🏦 은행 연쇄 해킹, 중국 AI 도구 '아르텍스'가 뚫었다? 금융권을 덮친 AI 해킹의 모든 것

🏦 은행 연쇄 해킹, 중국 AI 도구 '아르텍스'가 뚫었다?
금융권을 덮친 AI 해킹의 모든 것 🚨

신한·KB국민·하나은행부터 저축은행·캐피털까지, 중국 연루 논란의 실체와 내 정보 지키는 방법 총정리 🔐

---

안녕하세요 🙋 요즘 뉴스를 켜면 빠지지 않고 나오는 소식이 있죠. 바로 국내 은행과 금융사를 줄줄이 덮친 해킹 사고입니다. 처음에는 한 은행의 고객 정보 유출 소식으로 시작했는데, 불과 며칠 사이에 5대 은행 전체가 공격을 받았고, 저축은행과 캐피털사까지 피해가 번졌다는 보도가 이어지고 있어요 😨 게다가 이번 사건에는 "중국어 기반 AI 해킹 도구가 사용됐다"는 정황까지 나오면서 "정말 중국이 한 짓이냐"는 질문이 커뮤니티와 댓글창을 뒤덮고 있습니다.

저도 처음에는 헷갈렸어요. 도구가 중국산이면 공격자도 중국인일까? 내 개인정보는 안전한 걸까? 은행 앱을 계속 써도 되는 걸까? 이런 의문이 꼬리에 꼬리를 물더라고요. 그래서 오늘은 지금까지 공개된 보도와 당국 발표를 바탕으로 ① 무슨 일이 벌어졌는지, ② 중국 연루 논란에서 확인된 것과 확인되지 않은 것, ③ AI 해킹이 왜 이렇게 위협적인지, ④ 우리가 당장 할 수 있는 대응까지 한 번에 정리해 보겠습니다 📝

📌 안내 · 이 글은 2026년 10월 6일 기준으로 공개된 언론 보도와 금융당국 발표를 종합한 내용입니다. 조사가 진행 중인 사건이라 피해 규모와 공격 주체에 대한 판단은 앞으로 달라질 수 있어요. 또한 이 글은 사건의 이해와 피해 예방을 위한 정보 제공이 목적이며, 공격 방법을 따라 하게 만드는 기술적인 내용은 일부러 다루지 않았습니다.

📑 목차

1. 사건 개요: 지금까지 알려진 피해 현황 📊
2. 공격 타임라인: 9월 28일부터 10월 6일까지 ⏱️
3. '아르텍스(ARTEX)'는 어떤 도구인가 🤖
4. 언론 모의 실험이 보여 준 충격적인 속도 ⚡
5. 어디가 뚫렸나: 정문이 아니라 '옆문' 🚪
6. 중국 연루 논란, 확인된 것과 아닌 것 🔎
7. AI 해킹이 이전과 다른 이유 🧠
8. 정부와 금융당국의 대응 🏛️
9. 내 정보는 안전할까? 고객 행동요령 🛡️
10. 금융사와 기업이 해야 할 일 🏢
11. 앞으로의 쟁점과 전망 🔭
12. 자주 묻는 질문 Q&A ❓
13. 마무리하며 🌿

📊 1. 사건 개요: 지금까지 알려진 피해 현황

이번 사건의 가장 큰 특징은 '동시다발'입니다. 한 곳이 뚫린 뒤 다른 곳으로 번진 게 아니라, 비슷한 시기에 여러 금융사가 비슷한 방식의 공격을 받았다는 점이 눈에 띄어요. 금융당국은 지난 9월 28일부터 10월 3일 사이 신한·하나·KB국민·부산·NH농협·우리은행을 대상으로 한 공격에서 공통된 IP 주소와 유사한 AI 활용 수법을 발견했다고 밝혔습니다. 당국은 이 가운데 최소 6곳은 같은 주체의 소행으로 추정하고 있어요.

이후 저축은행과 캐피털사에서도 정보 유출이 확인되면서, 정보 유출이 공식 확인된 금융사는 모두 7곳으로 늘었습니다. 지금까지 공개된 내용을 표로 정리해 볼게요.

금융사	확인된 피해	알려진 침투 경로·특이사항
신한은행	약 2만 5천 명 고객 정보 유출	대출모집인용 간편조회 서비스의 보안 취약점 (9월 30일 발생)
KB국민은행	고객 119명의 신용정보 유출	직원용 모바일 업무지원시스템 (인터넷·모바일뱅킹과는 무관하다는 입장)
하나은행	고객 89명 정보 유출	조사 진행 중
BNK부산은행	외주 개발직원 11명 정보 노출	고객이 아닌 외주 인력 정보
예가람저축은행	약 4만 명 규모	다른 IP였지만 수법은 유사
웰컴저축은행	법인고객 정보 2,200여 건	다른 IP였지만 수법은 유사
현대캐피탈	146명 정보 유출	다른 IP였지만 수법은 유사
NH농협·우리은행	유출 없음	공격을 막아냄

공개된 유출 규모를 단순 합산하면 약 6만 7천여 명 수준이라는 계산이 나옵니다. 다만 이 숫자는 단순 합계이고, 피해 유형(개인 고객·법인·외주 인력)이 섞여 있으며 조사가 끝난 수치도 아니라서 앞으로 달라질 수 있습니다. 증권·카드·보험사, 상호금융권에서도 공격 시도가 있었지만 우리은행·농협은행·새마을금고중앙회·저축은행중앙회 등은 시도는 있었으나 정보 유출은 없었다고 밝혔고, 그 밖의 업권에서는 아직 추가 피해가 확인되지 않았다고 해요.

여기서 꼭 짚어야 할 점이 하나 있습니다. 이번에 유출된 정보는 대부분 인터넷뱅킹이나 모바일뱅킹 계정이 통째로 털린 사고가 아니라, 주변 시스템에서 빠져나간 개인정보라는 점이에요. 은행 측도 KB국민은행의 경우 고객 금융 거래와는 무관한 직원용 시스템이 공격 대상이었다고 설명했고, 유출 고객에게는 유출 사실과 2차 피해 예방 방법을 안내했으며 피해가 생기면 전액 보상하겠다는 방침을 밝혔습니다. 그렇다고 안심해도 되는 건 아니에요. 이름, 연락처, 신용정보 같은 정보는 보이스피싱이나 스미싱의 재료로 쓰이기 쉽기 때문입니다 ⚠️

⏱️ 2. 공격 타임라인: 9월 28일부터 10월 6일까지

사건이 어떻게 확산됐는지 시간 순서대로 따라가 보겠습니다. 날짜와 내용은 보도된 내용을 종합한 것이며, 세부 시각은 기관마다 다를 수 있어요.

