미국 보안업체 크라우드스트라이크가 수요일 발표한 조사 보고서에서, 최근 2주간 한국 은행들을 잇달아 공격한 주체가 26세 단독 공격자일 가능성이 높다고 밝혔다. 보고서에 따르면 이 인물은 중국 광둥성 마오밍에 거주하는 것으로 추정되며, 금전적 이익을 목적으로 중국 개발자가 만든 오픈소스 AI 모의침투 도구 ARTEX를 여러 대형언어모델과 함께 사용해 정찰, 스캐닝, 침입을 수행한 것으로 보인다. 크라우드스트라이크는 이 판단에 대해 "중간" 수준의 확신도를 부여했다.
9월 하순부터 한국에서는 최소 9개 금융기관이 공격 피해를 공개했거나 현지 언론에 보도됐다. 신한은행의 대출중개 조회 시스템은 3일 연속 공격을 받아 25,729명 고객의 이름, 전화번호, 연소득, 대출액 정보가 노출됐다. KB국민은행과 하나은행에서는 각각 119명, 89명의 고객 정보가 유출됐고, BNK부산은행에서는 직원 11명의 정보가 유출됐다.
신원은 어떻게 드러났나
크라우드스트라이크의 추적은 공격자가 남긴 AI 코딩 도구 세션과 관련 서버에서 시작됐다. 보고서에 따르면 용의자는 Claude에게 자신의 이력서 작성을 요청했는데, 여기에 메신저 계정, 나이, 학력, 그리고 거주지로 마오밍이 적혀 있었다. 연구진은 세션 안에서 중국어 프롬프트도 대량으로 발견했다.
공격 방식 자체에 특별히 새로운 기법은 없었다. 뚫린 곳은 모두 주변 시스템으로, 대출중개 플랫폼, 직원 업무 시스템, 외부 협력사 시스템이었고 핵심 계정계 시스템 피해는 현재까지 보고되지 않았다. 도구 측면에서는 ARTEX가 올해 7월 GitHub에 공개돼 정찰, 취약점 스캐닝, 공격 경로 설계를 자동화하는 데 쓰였다. 보고서는 공격자가 주로 DeepSeek v4.1-flash를 사용했고 GLM-5.3과 Grok 4.6을 보조적으로 활용했으며, 일부 작업은 Claude Code 세션을 통해 이뤄졌다고 밝혔다.
"This allows one human to target many customers in a very short period of time using the power of AI."
(AI의 힘을 빌리면 한 사람이 매우 짧은 시간에 수많은 고객을 공격 대상으로 삼을 수 있다 — 크라우드스트라이크 정보 책임자 Adam Meyers)
Anthropic과 한국 경찰은 언론의 논평 요청에 응답하지 않았다. 중국 외교부 마오닝 대변인은 구체적인 상황을 알지 못한다면서도 중국은 모든 형태의 해킹에 반대한다고 말했다. 일부 보도에서는 한국 금융보안원이 추적한 공격 IP가 12개국 및 지역에 분산돼 있었다고 전했지만, 이를 뒷받침하는 공식 문서는 현재까지 확인되지 않았다.
당국은 먼저 외곽 시스템부터 막는다
한국 금융당국은 은행들에 외부에 노출된 시스템의 취약점을 점검하고, 외부 협력사 계정에 대한 인증과 접근 통제를 강화하며, 해외 IP 접속을 차단하도록 요구했다. 이 조치들은 바로 이번에 뚫린 지점을 겨냥한 것이다. 대출중개, 외주 운영 같은 시스템은 대개 제3자가 개발해 권한이 넓게 부여되고 패치 적용도 느린 경우가 많다.
중국 AI·보안 업계에 주는 의미
이번 사건에서 사용된 도구는 중국산 오픈소스 프로젝트였고, 주력 모델은 DeepSeek와 GLM이었으며, 용의자의 위치도 중국을 가리켰다. 대형언어모델 API와 오픈소스 보안 도구를 다루는 중국 기업들로서는 압박이 두 갈래로 쏠리게 된다.
첫째는 API 쪽 악용 탐지다. 해외 주요 모델 업체들은 이미 정기적으로 악용 보고서를 내고 있다. Anthropic은 지난해 11월 자사가 GTG-1002라 명명한 조직이 Claude Code를 이용해 약 30개 표적에 대한 공격을 자동화했다고 공개한 바 있다. 중국 업체들이 이와 비슷한 공개 보고서를 내는 경우는 드물며, 이번에 DeepSeek v4.1-flash가 주력 모델로 지목되면서 해당 업체의 사용 모니터링이 어느 정도까지 포착할 수 있는지에 대한 질문이 자연스럽게 제기된다.
둘째는 오픈소스 침투 도구의 공개 방식이다. ARTEX 같은 도구는 보안 테스트에서 정당한 용도를 갖고 있고, 코드는 GitHub에 올라가 누구나 내려받을 수 있다. 이번 한국 사건들 이후 호스팅 플랫폼이 이런 유형의 프로젝트에 이용 약관이나 접근 제한을 추가할지는 앞으로의 행보를 지켜봐야 한다.
참고 출처: 로이터, The Korea Times, The Decoder, CocoLoop, The Elec. 용의자 프로필과 도구·모델 목록은 크라우드스트라이크 보고서로, 각 은행 피해자 수는 한국 언론 보도로 확인함.