
| 현대캐피탈 | 9/27 | 10/2 인지 | 10/3 |
| PFCT | 9/27 | 직후 대응 설명 | 10/4 이전 |
| 모우다 | 9/27~28 | 이상9/27, 유출 가능성9/28 | 9/29 |
| DB저축은행 | 보고서상 발생10 | 10 인지 | 10/14 당국, 16일 세부 |
| 산은캐피탈 | 미공개 | 10/12 유출 확인 | 10/14 이전 |
| OK저축은행 1차 | 10/11~12 | 10/12 인지, 15일 확정 | 10/13 가능성, 15일 통지 |
| OK저축은행 2차 | 10/15 새벽 | 점검 중 확인 | 10/16 |
| 새마을금고중앙회 | 10~11 | 10/12 인지 | 10/13 |
| 브라이트픽스 | 미공개 | 미공개 | 10/14 당국 명단 |
| 스트리미·고팍스 | 9월 초부터 | 10월 초 정황 확인 | 10/16 공지 인용 |
| 프라뱅 1차 | 시작시각 미공개 | 10/2경 확인 보도 | 10/14 이전 |
| 프라뱅 2차 | 10/24경 | 10/24 비정상 출금 탐지 | 10/26 |
| 미래에셋생명 | 미공개 | 이상10/25, 유출확인26일 | 10/26 |
| 미래에셋자산운용 | 미공개 | 정확한 날짜 미공개 | 10/28 |
| 대신증권 | 미공개 | 10/17 접근 감지 | 10/28 |
| 빗썸 | 10/27 확인된 반출 | 10/27 인지 | 10/28 당국, 29일 후속 |
대신증권은 10월 17일 비정상 접근을 감지했고, 28일 고객 3만8490명의 정보 유출을 알렸다. 28일 당일 새로 공격을 받은 것으로 해석하면 사건의 실제 흐름을 놓치게 된다. 최초 침입 시점이 공개되지 않은 만큼, 기사가 일시에 쏟아졌다고 해서 그 무렵 공격이 집중되었다고 볼 수는 없다.
공격의 시간표와 공표의 시간표는 결코 일치하지 않는다.
어떤 시스템에서 고객 피해로 이어졌나
서비스의 이름보다 그 안에서 무엇을 조회할 수 있었는지가 중요했다.
BNK부산은행은 일부 웹페이지의 세션 검증이 충분하지 않았다고 설명했다. 신한의 공격 경로는 대출모집인이 사용하는 모바일 홈페이지였다는 취재 결과다. 두 사건 모두 웹서비스를 거쳤지만 피해 대상과 확인된 허점은 구분해야 한다.
핵심 거래시스템과 분리된 서비스에도 고객정보가 있었다. 업무 편의를 위한 외부 접점을 보호하는 일과, 그곳에 어떤 정보를 보관할지 정하는 일이 함께 중요해진다. 다만 업무지원시스템이라는 공통점만으로 취약점까지 같았다고 추정할 수는 없다. 침입 경로가 미공개인 곳은 비교표에서도 그대로 남겼다.
공격을 알아차리는 데 걸린 시간
국회 제출자료 취재 보도에서 최초 접근과 인지 시각을 모두 확인할 수 있는 은행 세 곳을 다시 계산했다. 최초로 보고된 비정상 접근부터 사고 인지까지를 기준으로 삼았으며, 공개일이나 최초 유출 시각으로 바꾸지 않았다. 전체 피해기관의 평균을 대표하는 표본도 아니다.
| 기관 | 최초 접근 | 사고 인지 | 자체 계산한 간격 |
|---|---|---|---|
| KB국민은행 | 9/27 23:19 | 9/30 19:00 | 67시간41분 |
| 신한은행 | 9/28 18:04 | 9/29 09:30 | 15시간26분 |
| 하나은행 | 9/30 12:16 | 10/2 06:00 | 41시간44분 |
이 간격이 모두 정보 반출에 쓰인 시간은 아니며, 공격자의 속도와 별개로 침해를 인지하는 데도 시간이 걸렸음을 보여준다. 인지부터 공개까지는 정확한 공지 시각이 없는 사례가 있어 분 단위 비교에서 제외했다. AI가 탐색을 빠르게 하더라도 피해를 설명하려면 이 방어 측 시간표가 함께 있어야 한다.
