거대 은행들 뚫은 해킹, 인뱅은 막아내…금융권 ‘조기경보’가 생명줄

이들 해커로부터 케이뱅크와 카카오뱅크 등 인터넷전문은행 역시 공격 아이피(IP)의 접근을 받았지만, 이를 차단했다. 반면, 신한·국민·하나은행에서는 실제 개인정보 유출 사고로 이어졌다.

12일 금융권에 따르면, 공격자가 움직인 시간과 금융회사가 알아차린 시간 사이의 간극이 컸던 것으로 조사됐다. 국민은행은 최초 공격 이후 사고를 인지하기까지 67시간41분, 하나은행은 41시간44분이 걸렸다. 신한은행도 최초 접근 후 비정상 움직임을 포착하기까지 15시간26분이 걸렸다. 인공지능(AI)이 해킹의 속도를 끌어올리는 상황에서, 금융권의 방어 체계가 ‘사고가 난 뒤 조사하는 방식’에 머물러서는 안 된다는 지적이 나오는 이유다.

이번 사태에서 가장 눈에 띄는 대목은 인터넷전문은행 3사다. 이들은 해킹 피해를 입지는 않았지만, 공격자의 사전 탐색 대상에는 포함돼 있었던 것으로 확인됐다. 이는 금융당국이 최근 금융회사 침해사고에 사용된 IP를 공유한 뒤 각 금융사가 과거 접속 기록을 역추적한 결과다. 

카카오뱅크에서는 올해 1월과 3월 서로 다른 IP를 통한 접근이 6차례 확인됐다. 지난달 29일에는 취약점 탐색을 위한 접근도 있었지만, 보안체계가 이를 탐지해 차단했다.

케이뱅크에서도 7월부터 모두 4차례 접근이 있었다. 토스뱅크에서는 1월부터 8월까지 모두 14차례 접근 시도가 확인됐다. 토스뱅크는 이들 접속을 방화벽에서 차단했다. 시스템 침해나 고객정보 유출은 확인되지 않았다. 문제는 이런 정보가 공격 당시에는 금융권 전체의 공동 경보로 이어지지 않았다는 것이다.

금융회사에는 매일 수많은 비정상 접속이 발생한다. 따라서 특정 IP가 한두 번 접근했다고 해서 그것을 실제 공격이라고 단정하기 어렵다. 공격자가 클라우드 서버나 우회 IP를 이용하는 경우, IP 하나만으로 동일 공격자인지 판단하기도 어렵다.

그러나 여러 금융회사에서 동일하거나 연관된 IP가 반복적으로 발견된다면 이야기가 달라진다. 한 은행에서는 ‘차단된 이상 접속’에 불과했던 정보가, 다른 은행에서는 ‘공격 전조’가 될 수 있기 때문이다.

금융당국도 이 문제를 인식하고 있다. 금융위원회는 지난 2일 긴급 상황대응회의에서 공격 IP 등 위협정보를 신속하게 공유하고 금융권 공동대응을 강화하겠다고 밝혔다. 6일 전 금융권 긴급점검회의에서도 같은 원칙을 재차 강조했다.

이번 해킹의 또 다른 특징은, 핵심 금융거래 시스템을 정면으로 공격하지 않았다는 점이다. 신한은행에서는 대출모집인이 고객의 대출 가능 여부를 조회하는 시스템에서 약 2만5727명의 개인정보가 유출됐다. 국민은행에서는 직원용 업무지원 시스템을 통해 개인정보가 빠져나갔다. 

하나은행에서는 영업지원시스템(ODS)이 공격 대상이 됐다. 하나은행의 경우 외부 공격은 10시간36분 동안 계속됐지만, 고객정보 유출을 인지한 것은 최초 공격 41시간44분 뒤였다. 즉 해커들은 은행의 ‘금고’를 부수기보다, 대출모집인·직원·영업점 등이 사용하는 외부 연결 시스템이라는 ‘옆문’을 공략했다.

이런 해킹방식은 앞으로 더욱 빈번해질 전망이다. 은행들이 클라우드, AI, 외부 솔루션, 협력업체 시스템을 활용할수록, 금융회사 내부의 핵심망과 외부 시스템 사이에 새로운 접점이 계속 만들어지기 때문이다.

실제로 글로벌 보안업계에서도 ‘공격 표면의 확대’가 주요 위험으로 지목되고 있다. 2026년 버라이즌 데이터 침해 조사에 따르면, 소프트웨어 취약점 악용이 전체 침해사고의 31%로 조사됐다. 탈취된 인증정보를 제치고, 처음으로 가장 큰 침투 경로가 된 것이다. 제3자가 연관된 침해사고도 전체의 48%까지 올라갔다.