날짜	내용
9월 28일 ~ 10월 3일	금융당국이 파악한 공통 IP·유사 수법의 공격이 이어진 기간
9월 30일	신한은행 해킹 사고로 약 2만 5천 명 정보 유출
10월 2일	KB국민은행(119명)·하나은행(89명) 유출 확인, 우리·농협은 접근 시도 차단 사실 공개. 금감원은 500여 곳이 연결된 통합 관제시스템으로 해킹 정보와 보안 유의사항 전파. 금융위 긴급 상황 대응 회의
10월 4일 (휴일)	금융위원장 주재로 전 금융권 긴급 점검회의. 저축은행·캐피털 피해 추가 확인, 중국어 기반 AI 도구 '아르텍스' 흔적 공개. 과학기술정보통신부도 대책 발표
10월 6일	한 언론이 아르텍스를 활용한 격리 환경 모의 실험 결과를 공개. 금융권은 계속 점검 중

흥미로운 건 대통령까지 직접 챙겼다는 점입니다. 이재명 대통령은 현황을 보고받고 철저한 조사와 대책 마련에 만전을 기하라고 지시한 것으로 전해졌어요. 이억원 금융위원장은 긴급 점검회의에서 AI를 활용한 공격 가능성을 배제할 수 없다며 금융권에 최고 수준의 경각심을 주문했습니다. 연휴 중에 은행장들이 줄줄이 소집될 만큼 당국이 느낀 위기감이 컸다는 뜻이겠죠 🏛️

🤖 3. '아르텍스(ARTEX)'는 어떤 도구인가

이번 사건에서 가장 많이 거론되는 이름이 바로 아르텍스(ARTEX)입니다. 금융보안원장은 공통 IP에서 아르텍스의 흔적이 확인됐다고 설명했어요. 그럼 이 도구는 대체 무엇일까요?

첫째, 원래는 보안 점검용 도구입니다. 아르텍스는 중국어 기반의 AI 자율 침투 테스트 플랫폼으로 소개됩니다. 침투 테스트란 해커보다 먼저 우리 시스템의 구멍을 찾아 막기 위해, 일부러 공격자의 입장에서 점검해 보는 '모의 해킹'을 말해요. 보안업계에서는 이런 역할을 하는 팀을 흔히 '레드팀'이라고 부릅니다. 아르텍스는 이 모의 해킹 과정을 AI로 자동화한 도구라는 설명이 나옵니다.

둘째, 비교적 최근에 공개됐습니다. 보도에 따르면 아르텍스는 공개된 지 두 달 남짓밖에 안 된 도구예요. 지난 7월에 나왔다고 하니, 한국 금융권이 그 짧은 시간 안에 이 도구를 이용한 대규모 시도를 마주한 셈입니다.

셋째, 성능을 인정받은 도구입니다. 지난달 3일 중국 바이두가 연 사이버 공격·방어 대회에서 150여 개 팀 가운데 종합 1위를 차지한 것으로 알려졌습니다. 그만큼 모의 해킹 분야에서는 기술력을 증명한 도구라는 얘기죠.

넷째, 이 도구 자체가 두뇌는 아닙니다. 이 부분이 중요해요. 아르텍스는 AI에 '손발'을 달아 주는 도구에 가깝고, 판단과 계획을 담당하는 '두뇌' 역할의 AI 모델을 따로 연결해야 비로소 스스로 판단하고 움직이는 공격 에이전트로 작동합니다. 한 언론이 진행한 실험에서도 중국 AI 모델을 연결해야만 정찰부터 보고서 작성까지의 흐름이 자동으로 이어졌다고 해요. 또한 공개 저장소에서 누구나 내려받을 수 있는 공개 플랫폼이라는 점도 기억해 두셔야 합니다.

정리하면 아르텍스는 "방어를 위해 만든 도구이지만, 같은 기능을 공격에 쓸 수도 있는 양날의 검"입니다. 칼이 요리사에게도 강도에게도 쥐어질 수 있는 것처럼, 보안 점검 도구도 누구 손에 들어가느냐에 따라 전혀 다른 결과를 낳는 거죠 🔪

⚡ 4. 언론 모의 실험이 보여 준 충격적인 속도

10월 6일, 동아일보 취재진이 외부망과 완전히 차단한 가상 실험실에서 아르텍스를 실제로 돌려 본 결과가 공개됐습니다. 실험 대상은 기자가 자기 노트북 안에 만든 가상 서버 한 대였고, 일부러 널리 알려진 보안 약점을 심어 둔 연습용 환경이었어요. 현실의 은행 서버를 건드린 게 아니라는 점은 분명히 짚고 넘어가야 합니다. 이 글에서도 공격의 구체적인 절차는 소개하지 않고, 결과가 시사하는 바만 정리할게요.

결과는 놀라웠습니다. 표적의 주소만 입력했는데 AI가 스스로 서비스 점검, 약점 탐색, 침투 시도, 결과 정리까지 이어서 진행했다고 해요. 정찰을 시작한 지 30초도 안 돼 치명적인 약점 두 건을 찾아냈고, 43초 만에 서버 전체를 통제하는 최고 관리자 권한을 얻었습니다. 공격이 막히면 AI가 스스로 방법을 바꿔 다시 시도하는 '자동 보정'도 사람의 개입 없이 이루어졌고, 침투 과정을 정리한 보고서까지 약 4분 만에 작성했어요. 여기에 든 비용은 약 20원이었다고 합니다 😮

이 실험에서 눈여겨볼 대목은 세 가지입니다.

