AI 해킹도구 ‘아르텍스’ 돌아오는데…금융권 보안 ‘경고등’

[헤럴드경제=박혜림·서상혁 기자] 국내 금융권 연쇄 해킹에 악용된 정황이 확인된 인공지능(AI) 침투테스트 도구 ‘아르텍스(ARTEX)’가 상용판으로 다시 등장하면서 은행권의 긴장감이 다시 높아지고 있다. 금융권 보안 인력과 외부 업무시스템 관리, 협력사 통제 등 제도적·관리적 보완 과제가 여전히 남아 있는 가운데 AI를 활용한 공격 수단은 빠르게 진화하고 있어서다. 이번에는 외부 업무지원 시스템 등 이른바 ‘쪽문’이 뚫렸지만 향후 핵심 전산망까지 공격 범위가 확대될 수 있다는 우려가 커지고 있다.

17일 보안업계에 따르면 중국 보안기업 스렛북은 이날 클라우드 기반 AI 침투테스트 플랫폼 ‘레드에이전츠(RedAgents.Ai)’를 공개했다. 플랫폼에는 아르텍스의 상용판인 ‘아르텍스 프로(ARTEX Pro)’를 비롯해 옌지(YanJi), 옌쉰(YanXun), 사이버스트라이크AI 등 여러 AI 침투테스트 에이전트가 탑재됐다. 지난달 말부터 이달 초까지 국내 금융기관을 겨냥한 공격에 악용된 정황이 포착된 뒤 오픈소스판이 비공개로 전환됐던 아르텍스가 불과 며칠 만에 상용 서비스로 다시 등장한 것이다.

아르텍스는 대규모언어모델(LLM)을 활용해 취약점 탐색과 공격 경로 설정, 보안도구 실행 등을 자동화하는 시스템이다. 사람이 일일이 찾아야 했던 취약점을 AI가 빠르게 반복 탐색할 수 있어 공격에 악용될 경우 짧은 시간 안에 여러 시스템의 빈틈을 찾아낼 수 있다는 점이 위험요인으로 꼽힌다.

최근 금융권을 겨냥한 공격은 이러한 우려가 현실화된 단적인 사례다. 공격자는 핵심 금융거래 시스템을 정면으로 노리기보다 대출모집인용 시스템과 직원 업무지원 플랫폼 등 상대적으로 관리가 느슨했던 외부 시스템의 취약점을 파고들었다. 견고한 방어망을 새 기법으로 뚫었다기보다 기존에 방치됐던 ‘쪽문’을 AI 도구로 빠르게 찾아냈다.

권태경 연세대 정보대학원 교수는 “아르텍스 하나만 문을 닫는다고 끝나는 문제가 아니다. 이미 비슷한 도구가 많이 나와 있고 아르텍스 오픈소스 버전도 내려받은 사람이 많기 때문에 변종이 계속 등장할 수 있다”며 “자율화된 침투 도구에 고도화된 LLM이 결합되는 단계로 가면 지금보다 더 심각한 사고가 발생할 수 있다”고 말했다.

실제 같은 시기 금융권을 겨냥한 공격이 이어졌지만 피해 여부는 금융회사별로 갈렸다. 신한은행과 KB국민은행, 하나은행에서는 고객정보 유출이 확인된 반면 우리은행과 NH농협은행에서는 같은 공격에 따른 정보 유출이 확인되지 않았다. 업계에서는 다중인증과 접근통제 적용 여부, 외부에 노출된 업무지원 시스템의 범위 등 기본적인 보안체계의 차이가 피해 여부를 가른 요인 가운데 하나로 거론된다. 금융당국이 지금까지 파악한 침해사고 금융회사는 은행을 포함해 모두 16곳, 정보유출 규모는 약 10만건이다.

문제는 공격도구의 발전 속도에 맞춰 이를 방어하고 감독할 전문인력 기반도 함께 갖춰져 있느냐다. 국회 정무위원회 소속 서일준 국민의힘 의원실이 금융감독원에서 제출받은 자료에 따르면 지난 9월 말 기준 금감원 현원 2236명 가운데 정보보안 관련 자격증을 보유한 직원은 49명으로 전체의 2.2%에 그쳤다. 국제공인 정보시스템 감사사(CISA)가 31명, 국제공인 정보시스템 보안전문가(CISSP)가 11명이었고 정보보안기사 보유자는 1명이었다.

5대 은행 역시 정보보안 관련 자격증 보유 인력은 전체 임직원 대비 1%에도 못 미쳤다. 은행별로 전체 임직원 중 관련 자격증 보유자 비율은 0.28~0.52%로, 5대 은행을 합하면 6만8565명 가운데 285명(0.42%)에 그쳤다. 정보기술(IT) 부문 인력만 놓고 봐도 자격증 보유 비율은 4.55~7.14% 수준이었다. 자격증 보유 여부가 실제 해킹 대응 역량을 그대로 보여주는 것은 아니지만, 관련 분야의 기본적인 전문성을 가늠하는 지표 가운데 하나라는 점에서 AI를 이용한 공격이 고도화되는 상황에 맞춰 전문인력 저변을 넓힐 필요가 있다는 우려가 나올 수밖에 없다.

이런 가운데 보안 전문가들은 앞으로 공격 대상이 외부 업무지원 시스템 같은 ‘쪽문’을 넘어 핵심 금융시스템인 ‘정문’까지 확대될 수 있다고 보고 있다. 고도화된 대규모언어모델(LLM) 기반 공격이 제로데이 취약점을 찾아 침투한 뒤 내부망에서 이동하며 공격 범위를 넓히는 단계로 진화할 수 있어서다.

금융당국도 점검 범위를 넓히고 있다. 지난 8일까지 금융회사 555곳을 대상으로 12개 항목을 점검한 결과 130곳에서 보안패치 미적용과 노후 시스템 관리 부실, 24시간 관제체계 미구축 등의 미흡사항이 확인됐다. 외부 시스템의 인증·인가 누락과 중요 서비스에 대한 다중인증 미도입 사례도 발견됐다. 당국은 전 금융권 보안체계를 점검하고 대형 금융회사의 취약점 점검을 연 2회 이상으로 확대할 방침이다.

일각에서는 보다 근본적인 대책 마련이 필요하다는 목소리도 적지 않다. 권 교수 “사고가 터질 때마다 이를 수습하는 땜질식 처방으로는 더 큰 문제가 생길 수 있다”며 “정부와 금융권, 전문가가 참여하는 태스크포스를 만들어 10년 단위의 목표를 세우는 식으로 사이버보안 역량을 장기적으로 키울 필요가 있다”고 제언했다.