경찰청 사이버테러수사대 4개팀·28명 투입…정보통신망법 위반 입건

은행서 저축은행·캐피탈까지 공격 정황…전자금융기반시설 해당 땐 중수청 통보 가능성

[한국농어민뉴스] 국내 주요 은행과 제2금융권을 잇달아 겨냥한 대규모 해킹 사태가 경찰의 정식 수사 단계로 넘어갔다. 신한은행과 KB국민은행, 하나은행 등에서 고객 개인정보 유출이 확인된 가운데 경찰은 28명 규모의 전담수사팀을 투입해 공격 주체와 침투 경로, 금융회사별 공격의 연관성 등을 본격적으로 추적한다.

특히 이번 금융권 해킹 과정에서 인공지능(AI) 에이전트를 활용한 자동화 공격 가능성이 제기되면서 실제 AI 해킹 도구가 사용됐는지도 핵심 수사 대상으로 떠오르고 있다. 다만 특정 AI 도구가 실제 공격에 사용됐다는 사실은 아직 공식적으로 확정되지 않아 수사 결과를 지켜봐야 한다.

경찰청 국가수사본부는 6일 최근 발생한 금융기관 해킹 사건에 대한 사실관계 확인을 거쳐 정보통신망법 위반 혐의로 입건하고 정식 수사에 착수했다고 밝혔다.

경찰은 사안의 중대성을 고려해 경찰청 사이버테러수사대를 전담수사팀으로 지정했다. 사이버테러대응과장을 팀장으로 모두 4개 팀, 28명이 투입된다.

경찰은 지난 2일부터 입건 전 조사를 진행해 왔으며 이번 정식 수사 전환을 계기로 개별 금융기관에서 발생한 공격 사이의 연관성, 해킹 경로와 공격자, 개인정보 유출 범위 등을 집중적으로 들여다볼 것으로 보인다.

최근 금융권에서는 신한은행을 시작으로 KB국민은행과 하나은행, BNK부산은행 등에서 해킹이나 비정상적인 외부 접근이 잇따라 확인됐다. 저축은행과 캐피탈 등 제2금융권에서도 침해 정황이 파악되면서 금융권 전체의 사이버 보안 문제로 확대되고 있다.

현재까지 알려진 피해 가운데 규모가 가장 큰 곳은 신한은행이다. 신한은행은 지난 9월 30일 대출모집인 서비스의 본인확인 절차를 우회한 외부 비인가 접근으로 고객 약 2만5천명의 개인정보가 유출된 사실을 확인했다.

유출 정보에는 고객명과 전화번호, 연 소득, 대출한도 등이 포함됐으며 일부 주민등록번호와 연계정보(CI)도 유출된 것으로 파악됐다.

KB국민은행에서도 직원용 모바일 업무지원 시스템에 외부 침입이 발생해 고객 119명의 개인·신용정보가 유출됐다. 고객명과 전화번호, 주소, 암호화된 주민등록번호 등이 포함된 것으로 알려졌다.

하나은행에서는 영업지원시스템(ODS)을 겨냥한 비정상적인 접근으로 고객 89명의 개인정보가 유출된 것으로 파악됐다. 주민등록번호와 성명, 주소, 이메일주소, 전화번호, 휴대전화번호, 직장명 등이 포함됐다.

다만 하나은행은 해당 시스템이 인터넷·모바일뱅킹 거래 시스템과 분리된 채널이어서 금융거래정보 유출과는 관련이 없다고 설명했다.

BNK부산은행 역시 지난 1일 외부 웹서버 공격을 받았다. 주요 공격은 차단됐지만 후속 점검 과정에서 일부 웹페이지를 통해 외주 개발직원 11명의 개인정보가 노출된 정황이 확인됐다. 은행 측은 고객 정보 유출은 없었다고 밝혔다.