① 새로운 약점이 아니라 '오래된 약점'이었다는 점. AI가 파고든 약점들은 10여 년 전부터 보안 교육 교재에 나올 만큼 알려진 것들이었어요. 즉 AI가 천재적인 신기술을 쓴 게 아니라, 이미 알려졌는데도 아직 막지 못한 구멍을 사람보다 훨씬 빠르게 찾아낸 것입니다. 이는 곧 "패치(보안 업데이트)를 제때 하지 않은 시스템"이 AI 시대에는 훨씬 더 위험해진다는 뜻이에요.

② 비전문가도 가능해졌다는 점. 전문가들은 같은 환경에서 AI 없이 비전문가가 같은 일을 해내는 건 사실상 불가능하다고 말합니다. 어디에 어떤 허점이 있는지 찾으려면 보안 지식이 필요한데, AI가 그 과정을 대신해 주기 때문이죠. 공격의 진입장벽이 급격히 낮아진 겁니다.

③ 속도와 비용의 비대칭. 사람이 며칠 걸릴 일을 몇 분에, 몇십 원으로 해냈다는 건 방어자 입장에서 매우 불리한 소식입니다. 공격자는 수십 곳에 동시에 시도해 보고 하나만 뚫려도 성공이지만, 방어자는 한 곳이라도 뚫리면 사고가 되니까요. 김승주 고려대 교수가 AI 도입 이후 해킹이 쉬워진 것은 사실이라며 기업들이 자사 서버의 취약점부터 파악해 먼저 조치해야 한다고 강조한 이유가 여기에 있습니다.

🚪 5. 어디가 뚫렸나: 정문이 아니라 '옆문'

"은행 앱이 뚫린 거 아니야?"라고 걱정하시는 분들이 많은데요, 지금까지 알려진 내용만 보면 고객이 쓰는 인터넷·모바일뱅킹의 정문이 아니라, 상대적으로 관리가 느슨한 '옆문'이 공략당했다는 해석이 우세합니다.

금융당국은 같은 공격 주체가 직원용 시스템이나 업무 지원 시스템처럼 보안 관리가 상대적으로 덜 촘촘한 영역을 노려 침투를 시도한 것으로 보고 있어요. 실제 사례를 보면 이렇습니다.

신한은행 · 대출모집인 시스템. 신한은행의 피해가 가장 컸던 이유는 일반 고객용 사이트보다 뚫기 쉬운 대출모집인용 간편조회 서비스가 우회 경로로 이용됐기 때문이라고 해요. 한 언론은 이 과정에서 이미 다른 곳에서 유출된 개인정보를 AI로 대입해 모집인 시스템을 이용했을 것으로 보고 있다고 전했습니다. 다만 이 부분은 해석이 포함된 보도라서, 최종 조사 결과를 지켜볼 필요가 있어요.

KB국민은행 · 직원용 모바일 업무지원시스템. 고객 거래와는 무관한 직원용 앱이 표적이 됐습니다. 은행은 인터넷뱅킹이나 모바일뱅킹과는 별개의 시스템이라고 설명했어요.

부산은행 · 외주 개발직원. 고객이 아니라 외주 개발 인력의 개인정보가 노출됐습니다. 이는 금융사의 보안이 자사 직원만이 아니라 협력업체·외주 인력까지 이어지는 공급망 전체의 문제라는 점을 보여 줘요.

이렇게 보면 공통점이 보입니다. 공격자는 가장 단단한 문을 부수려 하지 않고, 가장 약한 연결 고리를 찾아 움직였습니다. 그리고 AI는 수십 개의 금융사를 상대로 이 '약한 고리 찾기'를 빠르고 지치지 않고 반복해 줬죠. 당국도 특정 회사를 콕 집어 노렸다기보다 AI로 여러 금융사를 무작위로 공격하는 과정에서 방어가 허술한 곳이 뚫린 것으로 보고 있다고 전해졌어요. 즉 "우리 은행은 유명하니까 안전하다"가 아니라 "가장 약한 곳이 먼저 뚫린다"는 게 이번 사건의 교훈입니다 🔗

또 한 가지, 공격자는 IP 주소를 계속 바꿔 가며 공격했습니다. 신한은행에 따르면 한국·미국·일본·홍콩·싱가포르·베트남·태국·영국 등 8개국 이상의 IP가 사용됐다고 해요. 이는 다음 장에서 다룰 '중국 연루 논란'과 직결되는 대목입니다.

🔎 6. 중국 연루 논란, 확인된 것과 아닌 것

이제 가장 뜨거운 쟁점입니다. "이번 해킹, 중국이 한 건가요?" 결론부터 말씀드리면, 현재까지는 "중국어 기반 AI 도구가 쓰인 정황은 확인됐지만, 공격자의 국적이나 배후를 단정할 근거는 아직 없다"가 가장 정확한 답입니다. 하나씩 나눠서 볼게요.

✅ 지금까지 확인된 것

• 중국어 기반 AI 도구의 흔적. 금융보안원장이 공통 IP에서 아르텍스의 흔적이 확인된다고 직접 설명했습니다. 이 도구는 중국어 기반으로 개발·공개됐고, 바이두 주최 대회에서 1위를 한 이력이 있어요.

• 동일 주체로 추정되는 공격이 다수. 최소 6곳은 같은 주체의 공격으로 당국이 추정하고 있고, 저축은행·캐피털 3곳은 IP가 달랐지만 수법이 비슷했습니다.

• 중국 계열 AI 모델이 쓰인 정황. 이번 사건과는 별개로 금융보안원이 공개한 국내 첫 AI 에이전트 공격 사례에서는 공격자가 중국 딥시크 기반 AI로 국내외 금융사 300여 곳을 동시에 노린 것으로 알려졌습니다. 이번 사건과 같은 계열이라는 의미는 아니지만, 중국 기반 AI 모델이 공격에 활용되는 사례가 이미 있었다는 맥락입니다.

❌ 아직 확인되지 않은 것

• 공격자의 국적. 가장 중요한 부분입니다. 아르텍스는 누구나 내려받을 수 있는 공개 플랫폼이에요. 중국에서 개발된 도구가 쓰였다는 사실만으로 공격자가 중국인이라고 단정할 수는 없다는 지적이 여러 매체에서 나왔습니다. 금융보안원장도 중국발 공격으로 단정할 수는 없다고 선을 그었어요. 한국산 도구를 쓰는 중국인도, 중국산 도구를 쓰는 제3국 해커도 얼마든지 있을 수 있으니까요.

