신한은행 AI 해킹으로 2만5천명 정보 유출

AI가 공격 도구로 쓰이면서 은행 보안의 허점이 드러났다. 신한은행 고객 정보 유출 과정에 고도의 인공지능(AI) 에이전트가 활용된 것으로 확인됐다(연합뉴스 보도).

모집인 전용 ‘M 신한’ 뚫려…고객 2만5천명 정보 유출

대출모집인 서비스는 외부 대출 중개인이 자신이 접수한 대출의 처리 현황을 조회하는 전용 창구다. 신한은행 대출모집인들은 다른 은행과 달리 모바일 홈페이지 ‘M 신한’으로 이 현황을 간편 조회할 수 있었고, 외부 비인가자가 바로 이 경로를 뚫었다.

이 서비스의 통신 전문 구조(코드)를 해킹해 침입한 뒤 조회 입력값을 무작위로 대입해 정보를 호출하고, 확보한 고객 번호로 연락처 등 추가 정보를 탈취한 것으로 알려졌다. 유출된 정보는 주민등록번호 66건과 연계정보(CI) 97건을 포함한 고객명·전화번호·연 소득·대출 한도 등이며 피해 고객은 약 2만5천명에 달한다.

정상혁 신한은행장은 1일 홈페이지 사과문에서 외부 비인가자가 비정상적인 방법으로 일부 서비스에서 고객정보를 유출했다고 밝혔다.

무작위 값 대입 확산…”AI 에이전트 공격에 금융권 취약”

보안 전문가들은 이번 해킹이 신한은행만 겨냥한 것이 아니라 플랫폼 취약점을 노린 AI 기반 무작위 공격으로 보고 있다. 최근 대규모 유출 사고를 겪은 미용의료정보 플랫폼 강남언니와 온라인 패션 플랫폼 29CM 사고와 유사한 방식이라는 분석이다.

AI 에이전트가 발전하면서 무작위로 정보값을 대입해 보는 해킹 방식이 확산하고 있다는 것이다. 금융권 관계자는 금융권 전체가 AI 에이전트 공격에 취약한 상황이라며 자체 점검이 시급하다고 지적했다. 현재로서는 국내 해커의 소행은 아닌 것으로 추정된다.

금융위·금감원 긴급 대응회의…조사 결과까지 수개월

금융위원회와 금융감독원은 1일 오전 긴급 대응회의를 소집했고, 금융보안원은 전날부터 현장에서 사고 원인을 조사 중이다. 최종 조사 결과 발표까지는 수 개월이 소요될 것으로 보인다.

신한은행은 비상대책반을 구성해 전사적 비상대응체계를 가동하고 있다. 외부 IP 차단, 관련 서비스 중단, 신규 보안 정책 적용 등 긴급 조치를 완료했다고 밝혔다. 은행은 고객이 직접 쓰는 ‘신한 슈퍼SOL’ 앱은 정식 인증이 필요한 뱅킹 앱으로 이번 사고와 무관하다고 설명했다.

”보안의 질적 전환 필요”…AI 기반 방어 체계가 과제

주요 시중은행 개인정보 유출은 올해 들어 두 번째다. 7월에는 우리은행에서 외부 개발업체가 임의 보관한 개인정보 1만7천551건이 해당 업체 직원 과실로 새어 나왔다.

김환국 국민대 정보보안암호수학과 교수는 공격 기술이 ICT에서 AI로 전환되는 속도를 은행과 기업의 보안 체계가 따라가지 못한다고 지적했다. 양적인 보안 인프라에 더해 AI 기반 방어 기술과 심도 있는 대응 체계 같은 질적 변환이 필요하다는 것이다. 이번 사고를 계기로 은행권 보안 패러다임 재점검이 확대될지 주목된다.