이번 사태에서 우리은행과 농협은행은 유사한 공격을 받았지만, 현재까지 개인정보 유출은 확인되지 않았다. 우리은행은 대출모집인 관련 업무에서 ODS 단말기와 별도의 인증 절차 등을 활용해 외부 접근을 제한하고 있다. 농협은행 역시, 외부 지원시스템을 최소화하고 사용자·단말·서버의 움직임을 함께 분석하는 행위 기반 보안관제를 강화해왔다.

인터넷은행 3사도 비슷하다. 카카오뱅크는 지난해 정보기술(IT) 투자액 2113억원 가운데 12.4%에 해당하는 261억원을 정보보호에 배정했다. 정보보호 전담인력 비중도 9.1%였다. 생성형 AI를 겨냥한 프롬프트 공격 탐지와 대량언어모델(LLM) 입출력 보안 등 AI 특화 보안에도 투자하고 있다. 

이와관련, 한 은행 고위 관계자는 “단순히 ‘인뱅은 안전하고 시중은행은 취약하다’고 해석해서는 안 된다. 인터넷은행도 공격을 받았고, 우리은행과 농협은행 역시 공격 시도가 있었다”며 “이번 사례는 △강한 인증, △최소권한, △외부 접점 축소, △상시 모니터링, △신속한 차단 같은 기본적인 방어선이 실제 피해 여부를 가를 수 있음을 보여준다”고 해석했다.

금융당국의 한 관계자도 “△다중인증, △물리적 차단, △접속권한 관리, △정보 암호화 등을 얼마나 유기적으로 운영하느냐에 따라, 금융회사별 피해 차이가 나타났다”고 설명했다.

문제는 앞으로 금융회사가 지금보다 훨씬 빠르게 움직여야 한다는 점이다. 글로벌 보안업체 크라우드스트라이크에 따르면, 2025년 사이버 범죄자의 평균 ‘브레이크아웃 타임’, 즉 최초 침투 이후 다른 시스템으로 이동하는 데 걸리는 시간은 29분까지 줄었다. 전년보다 65% 빨라졌다. 가장 빠른 사례는 불과 27초였다. AI를 활용한 공격자의 활동도 전년보다 89% 증가했다.

버라이즌 역시, AI가 알려진 취약점이 실제 공격으로 악용되는 시간을 ‘수개월에서 수시간’으로 줄이고 있다고 분석했다. 아이비엠(IBM)의 2026년 조사에서는 악의적 침해사고 4건 중 1건이 AI를 활용한 것으로 나타났다. AI 기반 공격은 전년보다 56% 증가했고, 평균 피해 비용도 약 600만달러(약 80억 3220만 원)에 달했다. 

이제 금융권 보안의 핵심은 ‘얼마나 많은 보안장비를 갖췄느냐’에서 ‘얼마나 빨리 발견하고, 얼마나 빨리 금융권 전체가 움직이느냐’로 바뀌고 있다.

이번 사건에서 금융당국은 공격에 사용된 IP를 금융회사들에 공유하고 외부 노출 IT 자산, 인증·접근통제, 침해활동 탐지체계를 전면 점검하도록 했다. 그러나 앞으로는 사고가 발생한 뒤 IP를 공유하는 방식만으로는 부족하다는 지적이 나온다. 

예컨대 A은행에서 해외 IP의 비정상 접속이 차단됐다면, △해당 IP와 접속 패턴, △공격 대상 웹사이트 주소(URL·Uniform Resource Locator), △사용된 계정 형태, △빈도, △인증 우회 방식 등을 익명화해 금융권 전체에 실시간으로 전달할 필요가 있다는 것이다. B은행에서 같은 IP가 발견되면 단순한 ‘로그인 실패’가 아니라 A은행에서 발생한 정보와 결합해 위험도를 높여야 한다는 조언도 나온다. C은행에서 같은 공격 패턴이 다시 나타나면 금융보안원이 이를 ‘공동 경보’로 격상하는 방식이다.

결국 필요한 것은 ‘IP 공유’가 아니라, ‘위협정보의 상관분석’이라는 지적이다. 한 금융회사에서 발견된 작은 이상징후를 금융권 전체의 빅데이터와 연결해 ‘공격 전조’로 판단할 수 있어야 한다는 것이다.

금융권 관계자들이 “개별 회사가 가진 정보를 신속하게 공유하고 상관관계를 분석해 업권 전체에 경보를 줄 수 있는 체계를 고도화해야 한다”고 말하는 것도 이런 이유다.

금융보안업계 한 관계자는 “이번 사고를 계기로 단순한 사후점검을 넘어 금융회사 간 실시간 위협정보 공유, 공동 위협헌팅, AI 기반 이상징후 분석, 공동 대응훈련 등으로 금융보안 체계를 고도화할 필요가 있다”며 “무엇보다 중요한 것은 ‘누가 뚫렸는가’를 확인하는 것이 아니라, ‘다음 금융회사가 뚫리기 전에 알 수 있느냐’는 것”이라고 설명했다.

권선무 기자