우리은행과 NH농협은행에서도 공격 시도가 있었으나 현재까지 개인정보 유출은 확인되지 않은 것으로 전해졌다. 이번 사건에서 관심이 집중되는 부분은 AI를 활용한 신종 해킹 여부다.

앞서 신한은행 침해 과정에서는 중국에서 개발된 것으로 알려진 AI 기반 보안·공격 관련 프로젝트인 ‘ARTEX AI’와 관련된 흔적이 거론됐다. 금융권에서는 AI 에이전트가 취약점을 자동 탐색하고 공격 과정을 자동화했을 가능성도 제기하고 있다.

그러나 ARTEX AI가 신한은행 등에 대한 실제 공격 도구로 사용됐는지는 금융당국이나 수사기관이 공식적으로 확인하지 않았다. 따라서 현 단계에서는 이번 사건 전체를 ‘AI가 금융권을 해킹한 사건’으로 확정하기보다는 경찰 수사를 통해 AI 활용 여부와 공격 방식이 규명돼야 한다.

경찰 수사의 또 다른 쟁점은 여러 금융기관에서 발생한 공격이 동일 공격자 또는 동일 조직에 의해 이뤄졌는지 여부다. 공격에 사용된 IP와 침투 방식, 공격 시점, 악성코드 및 접속 기록 등에 대한 디지털 포렌식 결과가 공격 주체를 밝히는 핵심 단서가 될 전망이다.

이번 사건이 최근 출범한 중대범죄수사청의 통보 대상이 될지도 주목된다.

중수청법에 따르면 다른 수사기관이 수사 과정에서 중대범죄를 인지할 경우 중수청에 관련 사실을 통보해야 한다.

경찰은 현재 피해를 본 금융기관 자체는 국가핵심기반에 해당하지 않는 것으로 보고 있다. 다만 해킹을 당한 시스템이 전자금융거래법상 ‘전자금융기반시설’에 해당할 경우 전자금융거래법 위반 혐의가 적용되면서 중수청 통보 대상이 될 가능성이 있다.

이에 경찰은 침해된 금융 시스템이 전자금융기반시설에 해당하는지를 판단하기 위해 금융위원회에 유권해석을 의뢰했다.

전자금융거래법은 전자금융거래에 사용되는 정보처리시스템과 정보통신망을 전자금융기반시설로 규정하고 있으며, 권한 없이 해당 시설에 접근해 데이터를 조작·파괴·은닉하거나 유출한 경우 처벌하도록 하고 있다.

금융당국도 금융권 전반에 대한 보안 점검을 강화하고 있다. 금융감독원과 금융보안원 등은 사고가 발생하거나 침해 정황이 발견된 금융회사를 대상으로 공격 경로와 보안 취약점, 개인정보 유출 여부 등을 점검하고 있다.

이번 사태는 단순한 개별 은행의 개인정보 유출 사고를 넘어 AI 기술 발전과 함께 금융권 사이버 공격 방식 자체가 빠르게 변화하고 있다는 점에서 파장이 커질 가능성이 있다.

특히 은행들이 막대한 예산을 투입해 정보보호 시스템을 구축해 왔음에도 인터넷에 노출된 업무지원시스템이나 외부 연계 서비스 등이 공격의 우회 통로가 될 수 있다는 점에서 금융권의 보안 체계를 전면적으로 재점검해야 한다는 지적도 나온다.

경찰청 국가수사본부는 “국민들의 불안을 잠재울 수 있도록 관계기관과 긴밀히 협력하면서 신속하고 엄정하게 수사를 진행해 나가겠다”고 밝혔다.

경찰 수사가 본격화하면서 앞으로 ▲동일 공격자 또는 해킹 조직 여부 ▲AI 에이전트 실제 활용 여부 ▲최초 침투 경로 ▲금융회사별 개인정보 유출 규모 ▲금융회사 보안 관리 책임 ▲전자금융기반시설 해당 여부 등이 이번 금융권 연쇄 해킹 사태의 핵심 쟁점이 될 전망이다.