• 국가 차원의 개입 여부. 현재까지 공개된 정보에는 특정 국가나 정부 기관이 개입했다는 증거가 제시되지 않았습니다. 당국은 국제 공조 등을 통해 공격 주체를 확인하겠다는 입장이에요.

• 공격의 동기. 돈을 노린 범죄 조직인지, 정보 수집이 목적인지, 단순한 시험 삼아 한 공격인지도 아직 알려지지 않았습니다. 무작위로 여러 곳을 훑는 방식이라는 점은 정교한 표적 공격이라기보다 '자동화된 대량 시도'에 가깝다는 해석을 낳고 있습니다.

🧩 왜 IP만으로는 알 수 없을까

많은 분이 "IP 주소를 추적하면 범인이 나오지 않느냐"고 궁금해하십니다. 하지만 공격자들은 흔히 여러 나라의 서버를 경유해서 접속해요. 이번에도 8개국 이상의 IP가 쓰였다는 설명이 나왔죠. 이렇게 되면 로그에 남은 IP는 '공격자의 집'이 아니라 '경유지'일 뿐입니다. 그래서 국적을 가리려면 IP 외에 사용된 도구의 특성, 공격 시간대, 사용 언어, 인프라의 재사용 패턴, 수사기관과 해외 정보기관의 공조 등 여러 증거를 종합해야 해요. 시간이 걸릴 수밖에 없습니다.

🌏 배경: 중국발 해킹 이슈가 반복돼 온 이유

이 논란이 유독 뜨거운 데는 배경이 있습니다. 그동안 국내외 보안업계에서는 중국 기반 해킹 조직이나 중국 정부와 연관된 것으로 의심되는 사이버 작전이 여러 차례 보도돼 왔어요. 2024년에는 중국 정부 기관과 계약을 맺고 정보 수집을 대행한다는 한 업체의 내부 문건이 유출되면서, 피해 대상 목록에 한국도 포함돼 있다는 보도가 있었습니다. 2025년 11월에는 중국의 한 대형 보안 기업이 침해당해 내부 자료가 유출됐고, 거기에 국가 지원 사이버 작전과 연관된 정보가 있다는 분석이 나오기도 했고요. 이런 과거 보도들 때문에 "이번에도 중국 아니냐"는 의심이 쉽게 생기는 거죠.

하지만 과거의 사례가 이번 사건의 증거가 되지는 않습니다. 중국 정부는 이런 의혹을 줄곧 부인해 왔고, 어느 나라든 해킹 조직의 활동은 자국 정부의 개입 여부와 별개로 존재할 수 있어요. 이번 사건에 대해서는 수사 결과와 국제 공조 결과가 나올 때까지 사실과 추측을 구분해서 바라보는 태도가 필요합니다. 성급한 단정은 오히려 정확한 대응을 방해할 수도 있고, 특정 국가나 국민을 향한 불필요한 혐오로 이어질 위험도 있습니다 🕊️

그렇다면 중국 연루 논란과 별개로 우리가 꼭 봐야 할 본질은 무엇일까요? 바로 "누가 했든, 이 정도 수준의 도구를 누구나 쓸 수 있는 시대가 왔다"는 점입니다. 도구가 어느 나라에서 만들어졌는지는 부차적인 문제이고, 진짜 핵심은 방어 체계가 이 속도를 따라갈 수 있느냐는 질문이에요.

🧠 7. AI 해킹이 이전과 다른 이유

해킹은 AI 이전에도 있었는데, 왜 이번에는 이렇게 난리일까요? 몇 가지 변화를 짚어 보겠습니다.

① 자동화의 수준이 달라졌습니다. 예전에도 취약점을 스캔하는 자동화 도구는 있었어요. 하지만 AI 에이전트는 결과를 보고 스스로 판단해서 다음 행동을 고르고, 막히면 방법을 바꿔 재시도합니다. 사람 해커가 하던 '생각하는 일'까지 대신하기 시작한 거예요.

② 진입장벽이 무너졌습니다. 네덜란드 보안업체 해드리언의 집계에 따르면 공개된 AI 모의 해킹 도구는 2023년 GPT-4 등장 전에는 5개가 안 됐지만 올해 3월 기준 70개로 늘었습니다. 불과 몇 년 사이에 열 배 이상 늘어난 셈이죠. 기술이 없어도 명령 한 줄이면 침투를 대신해 주는 시대가 된 겁니다.

③ 비전문가 공격이 이미 현실입니다. 아마존은 올해 2월, 기술 수준이 높지 않은 공격자가 상용 AI를 이용해 5주 만에 55개국의 방화벽 장비 600여 대를 침해했다고 밝혔습니다. 같은 맥락에서 금융보안원이 공개한 국내 첫 AI 에이전트 공격 사례도 있고요. 한 해외 사례로는 AI로 합성한 음성이 쓰여 이탈리아 한 은행에서 9,500만 유로가 사기범 계좌로 송금된 일도 보도됐습니다. 공격이 해킹 한 가지에 그치지 않고 음성·영상 위조 같은 사기와 결합하고 있다는 신호입니다.

④ 공격자에게 유리한 '기울어진 운동장'이 더 기울었습니다. 박춘식 전 국가보안기술연구소장은 사이버 보안을 공격자는 100번 중 한 번만 성공해도 이기고 방어자는 한 번만 실패해도 지는 구조라고 비유하며, 여기에 공격자가 AI라는 무기까지 갖게 됐다고 지적했습니다. 그래서 방어하는 쪽도 AI를 활용해 공격자보다 먼저 약점을 찾고 자동으로 대응하는 기술을 강화해야 한다고 강조했어요.

⑤ '알려진 약점'이 최대의 약점이 됐습니다. 앞서 본 실험처럼 AI는 새로운 취약점을 발명하는 데 쓰이기보다 이미 공개된 취약점을 빠르게 찾아 공략하는 데 특화돼 있습니다. 그러니 가장 효과적인 방어는 의외로 기본기, 즉 자산 파악과 패치 관리, 접근 통제입니다. 김승주 교수도 내가 뭘 가지고 있는지 모르면 점검도 제대로 안 된다며 기업의 자산 식별이 급선무라고 했어요.

