[AI해킹 속수무책] 은행, 서버 뺏길라 서비스 폐쇄… 새 방어망 부족한 연말연초 '위기'

금융권은 서버 장악 위험이 드러난 서비스까지 폐쇄하며 인공지능(AI) 해킹 방어에 나섰다. AI가 취약점을 찾아 침투를 반복하는 가운데 접근통제와 업데이트 미흡도 공격의 통로로 남았다. 은행들은 감시와 차단을 강화하고 있지만 새 방어 시스템 상당수는 연말·내년 구축이 목표여서 당장 공격과 장기적인 보안 개선을 동시에 감당해야 하는 처지에 놓였다.

27일 금융당국과 금융권 등에 따르면 국민은행은 PHP 보안 결함에 대응해 지난 22일 기준 관련 서비스 5개 중 2개의 보안 조치를 완료했다. 나머지 3개는 접속을 차단하고 취약점을 고친 뒤 재개할 방침이다. PHP 공격을 탐지하는 보안정책을 등록하고 관제 위협단계도 ‘경계’로 높였다. 우리은행도 외부에서 접근할 수 있는 사무·홍보용 서비스 2개의 보안 조치를 마쳤다.

PHP는 웹서비스 개발에 사용하는 프로그래밍 언어다. 이번에 공개된 결함은 일부 환경에서 별도 인증 없이 서버 명령을 실행할 수 있어 정보 유출이나 서버 장악으로 이어질 수 있다. 금융보안원은 취약 버전 사용 여부와 침해 흔적을 확인하고 보안패치를 적용하도록 권고했다. 농협은행은 24시간 관제와 비상대응반에 준하는 체계를 가동 중이다.

은행들이 긴급 대응에 나선 PHP 결함은 공식 공개 전부터 공격에 악용하려는 시도도 있었던 것으로 드러났다. 아마존웹서비스(AWS)는 PHP 취약점이 공식 공개되기 나흘 전인 17일 이미 자사 해커 유인 시스템에서 관련 악용 시도를 포착했다고 밝혔다. 보안 결함이 알려진 뒤 점검을 시작하면 이미 공격이 진행 중일 수 있음을 보여주는 사례다.
국내 금융기관을 공격한 해커 측 서버에서도 AI 도구 사용 흔적이 확인됐다. 미국 보안기업 크라우드스트라이크는 이달 7일 국내 금융기관을 겨냥한 공격자의 서버에서 아르텍스 설정 파일과 AI 코딩 도구 클로드 코드의 작업 기록 등을 발견했다고 밝혔다. 아르텍스는 AI가 침투 작업을 나눠 수행하고 결과에 따라 다음 작업을 결정하는 도구다. 기존 공격 도구를 연결해 탐색과 침투를 반복하면서 금융회사가 대응할 시간을 압박하는 방식이다.

기본적인 보안 관리도 과제다. 김진수 한국정보보호산업협회장은 방화벽, 암호화, 다중 인증과 취약점 탐지·대응 등 기본 방어체계를 먼저 갖춰야 한다고 강조했다. 금감원에 따르면 2022년부터 올해 8월까지 전자금융 사고와 침해 사고 2189건 중 91건은 인지하기까지 한 달 이상 걸렸다. 이 가운데 17건은 1년 넘게 지나서야 파악됐다.

은행들은 공격을 자동으로 찾아내고 차단하는 시스템을 도입하고 있다. 국민은행은 약 51억 원 규모 AI 위협 대응 사업을 연내 완료할 방침이다. 하나은행은 올해 4분기부터 내년 1분기까지 이상행위 분석과 네트워크 위협 대응, 사고 흔적을 추적하는 디지털포렌식 체계를 구축할 계획이다. 농협은행도 연말 서버 위협 대응 시스템 도입과 내년 상반기 AI 보안관제 고도화를 추진한다.

신한은행은 자체 진단과 외부 전문기관 검증을 병행하며 외부 노출 시스템과 보안패치 관리 절차를 개선하고 있다. 국민·하나은행은 내년 정보보호 예산을 각각 1000억 원 이상 편성할 계획이다. 은행들은 피해 고객에게 금융범죄 피해 보험과 명의 보호 서비스를 제공하고 2차 피해를 배상할 방침이다.

신한은행은 피해 고객 전원에게 은행 부담으로 보장기간 1년, 1인당 최대 1000만 원의 사이버 금융범죄 피해 보험을 제공할 예정이다. 하나은행도 금융사고 안심보험 등 명의 보호 서비스를 제공하고 2차 피해 발생 시 배상할 계획이다. 국민은행 역시 2차 피해 전액 보상 방침을 밝혔다.
최경진 한국정보법학회장은 민간의 취약점 발굴에 인센티브를 제공하고 신속한 정보 공유·대응체계를 제도화하는 일이 시급하다고 강조했다. 금융권 관계자는 “AI를 활용한 사이버 공격이 갈수록 정교해지면서 기존 보안 시스템만으로 대응하기에는 한계가 있다”고 말했다.


홍석경 글로벌이코노믹 기자 hong@g-enews.com