2026년 10월 7일, 미국 보안업체 CrowdStrike가 한국 금융사를 노린 공격을 분석한 글을 냈어요. 9월 말부터 10월 초 사이 한국 금융사 여러 곳에서 고객 정보가 빠져나간 사건이에요. CrowdStrike는 공격자가 AI 에이전트를 써서 짧은 기간에 여러 곳에 침입했다고 봤어요. 그런데 CrowdStrike가 피해 시스템으로 묘사한 두 곳은 고객이 쓰는 뱅킹 앱이 아니었어요. 하나는 대출 중개인이 쓰는 진행 조회 서비스였고, 다른 하나는 직원용 모바일 업무 지원 시스템이었어요.
공격자가 누구나 열어 볼 수 있는 서버 폴더에 AI 작업 기록을 남겼고, 보안업체 CrowdStrike가 그 기록을 확보했어요
CrowdStrike가 분석한 자료는 공격자가 통제하던 서버의 공개 디렉터리, 곧 누구나 열어 볼 수 있게 설정된 폴더에 있었어요. 그 폴더에는 Claude Code 작업 세션 기록과 ARTEX라는 AI 에이전트의 설정 파일, Claude가 작업 내용을 기억해 두는 메모리 파일이 그대로 남아 있었어요. CrowdStrike는 국내 사건 보도에서 출발해 이 흔적을 찾았고, 기록에 나온 대상이 업계에 알려진 피해 기관과 겹치는지 대조했어요. 피해 기관의 내부 로그를 직접 봤는지는 공개 설명에 없어요.
기록에는 침입 뒤의 일도 남아 있었어요. 공격자는 Claude에게 한국에서 유출된 데이터를 보통 어디서 파는지 물었고, 다른 세션에서는 이번 활동의 성과를 넣은 ‘보안 연구원 이력서’를 써 달라며 이름과 연락처 같은 신상 정보를 넣었어요. CrowdStrike는 이 정보가 공격자 본인의 것일 가능성이 높지만 확정할 수는 없다고 적었어요. 침입부터 데이터를 팔 곳을 묻는 일까지 같은 AI 작업 공간에서 이어졌고, 그 기록이 그대로 공격자를 추적하는 자료가 됐어요.
CrowdStrike는 결론에 이렇게 적었어요.
“AI tooling can enable a financially motivated threat actor to conduct multiple intrusions within a short time span.” (AI 도구는 금전을 노리는 공격자가 짧은 기간에 여러 곳에 침입할 수 있게 해 준다.)
다만 CrowdStrike는 같은 글에서 피해 기관이 몇 곳인지는 “확인되지 않았다”고 적었고, 공격자가 중국어 사용자이며 금전 목적이라는 판단도 중간 정도의 확신이라고 밝혔어요. CrowdStrike는 위협 정보 상품을 파는 회사이고, 이 분석 글 끝에도 데모 신청 안내를 달았어요.
공격자는 공개된 지 두 달 된 무료 도구를 다른 회사가 만든 상용 AI 모델로 돌리며, 여러 금융사에 가리지 않고 침입을 시도했어요
ARTEX는 7월 26일 GitHub에 공개된 오픈소스 에이전트예요. 시스템에 일부러 침입해 보며 빈틈을 찾는 침투 테스트를 AI로 자동으로 돌리는 도구예요. 9월 3일에는 바이두가 연 AI 보안 에이전트끼리 공격과 방어를 겨루는 대회에서 약 150개 팀 가운데 종합 1위를 했어요. 9월 24일 최신판이 나왔고, 사흘 뒤인 9월 27일 국민은행을 노린 공격이 시작됐어요.
ARTEX에는 자체 AI 모델이 없어서, ChatGPT·Claude·DeepSeek 같은 바깥의 상용 모델에 연결해야 돌아가요. CrowdStrike가 확보한 설정을 보면 공격자가 ARTEX에 연결한 주 모델은 DeepSeek v4.1-flash였고, 공격자는 DeepSeek 공식 서비스가 아니라 이용권을 되파는 중간 업체로 보이는 곳을 거쳐 접속했어요. 공격자는 ARTEX와 따로 Anthropic의 AI 코딩 도구인 Claude Code도 썼고, Claude Code 세션 가운데 일부에서는 Zhipu AI의 GLM-5.3과 xAI의 Grok 4.6을 보조 모델로 썼어요. 공격에 쓰인 AI는 모두 여러 회사가 이미 서비스하고 있는 상용 모델이었어요.