이 모든 변화를 한 문장으로 줄이면 이렇습니다. "공격은 더 빠르고 싸고 쉬워졌는데, 방어는 여전히 사람의 손에 많이 의존하고 있다." 이 간극이 이번 사건이 던진 가장 큰 경고예요 ⚖️

🏛️ 8. 정부와 금융당국의 대응

당국은 어떤 조치를 내놓았을까요? 지금까지 공개된 대응을 정리해 보겠습니다.

금융당국의 긴급 점검. 금융위원회는 10월 2일 사무처장 주재로 긴급 상황 대응 회의를 열었고, 4일에는 금융위원장과 금융감독원장이 전 금융권 최고경영자를 소집해 점검회의를 열었습니다. 금융권에서는 "기존 대응 체계가 사실상 무력화됐으니 공동 대응이 필요하다"는 목소리도 나왔어요.

금감원의 정보 공유 체계. 금융감독원은 올해 초 구축한 통합 관제시스템으로 전자금융거래법 적용 대상 500여 곳의 금융회사·전자금융업자에 공격에 쓰인 IP 같은 정보와 보안 유의사항을 실시간에 가깝게 공유하고 있다고 밝혔습니다. 한 곳에서 사고가 나면 그 정보를 다른 곳에 빨리 전파해 연쇄 피해를 줄이겠다는 구상이에요. 다만 이 체계는 500곳이 넘는 대상을 일괄 소집하기보다 상시 연락망을 통해 전달하는 방식이라, 업권별 특별 점검 계획은 현재 없다는 입장이 보도되기도 했습니다. 이후 4일 전 금융권 CEO 긴급 점검회의가 열린 만큼 입장이 달라졌을 수 있으니 최신 발표를 확인하시길 권합니다.

과학기술정보통신부의 대책. 과기정통부는 4일 대책을 내놓았는데, 보도에 따르면 인력 보강과 보안점검 권고 메일 발송이 중심이었습니다. 이를 두고 일부 전문가는 대응이 여전히 사람에게 의존하는 수준이라고 평가했어요. AI 공격에는 AI 방어로 맞서야 한다는 주문이 나오는 이유입니다.

피해자 보호. KB국민은행처럼 피해 고객에게 유출 사실과 2차 피해 예방 방법을 안내하고, 실제 피해가 발생하면 전액 보상하겠다는 입장을 밝힌 곳도 있습니다. 구체적인 보상 방식은 금융사마다 다를 수 있어요.

앞서 2025년에도 SGI서울보증, 롯데카드, 웰컴금융그룹 계열사 등 금융권 해킹 사고가 잇따랐고, 당시에도 징벌적 과징금 부과와 최고정보보호책임자(CISO) 권한 강화 같은 제도 개선이 거론됐습니다. 이번 사건은 사고 이후의 대응뿐 아니라 평소 보안 투자와 점검이 실제로 이뤄지고 있는지를 다시 묻게 만들고 있어요.

🛡️ 9. 내 정보는 안전할까? 고객 행동요령

가장 현실적인 질문입니다. 지금 당장 우리가 할 수 있는 일은 무엇일까요? 먼저 말씀드리면, 피해 대상이 된 고객에게는 해당 금융사가 개별 안내를 하게 되어 있습니다. 문자, 앱 알림, 우편, 이메일 등으로 통지가 올 수 있어요. 아래 내용은 일반적인 예방 수칙이며, 금융사별 구체적인 안내와 절차는 반드시 해당 회사 공식 채널을 확인해 주세요.

1️⃣ 유출 여부 확인하기

이용 중인 은행·저축은행·캐피털사 공식 앱과 공식 홈페이지의 공지사항을 직접 확인하세요. 문자나 메신저로 온 링크를 눌러 확인하는 방식은 피하는 게 좋습니다. 이런 혼란을 틈타 "유출 여부 확인하세요"라며 가짜 링크를 보내는 스미싱이 나올 가능성이 매우 높기 때문이에요.

2️⃣ 비밀번호와 인증 수단 점검

이번에 공개된 피해는 거래 계정 자체의 탈취가 아니라고는 하지만, 예방 차원에서 점검해 두면 좋습니다. 다른 사이트와 똑같은 비밀번호를 쓰고 있다면 바꾸고, 금융 앱에는 2단계 인증이나 생체 인증을 설정하세요. 오래전에 만든 계정, 안 쓰는 계정은 정리하는 것도 좋은 습관입니다.

3️⃣ 명의도용·대출 사기 예방 서비스 활용

개인정보가 새어 나갔을 때 가장 무서운 일 중 하나가 명의도용입니다. 본인 명의로 휴대전화가 새로 개통되거나 대출이 신청되는 것을 막는 서비스가 있어요. 대표적으로 휴대전화 명의도용 방지 서비스(엠세이퍼), 금융사별 여신거래 안심차단 서비스, 내 계좌와 대출을 한눈에 볼 수 있는 계좌·대출 통합조회 서비스가 있습니다. 개인정보 노출자의 금융사고를 예방하는 제도도 운영되고 있는데, 신청 방법과 대상은 수시로 바뀔 수 있으니 금융감독원 등 공식 안내를 확인하세요.

4️⃣ 보이스피싱·스미싱 경계 강화

유출된 이름, 연락처, 거래 기관 정보는 사기꾼들에게 좋은 재료입니다. "OO은행 정보 유출 피해자 보상 안내", "대출 한도 조회", "안전계좌로 이체" 같은 말로 접근하는 시도가 늘어날 수 있어요. 아래 원칙만 기억하세요.

• 금융사 직원이나 수사기관을 사칭해 앱 설치, 원격 제어, 계좌 이체를 요구하면 100% 의심하세요.
• 모르는 번호로 온 링크는 누르지 마세요.
• 의심스러우면 전화를 끊고 카드 뒷면이나 공식 앱에 적힌 대표번호로 직접 전화해서 확인하세요.
• 이미 속아 송금했다면 즉시 해당 금융사와 경찰(112), 금융감독원(1332)에 지급정지를 요청하세요.

5️⃣ 내 신용정보와 거래 내역 주기적으로 확인

무료로 본인의 신용정보 조회 내역을 확인할 수 있는 서비스가 있습니다. 내가 하지 않은 조회나 대출, 카드 발급이 있는지 한 달에 한 번이라도 확인해 보세요. 이상 징후를 일찍 발견할수록 피해를 줄일 수 있어요.