세 은행이 침입을 알아차리기까지 15시간에서 67시간이 걸렸다.
피해 확대와 추가 공격도 다르다
KB국민은행의 유출 인원은 초기 119명에서 10월 26일 총 2210명으로 늘었다. 기존 사고를 재분석하며 추가 피해가 확인된 경우다. 같은 사건의 초기 집계와 최신 집계를 더하면 중복이므로, 피해 규모를 추적할 때는 발표의 기준일과 갱신 관계도 남겨야 한다.
OK저축은행은 대출신청 웹페이지의 1차 피해 250명에 이어, 모바일 수신서비스 관련 홈페이지에서 2차 피해 268명이 확인됐다. 이 경우에는 서로 다른 시스템의 후속 공격 기록이 있다. 다만 두 피해 집단의 중복 여부가 공개되지 않았다. 고유 피해자 518명이라고 합산하는 것도 이르다.
모우다는 공식 공지에서 유출 가능성을 안내했다. DB저축은행의 142명은 임직원·외주인력 정보 유출 추정치로, 일반 고객정보 유출은 없었다는 회사 설명과 함께 공개됐다. 고객과 직원 피해를 구분하지 않고 조사 중인 규모까지 확정 피해로 모으면 사건표의 의미가 달라진다.
웰컴저축은행의 국회 제출자료 취재에는 개인정보가 포함된 데이터 2299건이라는 추정치가 나온다. 중복을 제거한 사람 수가 아니다. 이를 다른 회사의 피해 인원과 더하면 단위부터 어긋난다. 기관 수와 사건 기록 수만 구분했으며, 전체 피해자의 합계는 내지 않았다.
숫자의 단위가 다르면 합계는 의미를 잃는다.
AI 사용을 보여준 것은 작업 기록이다
클라우드스트라이크(CrowdStrike)는 10월 7일 국내 금융권 공격 관련 인프라에서 아르텍스 설정과 클로드코드(Claude Code) 세션, 메모리 파일을 분석했다고 밝혔다. 도구 이름만 남은 웹페이지보다 구체적인 근거다. 접속이 빠르고 반복된다는 추정에서 더 나아가, 어떤 도구와 모델을 연결했는지 살필 작업 기록이 있었다.
AI가 맡을 수 있는 일은 목표를 나누고, 도구의 응답을 해석해 다음 작업을 고르는 과정이다. 사람이 결과를 읽고 다시 명령하던 사이를 소프트웨어가 이어준다. 이 구조라면 여러 작업을 계속 돌릴 수 있지만, 보고서만으로 공격 비용이나 성공률이 얼마나 바뀌었는지는 계산할 수 없다.
금융당국은 빗썸 침해 사고 역시 AI 에이전트를 동원한 유사 공격으로 파악하고 10월 28일 후속 점검과 조사에 착수했다.
그러면 모두 같은 AI 공격인가
당국 관계자 설명과 업체의 세션 분석은 근거의 형태가 다르다. 앞선 공격에서 아르텍스가 확인됐어도, 뒤의 사건까지 같은 버전으로 실행됐다고 단정할 수 없다. 동일한 도구를 쓴다는 판단과 같은 범인을 특정하는 판단도 별개다.
금융위는 10월 14일 점검에서 555개사 중 130개사가 일부 미흡사항을 보고했다고 밝혔다. 패치와 관제, 인증·권한 관리의 문제도 함께 봐야 한다. 당국이 외부 접점을 목록화하고 접근 권한을 명확히 관리하라고 주문한 이유다. AI 사용 사실만으로 각각의 침입 경로를 설명할 수는 없다.
빗썸이 29일 공개한 공지에는 구체적인 사고 원인이 계속 조사 중이라고 적혀 있다.