CrowdStrike의 Adam Meyers는 Reuters에 이번 일을 “AI 에이전트를 활용한 사람 공격자”의 공격으로 보고, AI의 힘을 빌리면 “한 사람이 아주 짧은 기간에 많은 대상을 노릴 수 있다”고 했어요. 국내 당국도 이번 일을 특정 회사를 골라 노린 공격이 아니라, AI로 여러 금융사에 가리지 않고 침입을 시도해 방어가 약한 곳이 뚫린 것으로 봤어요. 금융보안원장은 은행들을 노린 공격의 출발 IP가 거의 같았고, 저축은행 쪽은 조금 달랐다고 말했어요. 모든 피해 회사가 같은 공격자에게, 같은 도구로 당했다는 공식 확인은 아직 없어요.
공격을 이끈 쪽은 사람이었어요. 금융보안원 관계자는 이번 공격에서 AI가 사람의 개입 없이 독립적으로 움직이지는 않았다고 했어요. 매체 Forkast도 지금의 AI 침입은 사람이 이끌고, AI는 공격의 규모를 키우는 역할을 한다고 정리했어요.
뚫린 원인은 새로 찾은 보안 구멍이 아니라, 업무 시스템에 남아 있던 약한 본인 확인 같은 오래된 빈틈이었어요
금융위원회는 10월 4일 보도참고자료에서 최근 침해사고가 일어난 곳으로 “대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템”을 지목했어요. CrowdStrike가 묘사한 두 곳도 이 범위에 들어요. 신한은행에서는 은행 직원이 아니라 외부 대출 중개인이 쓰는 조회 사이트가 뚫려, 고객 이름과 연락처, 연소득, 대출한도가 빠져나갔어요. 인터넷·모바일 뱅킹과 계좌·거래를 처리하는 핵심망은 뚫리지 않았고, 비밀번호와 OTP도 유출되지 않았어요. 고객이 돈을 잃은 사례도 확인되지 않았어요.
American Banker는 공격자들이 복잡한 취약점이 아니라 평범한 보안 관리 실패로 보이는 빈틈을 이용했다고 썼어요. 신한은행 조회 사이트에서는 휴대폰 본인 확인 단계가 뚫렸고, 부산은행은 일부 웹페이지에서 접속 세션을 충분히 검증하지 않았다고 인정했어요. American Banker는 외부인력에게 넓게 열어 둔 열람 권한도 원인으로 꼽았어요. 지금까지 공개된 자료에는 이번 공격에서 새로 찾아낸 보안 결함이 나오지 않아요. 개발자 블로그 Dev Genius에 글을 쓴 NAJAM US SAQIB도 이 사건에 ‘AI 에이전트는 한국 은행 해킹에서 가장 값싼 부분이었다’는 제목을 붙였어요. 보안기업 스틸리언의 박찬암 대표는 금융의 핵심 시스템에는 아이디와 비밀번호 말고도 다른 인증 수단이 있어서 괜찮았고, 이번에는 주변 시스템이라 이런 공격이 가능했던 것으로 본다고 했어요.
피해 규모로는 Wall Street Journal이 당국자를 인용해 보도한 ‘적어도 7개 금융사, 6만 8천 명’이 가장 널리 알려졌어요. 이 숫자는 금융위원회 발표 원문에는 없어요. CrowdStrike는 피해 회사 이름을 밝히지 않았고, 국내 당국도 ARTEX를 공식으로 지목하지 않았어요. 국내 보도에 나온 회사별 유출 규모와, 회사마다 AI 도구와 연결된 근거가 어디까지 공개됐는지는 아래와 같아요.