6️⃣ 이럴 때는 어디에 문의하나요?

상황	문의처
내 정보가 유출됐는지 궁금할 때	이용 중인 금융사 공식 앱·고객센터
보이스피싱·금융사기 피해	경찰 112, 금융감독원 1332, 해당 금융사
악성 문자·링크 신고, 사이버 침해 상담	한국인터넷진흥원(KISA) 118
개인정보 침해 상담	개인정보 침해 신고센터, 해당 금융사

마지막으로 한 가지 당부드리고 싶은 건, 지나친 공포에 빠질 필요도, 완전히 무심할 필요도 없다는 점이에요. 지금 확인된 피해 중 상당수가 거래 계정이 아닌 주변 시스템의 정보이고, 은행들은 피해 시 보상 방침을 밝히고 있습니다. 하지만 정보가 한 번 새면 되돌릴 수 없으니, 오늘 알려 드린 예방 설정을 이번 기회에 한 번씩 점검해 두시길 권합니다 🙏

🏢 10. 금융사와 기업이 해야 할 일

이번 사건이 개인에게만 교훈을 주는 건 아닙니다. 전문가들이 공통적으로 지적하는 방어 과제를 정리하면 다음과 같습니다.

① 자산 식별부터. 내가 어떤 서버와 서비스, 협력사 연동 시스템을 가지고 있는지 정확히 아는 게 출발점입니다. 존재를 잊고 있던 오래된 시스템, 특정 부서가 따로 운영하던 업무 지원 앱이 공격의 문이 되는 경우가 많아요. 이번에 뚫린 곳이 대출모집인 시스템, 직원용 앱, 외주 인력 정보라는 점이 이를 잘 보여 줍니다.

② 알려진 취약점 신속 패치. AI가 가장 잘 공략하는 건 이미 공개된 취약점입니다. 그래서 패치 주기를 단축하고, 패치가 어려운 시스템은 외부 접근을 차단하거나 격리하는 보완책이 필요합니다.

③ 공급망·외주 관리 강화. 협력업체와 외주 인력의 계정, 접근 권한, 보안 수준을 정기적으로 점검해야 해요. 정문을 아무리 튼튼히 지어도 협력사 쪽 뒷문이 열려 있으면 소용이 없습니다.

④ 접근 통제와 이상 징후 탐지. 최소 권한 원칙, 다중 인증, 비정상적인 대량 조회·반복 접속을 잡아내는 모니터링이 중요합니다. 이번 사건처럼 IP를 계속 바꾸는 공격은 IP 차단만으로는 한계가 있어서, 행동 패턴 기반 탐지가 필요해요.

⑤ AI로 맞서는 방어. 공격이 자동화됐다면 방어도 자동화되어야 합니다. 공격자보다 먼저 자사 시스템을 AI로 점검하고, 발견된 약점을 자동으로 조치하거나 우선순위를 매기는 체계가 필요하다는 주문이 이어지고 있어요. 결국 보안 인력 확충과 함께 AI 기반 방어 기술에 대한 투자가 병행되어야 합니다.

⑥ 정보 공유와 공동 대응. 한 회사의 사고 정보가 다른 회사의 방패가 되도록, 공격에 쓰인 IP와 수법을 빠르게 공유하는 체계를 촘촘하게 만드는 것도 중요합니다. 금융권이 서로 경쟁하는 사이이면서도 보안만큼은 한 배를 타고 있다는 인식이 필요해 보여요.

⑦ 사고 인지와 공개의 속도. 지난 2025년 롯데카드 사태에서는 해킹 발생을 보름 넘게 몰랐다는 점이 크게 비판받았습니다. 침해 사실을 얼마나 빨리 알아채고, 얼마나 투명하게 고객에게 알리느냐가 신뢰를 좌우합니다.

🔭 11. 앞으로의 쟁점과 전망

앞으로 며칠에서 몇 주 사이, 이 사건은 어떤 방향으로 전개될까요? 지켜볼 만한 쟁점을 정리해 봤습니다.

● 공격 주체 규명. 수사와 국제 공조의 결과가 가장 큰 관심사입니다. 도구와 IP 정보 외에 어떤 증거가 나올지, 국가 개입 여부가 판단될지가 핵심이에요. 다만 이런 조사는 몇 달, 길게는 몇 년이 걸리기도 하고 결국 확정적인 결론이 나오지 않을 수도 있습니다.

● 피해 규모의 변동. 현재까지 약 6만 7천여 명으로 합산되지만, 조사가 진행되면서 추가 피해가 확인될 가능성을 배제할 수 없습니다. 증권·카드·보험사와 상호금융권에서도 시도가 있었던 만큼, 후속 점검 결과를 지켜봐야 해요.

● 금융사 책임과 제재. 보안 관리가 부실했다고 판단되면 과징금이나 영업 제재 같은 후속 조치가 뒤따를 수 있습니다. 어느 수준까지 책임을 물을지, 외주 업체와 책임을 어떻게 나눌지도 논쟁거리가 될 거예요.

● 'AI 보안' 제도 정비. 공개 AI 해킹 도구를 어떻게 다룰 것인가는 쉽지 않은 문제입니다. 모의 해킹 도구는 방어에도 꼭 필요하기 때문에 무조건 막을 수는 없어요. 규제보다는 방어 기술 강화, 기업의 의무 강화, 국제 협력 같은 방향이 논의될 가능성이 높습니다.

● 외교·통상 파장. 중국 연루설이 계속 불거질 경우 외교적인 파장이 커질 수 있습니다. 반대로 증거가 불충분한 단정은 한중 관계에 불필요한 갈등을 일으킬 수 있어서, 정부도 신중하게 접근할 것으로 보여요. 우리 입장에서는 사실에 기반한 대응이 최선입니다.

● 생활 속 변화. 은행 앱의 인증 절차가 까다로워지거나, 대출모집인 같은 외부 연동 서비스가 일시 제한되는 등 우리가 체감하는 불편이 생길 수도 있어요. 다소 번거롭더라도 안전을 위한 조치라면 이해하고 협조하는 자세가 필요하겠죠.

