최근 은행 공격에서 AI 도구의 흔적이 나왔다는 보도는 여러 곳에 있습니다. 하지만 잠금 횟수 아래로 시도를 조절했다는 이야기는 확인되지 않은 주장입니다. 이 글은 확인된 사실과 일반적인 설명을 나눠 정리합니다.
계정 잠금을 피해 4번씩만 시도했다는 이야기는 사실인가
아직 확인되지 않았습니다. 5번 틀리면 계정이 잠기니 4번씩만 시도했다는 이야기입니다. 이 글에서는 근거를 확인하지 못한 주장으로 둡니다.
서울신문 등 확인 가능한 보도에서는 같은 내용을 찾지 못했습니다. 금융당국이나 경찰의 공식 발표로 확인된 바도 없습니다.
참고한 조선일보 기사는 본문을 열람하지 못했습니다. 그래서 4번이라는 숫자를 사실로 다루지 않습니다.
지금까지 확인된 공격 내용은 무엇인가
서울신문에 따르면 공격은 9월 28일부터 10월 3일까지 이어졌습니다. 대상은 신한과 하나 등 6개 은행입니다. 나머지는 국민과 부산과 농협과 우리은행입니다.
서울신문이 전한 피해 현황은 다음과 같습니다.
- 신한은행은 고객 약 2만5천 명의 정보가 유출됐습니다.
- KB국민은행은 직원용 모바일 업무지원시스템에서 119명이 유출됐습니다.
- 하나은행은 영업지원시스템에서 89명이 유출됐습니다.
- NH농협은행과 우리은행은 공격을 차단했고 유출은 없었습니다.
서울신문은 제2금융권 피해도 전했습니다. 예가람저축은행은 약 4만 명, 현대캐피탈 모집인은 146명입니다. 증권과 카드와 보험사는 공격 시도만 확인됐다고 합니다.
서울신문 기준으로 공격 대상 은행은 6곳이고 제2금융권 피해는 2곳 이상입니다.
AI 도구는 실제로 쓰였나
공격 서버에서 중국어 기반 AI 자율 침투테스트 도구의 흔적이 나왔다고 보도됐습니다. 보안업체 지니언스가 10월 2일 이를 공개했습니다. 도구 이름은 ARTEX AI와 관련된 것으로 전해집니다.
다만 공격에 실제로 쓰였는지는 공식 확인되지 않았습니다. YTN 요약은 이 부분이 조사 대상이라고 전합니다.
파이낸셜뉴스는 금융감독원 자료를 인용해 보도했습니다. 올해 8월까지 20개 은행의 모의해킹 78건 중 9건이 AI 에이전트를 썼습니다. 비중은 11.5%입니다.
크리덴셜 스터핑은 계정 잠금으로 막히나
계정 잠금만으로는 완전히 막기 어렵다는 것이 일반적인 설명입니다. 이는 이번 사건에서 확인된 사실이 아니라 공격 방식에 대한 설명입니다.
크리덴셜 스터핑은 다른 곳에서 유출된 ID와 비밀번호 조합을 대입하는 공격입니다. 데일리매거진과 YTN 요약은 이번 공격을 이 방식으로 추정하는 것으로 보입니다.
잠금은 보통 한 계정에서 틀린 횟수를 셉니다. 공격자가 계정마다 적은 횟수만 시도하면 잠금이 걸리지 않을 수 있습니다.
유출된 조합이 맞는 계정에서는 첫 시도에 로그인이 될 수 있습니다. 이 경우 틀린 횟수가 쌓이지 않으므로 잠금이 작동하지 않을 수 있습니다.
이번에 노려진 곳은 어디였나
서울신문은 표적이 직원용과 업무지원 시스템이었다고 전했습니다. 당국의 정기 점검 목록에 없던 시스템이었다는 내용입니다. 이 부분은 다른 보도에서는 확인하지 못했습니다.
신한은행은 대출모집인 서비스의 본인확인 절차를 우회한 외부 접근이 있었다고 전해집니다. 일반 고객의 뱅킹 로그인이 뚫렸다는 근거는 보도에서 확인되지 않았습니다.
개인은 무엇을 해야 하나
비밀번호 재사용을 끊고 다중인증을 켜는 것이 가장 직접적인 방법입니다. 크리덴셜 스터핑은 다른 곳에서 새어 나온 조합을 쓰기 때문입니다.
실천할 일은 네 가지입니다.
- 이메일과 금융 계정의 비밀번호를 서로 다르게 바꿉니다.
- 다중인증을 지원하는 서비스는 모두 켭니다.
- 쓰지 않는 계정은 탈퇴합니다.
- 이용 중인 금융사의 유출 공지를 확인합니다.
다중인증을 켜 두면 비밀번호가 맞아도 한 단계가 더 필요합니다. 일반론으로 비밀번호가 새도 추가 인증이 필요해 피해를 줄입니다.
은행을 사칭한 문자나 전화의 링크는 누르지 마십시오. 공식 번호로 다시 확인하는 편이 안전합니다.
금융위원회와 금융감독원의 발표문은 확인하지 못했습니다. 방법은 비밀번호 재사용 위험 글을 보세요.