| 회사 | 공개된 유출 규모 | AI 도구와 연결된 공개 근거 |
|---|---|---|
| 신한은행 | 고객 25,727명 | CrowdStrike가 이름 없이 묘사한 대출 중개인용 진행 조회 서비스와 같은 종류의 시스템 |
| 국민은행 | 119명(고객 99명, 전·현직 직원 20명) | ARTEX 최신판이 나오고 사흘 뒤 공격이 시작됐다는 보도(경향) |
| 하나은행 | 89명 | 회사별 AI 연관 근거는 공개되지 않음 |
| 부산은행 | 외주 개발자 11명 | 회사별 AI 연관 근거는 공개되지 않음 |
| 웰컴저축은행 | 기업고객 기록 최대 2,200건 | 회사별 AI 연관 근거는 공개되지 않음 |
| 현대캐피탈 | 대출 모집인 146명 가운데 일부 | 회사별 AI 연관 근거는 공개되지 않음 |
| 예가람저축은행 | 약 40,000명 | AI 연관을 다룬 공개 보도 자체가 없음(Reflectiz 정리) |
표의 숫자를 더하면 대략 6만 8천이 되지만, 이 값은 사람 수(명)와 기업고객 기록 수(건), 인원이 밝혀지지 않은 현대캐피탈의 ‘일부’가 섞인 대략치이고 공식 발표도 아니에요. 가장 큰 몫인 예가람저축은행 약 4만 명은 AI와 연결된 공개 보도가 없어서, 6만 8천 명 전체를 AI 에이전트 공격의 피해로 보기는 어려워요.
Korea JoongAng Daily는 은행 세 곳이 침해가 일어난 뒤 이를 알아채기까지 걸린 시간도 전했어요.
세 곳 가운데 두 곳은 침입을 알아채기까지 하루를 넘겼고, 국민은행은 사흘 가까이 걸렸어요.
공격 도구는 복사본이 퍼져 막기 어렵고, 금융위원회는 고객용인지가 아니라 바깥에 열려 있는지를 기준으로 시스템을 점검하게 했어요
ARTEX 개발자는 도구가 악용된 사실이 알려지자 10월 8일 소스를 비공개로 돌리고 업데이트를 멈췄어요. 불법적인 사용에 반대하며, 법을 어긴 행위에 대해서는 책임이 없다고 밝혔어요. 원래 GitHub 페이지에도 개인 학습과 코드 연구용이니 실제 온라인 시스템에 쓰지 말라는 문구가 있었어요. 그러나 이미 퍼진 복사본은 남았어요. BleepingComputer는 영어와 한국어로 고친 파생판을 지금도 그대로 구할 수 있다고 전했고, Dev Genius는 누구나 내려받을 수 있는 복사본이 GitHub에 897개 남아 있다고 적었어요. 금융보안원 관계자도 ARTEX 같은 오픈소스 AI 도구가 아주 많다고 했어요. 개발자가 소스를 닫은 뒤에도 같은 종류의 도구는 계속 구할 수 있어요.
금융위원회는 10월 4일 일요일에 정부서울청사로 금융권 협회장과 주요 금융사, 관계 부처를 불러 긴급 점검회의를 열었어요. 금융위는 고객용인지 아닌지와 상관없이 바깥에 노출된 IT 자산을 모두 점검하고, 업무상 꼭 필요하지 않은 외부 접근은 원칙적으로 막으라고 했어요. 인증 절차가 빠지거나 우회될 수 있는 경로를 점검하라고 지시했고, “AI공격은 AI로 방어하는” 보안체계를 갖추라고 주문했어요. 금융당국은 이에 앞서 10월 1일 공격에 쓰인 IP 정보를 금융사 약 500곳에 공유했어요.
금융위가 점검 대상을 나눈 기준은 고객이 쓰는 시스템인지가 아니라 바깥에 열려 있는지였어요. 이번에 뚫린 대출 중개인용 조회 사이트와 직원용 모바일 업무 시스템은 고객이 직접 쓰는 시스템은 아니었지만, 외부 중개인과 직원이 바깥에서 접속하는 시스템이었어요.
고객이 쓰는 뱅킹과 핵심망은 이번에 뚫리지 않았어요 → 공격자가 상용 AI 모델을 붙인 에이전트로 여러 금융사에 가리지 않고 침입을 시도하자, 본인 확인이 약한 대출 중개인·직원용 업무 시스템이 뚫렸어요 → 그래서 금융위원회가 잡은 점검 기준은 고객용인지가 아니라 바깥에 열려 있는지예요.