❓ 12. 자주 묻는 질문 Q&A

Q1. 이번 해킹, 중국이 한 게 맞나요?
A. 현재로선 확정된 바가 없습니다. 중국어 기반의 AI 도구 '아르텍스'의 흔적이 확인된 것은 사실이지만, 이 도구는 누구나 내려받을 수 있는 공개 플랫폼이라서 쓰였다는 이유만으로 공격자의 국적을 단정하기 어렵다는 게 당국과 전문가들의 설명입니다. 조사와 국제 공조 결과를 기다려야 해요.

Q2. 제 은행 계좌의 돈이 사라질 수도 있나요?
A. 지금까지 공개된 피해는 대부분 개인정보 유출이고, 인터넷·모바일뱅킹 거래 시스템이 뚫렸다고 확인된 사례는 알려지지 않았습니다. 다만 유출된 정보를 이용한 보이스피싱·스미싱 위험은 높아졌으니, 의심스러운 연락에 각별히 주의하세요. 피해가 발생하면 즉시 금융사와 112, 1332에 연락하셔야 합니다.

Q3. 어느 은행이 피해를 입었나요?
A. 정보 유출이 확인된 곳은 신한은행, KB국민은행, 하나은행, BNK부산은행, 현대캐피탈, 예가람저축은행, 웰컴저축은행으로 보도됐습니다. NH농협은행과 우리은행은 공격을 막았다고 밝혔어요. 이 목록은 조사에 따라 바뀔 수 있습니다.

Q4. 내 정보가 유출됐는지는 어떻게 알 수 있나요?
A. 해당 금융사가 피해 고객에게 개별 통지를 하는 것이 원칙입니다. 공식 앱과 홈페이지 공지를 직접 확인하시고, 문자 속 링크를 누르는 방식은 피하세요.

Q5. AI 해킹 도구는 불법 아닌가요? 왜 누구나 받을 수 있죠?
A. 모의 해킹 도구는 원래 보안 점검에 쓰이는 합법적인 도구입니다. 문제는 같은 도구가 악의를 가진 사람 손에서 공격에 쓰일 수 있다는 점이에요. 도구 자체의 공개를 일괄 금지하기는 어렵고, 오용에 대한 처벌과 방어 강화가 병행돼야 한다는 시각이 많습니다. 허가 없이 남의 시스템을 공격하는 행위는 당연히 불법입니다.

Q6. 일반 시민이 이 사건 때문에 은행 앱을 안 쓰는 게 좋을까요?
A. 공격 대상이 주로 직원용·모집인용 같은 주변 시스템이었다는 보도를 보면 지나치게 걱정해 앱 사용을 중단할 필요는 없어 보입니다. 대신 2단계 인증 설정, 비밀번호 점검, 명의도용 방지 서비스 가입, 공식 채널 이용 같은 기본 수칙을 지키는 게 훨씬 효과적이에요.

Q7. 이런 일이 또 생길 수 있나요?
A. 전문가들은 AI 해킹 도구가 늘어나는 추세 속에서 비슷한 시도가 계속될 가능성이 높다고 봅니다. 그래서 금융사는 알려진 취약점 점검과 자산 관리, 외주 보안 강화를 서둘러야 하고, 개인도 기본 보안 습관을 갖추는 것이 중요합니다.

🧐 팩트체크: 떠도는 말, 사실일까?

사건이 커지면 커뮤니티와 SNS에는 확인되지 않은 이야기가 빠르게 퍼집니다. 자주 보이는 주장들을 지금까지 알려진 내용에 비추어 짚어 볼게요.

떠도는 말	판단	설명
"중국 정부가 은행을 해킹했다"	❌ 근거 없음	중국어 기반 도구의 흔적은 확인됐지만 국가 개입을 보여 주는 증거는 공개되지 않았어요. 당국도 국제 공조로 주체를 확인하겠다는 단계입니다.
"중국산 AI 도구가 쓰였다"	⭕ 대체로 사실	금융보안원이 공통 IP에서 아르텍스의 흔적을 확인했다고 밝혔습니다. 다만 공개 도구라 누구든 쓸 수 있어요.
"5대 은행이 전부 털렸다"	△ 부분 사실	5대 은행이 모두 공격을 받은 것은 맞지만, 실제 고객 정보 유출은 신한·KB국민·하나 3곳이었습니다. 우리·농협은 차단했다고 밝혔어요.
"인터넷뱅킹 계좌가 통째로 뚫렸다"	❌ 확인되지 않음	알려진 피해 경로는 직원용 시스템, 대출모집인 서비스 등 주변 시스템입니다. 은행도 고객 금융 거래와는 무관하다는 입장이에요.
"AI가 알아서 신기술로 뚫었다"	△ 과장	전문가들은 AI가 새 약점을 만들기보다 이미 알려진 약점을 빠르게 찾아 공략하는 데 강하다고 설명합니다. 기본적인 패치와 점검이 여전히 중요하다는 뜻이에요.
"유출 피해는 6만 명이 전부다"	△ 유동적	공개된 수치를 단순 합산한 값이고 조사가 진행 중이라 달라질 수 있습니다.

📝 1분 핵심 요약

바쁘신 분들을 위해 오늘 글의 핵심만 다시 한번 모아 두겠습니다.

① 9월 28일부터 10월 3일 사이 신한·하나·KB국민·부산·NH농협·우리은행이 공통 IP와 유사한 AI 활용 수법의 공격을 받았고, 이후 저축은행·캐피털사까지 정보 유출이 확인됐습니다. 공개된 유출 규모를 단순 합산하면 약 6만 7천여 명입니다.
② 공통 IP에서 중국어 기반 AI 침투 도구 '아르텍스'의 흔적이 확인됐습니다. 하지만 이 도구는 공개 플랫폼이고 공격자는 8개국 이상의 IP를 경유해, 공격자의 국적은 단정할 수 없는 상태입니다.
③ 뚫린 곳은 고객용 정문이 아니라 직원용 앱, 대출모집인 서비스, 외주 인력 정보 같은 '옆문'이었습니다.
④ 언론의 격리 환경 모의 실험에서는 AI가 표적 주소만 받고 1분이 채 안 돼 연습용 서버를 장악했고, 비용은 약 20원이었습니다. 공개 AI 모의 해킹 도구는 2023년 5개 미만에서 올 3월 70개로 늘었습니다.
⑤ 개인은 공식 채널 확인, 2단계 인증, 명의도용 방지 서비스 가입, 보이스피싱 경계가 필수이고, 금융사는 자산 식별·패치·외주 관리·AI 기반 방어를 서둘러야 합니다.

💬 이 사건을 바라보는 세 가지 시선

마지막으로, 같은 사건을 두고도 입장에 따라 강조점이 다르다는 점을 균형 있게 소개해 드릴게요. 어느 한쪽이 정답이라기보다 서로 보완적인 관점입니다.

🔹 "보안 투자와 제도의 문제다"라는 시각. 이런 입장은 금융사들이 오래전부터 알려진 약점을 제때 막지 못했고, 외주·협력사까지 포함한 관리가 허술했다는 점에 주목합니다. 사고 이후 처벌이나 보상만으로는 한계가 있고, 평소의 투자와 책임 구조를 바꿔야 한다는 주장으로 이어져요.

🔹 "공격자 규명과 외교적 대응이 중요하다"는 시각. 이런 입장은 배후를 밝혀 책임을 묻고 재발을 억제해야 한다고 봅니다. 국가 차원의 공조와 정보 공유, 필요하면 외교적 압박까지 고려해야 한다는 목소리예요. 다만 증거가 충분하지 않은 상태에서의 성급한 지목은 신뢰를 해칠 수 있다는 신중론도 함께 존재합니다.

🔹 "기술 자체를 규율해야 한다"는 시각. 이런 입장은 누구나 내려받을 수 있는 AI 공격 자동화 도구가 빠르게 늘어나는 현실을 문제로 봅니다. 반면 같은 도구가 방어와 점검에 꼭 필요하기 때문에 무작정 막기보다는 오용 처벌과 방어 기술 지원이 균형을 이뤄야 한다는 반론도 만만치 않아요.

세 시각 모두 일리가 있고, 실제 대응에서는 이 세 가지가 동시에 필요합니다. 평소 보안 체계를 튼튼히 하고, 사고가 나면 원인과 책임을 투명하게 규명하며, 새로운 기술 환경에 맞는 제도를 만들어 가는 것이죠 ⚖️

✅ 오늘 바로 해볼 수 있는 5분 보안 체크리스트

글을 다 읽고 나서 "그래서 뭘 하면 되지?" 싶으신 분들을 위해, 5분이면 끝나는 점검 목록을 만들어 봤어요. 하나씩 체크하며 따라 해 보세요 😊

☑️ 주로 쓰는 은행·카드 앱의 공지사항에 이번 사고 관련 안내가 있는지 확인하기
☑️ 금융 앱에 2단계 인증 또는 생체 인증이 켜져 있는지 확인하기
☑️ 다른 사이트와 똑같은 비밀번호를 쓰는 금융 계정이 없는지 점검하기
☑️ 휴대전화 명의도용 방지 서비스와 금융사별 여신거래 안심차단 서비스 가입 여부 확인하기
☑️ 내 이름으로 모르는 대출·카드·휴대전화가 없는지 신용정보 조회 내역 살펴보기
☑️ 휴대전화에 출처 불명의 원격 제어 앱이나 낯선 앱이 깔려 있지 않은지 확인하기
☑️ 가족, 특히 부모님께 "공공기관·금융사는 앱 설치나 계좌이체를 요구하지 않는다"고 알려 드리기

마지막 항목이 의외로 가장 효과가 큽니다. 개인정보가 유출된 사건 직후에는 피해자를 노린 사칭 전화가 늘어나는 경향이 있고, 그 표적이 되는 분들은 대개 이런 사건 소식을 자세히 접하지 못한 어르신들이기 때문이에요. 오늘 저녁 가족에게 안부 전화 한 통 하시면서 한마디만 덧붙여 주세요. 그 한마디가 누군가의 노후 자금을 지켜 줄 수 있습니다 🧡

🌿 13. 마무리하며

정리해 보겠습니다. 이번 금융권 연쇄 해킹 사건의 핵심은 세 가지로 요약할 수 있어요.

첫째, 공격은 '정문'이 아니라 '옆문'을 노렸습니다. 직원용 앱, 대출모집인 시스템, 외주 인력 정보처럼 관리가 느슨한 연결 고리가 먼저 뚫렸습니다. 둘째, 중국어 기반 AI 도구가 쓰인 정황은 있지만 공격자의 국적은 단정할 수 없습니다. 공개 도구이고 여러 나라의 IP를 경유했기 때문에, 사실과 추측을 구분해서 지켜봐야 합니다. 셋째, 이제 해킹은 명령 한 줄과 몇십 원으로 가능한 시대가 됐습니다. 누가 했느냐보다 우리 방어 체계가 이 속도를 감당할 수 있느냐가 더 근본적인 질문이에요.

불안한 소식이지만, 이번 일을 계기로 금융사들의 보안 점검이 한층 강화되고 제도도 보완될 것으로 기대합니다. 개인으로서 우리가 할 수 있는 일은 작지만 분명해요. 공식 채널로만 확인하고, 의심스러운 연락은 끊고, 인증과 비밀번호를 점검하고, 명의도용 방지 서비스를 활용하는 것. 이 네 가지만 지켜도 위험은 크게 줄어듭니다 🔐

이 글은 새로운 소식이 나오는 대로 업데이트하겠습니다. 공격 주체 조사 결과나 추가 피해 현황이 공개되면 다시 정리해서 찾아올게요. 읽어 주셔서 감사합니다. 혹시 주변에 부모님이나 지인 중 보이스피싱에 취약한 분이 계시다면, 이 글을 공유해 주시면 큰 도움이 될 거예요 💌

---

※ 본 글은 언론 보도와 금융당국 발표를 종합한 정보 제공용 글이며, 법률·금융 자문이 아닙니다. 피해가 의심되면 해당 금융사와 관계 기관의 공식 안내를 따르세요.

🏷️ 태그
#은행해킹 #금융권해킹 #AI해킹 #아르텍스 #ARTEX #중국AI #신한은행해킹 #KB국민은행해킹 #하나은행해킹 #개인정보유출 #금융사기예방 #보이스피싱 #스미싱 #금융당국 #사이버보안 #명의도용방지 #딥시크 #저축은행해킹 #현대캐피탈 #AI보안