한국 은행 7곳, 오픈소스 AI 모의해킹 에이전트로 침해당해 — 조사관들 “여전히 사람이 조종하고 있었다”

사이에2026년 9월 28일부터 10월 초, 침입자들이 최소 국내 금융기관 7곳 — 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈 — 에 침입해 약 66,000명의 개인 정보와 약 2,200건의 기업 정보를 빼냈다. 이는 해당 기관들이 공개하고 국내 언론이 집계한 수치에 따른 것이다. 금전 피해는 없었다. 금융위원회는 공격자들이 비밀번호나 일회용 인증번호를 가져가지 않았고 어떤 고객도 자금을 잃지 않았다고 확인했다. 그들이 가져간 것은 사기 범행의 원료였다 — 이름, 전화번호, 연 소득, 산정된 대출 한도, 주소, 그리고 여러 회사에서는 주민등록번호까지.

2026년 10월 6일, 이재명 대통령은 국무회의에서 "일부 해킹 사건에서 AI가 사용되는 징후가 나타나 상당한 대중적 우려와 불안을 불러일으키고 있다"고 말했다고 Reuters가 보도했으며, American Banker가 이를 인용했다. 그는 특정 모델이나 도구를 지목하지 않았다. 수사관들에게는 이미 하나가 있었다: ARTEX라는 오픈소스 자율 침투 테스트 시스템이다. Herald Business에 전달된 금융보안원의 평가는 해당 AI가 "인간의 개입 없이 독립적으로 행동하지는 않았다"는 것이다.

금고가 아니라 옆문들

7건의 침해 사고 중 어느 것도 코어 뱅킹에는 도달하지 못했다. 한국 규정은 은행의 핵심 시스템을 외부 네트워크로부터 물리적으로 분리하도록 요구하고 있으며, 금융보안원은 헤럴드비즈니스에 자사가 조사한 모든 공격이 그 대신 내부 직원용 또는 협력사용 시스템을 겨냥했다고 밝혔다. 이들 시스템은 대량의 고객 데이터를 보유하고 있으며, 금융보안원 스스로 인정한 바에 따르면 소비자용 앱보다 "덜 엄격하게 관리되어" 왔다.

• 신한은행 — 대출 모집인, 즉 차입자를 소개하는 외부 에이전트를 위해 구축된 대출 진행 조회 서비스입니다. 약 25,000명의 고객이 영향을 받았으며, 은행의 10월 1일 공지에 따르면 이름, 전화번호, 연간 소득 및 산출된 차입 한도가 포함되어 있었습니다. 한국 매체들은 이후 해당 수치를 25,727명으로 보도했습니다. 테크 타임스는 66개의 주민등록번호와 97개의 CI 식별자도 유출되었다고 보도했으나, 이러한 수치는 은행의 공지에는 나타나지 않습니다.

• KB Kookmin Bank — 직원 모바일 업무 지원 시스템. American Banker는 고객 99명과 현·전직 직원 20명이 영향을 받았다고 보도했으며, 한국 매체들은 정확히 119라고 보도했습니다. Tech Times는 이름, 전화번호, 주소, 암호화된 주민등록번호가 노출됐고 탐지에 약 43시간이 걸렸다고 전했습니다.

• Hana Bank — ODS로 알려진 직원 영업지원 시스템에서 고객 89명의 주민등록번호, 이름, 주소, 이메일 주소 및 전화번호가 노출되었다고 Tech Times가 보도했다.

• BNK Busan Bank — 은행이 Yonhap에 밝힌 표현으로는 "불충분한 세션 검증"이 적용된 웹 페이지들로 인해 데이터가 노출된 11명의 외주 개발자.

• Yegaram Savings Bank — 고객 기록을 보관하는 서버로, 대략 4만 명에 해당하며, 공개된 단일 피해 규모로는 최대입니다. 해당 은행은 이미 신원 미상의 해커가 접근해 유출을 일으켰다는 공지를 게시했다고 헤럴드비즈니스가 보도했다.

• 웰컴저축은행 — 2,200여 건이 넘는 기업 고객 기록. 이는 10월 4일 당국 브리핑 내용을 경향신문이 정리한 것에 따른 것이다.

• 현대캐피탈 — 주택담보대출 모집인 조회 페이지로, 146명의 모집인을 노출하고 있으며, 이는 테크타임스와 서울신문 보도에 따른 것이다.

산술과 관련해 두 가지는 분명히 말할 가치가 있다. 그 66,000이라는 수치는 어떤 규제 기관도 발표한 숫자가 아니다. 그것은 일곱 건의 별도 기관별 공시를 합한 값이며, 기업들이 로그 검토를 마치면서 10월 첫째 주에 변동했다. 10월 3일 Herald Business는 확정 총계를 "26,000이 조금 안 되는 규모"로 보도했는데, 그 뒤 Yegaram의 약 40,000이 추가되었다. 10월 5일 Tech Times는 확정 집계가 65,000을 넘었고 더 늘어날 것으로 예상된다고 보도했다. 아카이브는 범위를 65,000에서 68,000으로 기록한다. 별도로, 금융보안원은 Herald Business에 "실제 사고가 발생한 기관보다 공격을 받은 기관이 훨씬 많다"고 말했으며, 여기에는 은행 부문 밖의 조직도 포함된다. 이는 수치화되지 않은 발언이다.

페이지 제목이 어떻게 출처 표기가 되었는가

ARTEX라는 연결고리는 공격자들의 자백에서 나온 것이 아니다. 그것은 웹 페이지 헤더에 있던 한 문자열에서 나왔다. 10월 2일 지니언스 보안센터장 문종현은 국내 여러 표적에 대한 공격에 사용된 웹 서버들이 HTML 제목으로 "ARTEX-自主渗透测试控制台" — 대략 "ARTEX 자율 침투 테스트 콘솔"이라는 뜻 — 을 달고 있었다고 경향신문은 보도했다. 그것은 정황 증거에 불과했다. 페이지 제목에 도구 이름이 있다는 것은 해당 서버가 그 도구를 실행했다는 사실을 보여줄 뿐, 그 도구가 정보를 탈취했다는 것을 보여주지는 않는다.

금융보안원이 그다음 중요한 부분을 맡았다. 금융보안원 관계자는 헤럴드경제에 조사관들이 최초로 신고한 신한은행의 공격 IP와 서버 로그를 추적한 결과 ARTEX를 가리키는 증거를 발견했으며, 해당 도구의 트래픽에는 ARTEX에 "공통적으로 나타나는 특정 데이터 서명"이 있어 여러 피해 기관에서 공격자를 식별할 수 있었다고 말했다. 박상원 금융보안원장은 기자들에게 공격 IP가 "은행들의 경우 거의 같았고, 저축은행들의 경우 조금 달랐다"고 말하면서도, 이것이 배후가 누구인지를 입증하는 것은 아니라고 주의했다. "ARTEX는 오픈소스이며 전 세계에 공개되어 있습니다"라고 그는 말했다. "공격 IP는 여러 곳을 거쳐 라우팅될 수 있기 때문에 IP만으로는 공격자를 식별할 수 없습니다." 경향신문에 따르면 8개국의 IP가 사용되었다.

10월 7일 공개된 CrowdStrike의 독자적 재구성은 그 어떤 한국 언론사보다도 더 나아갔다. 자사의 Counter Adversary Operations 팀은 공격자가 통제하는 서버에서 개방형 디렉터리를 발견했다 — 하나는 38.244.50[.]120에 있었는데, 이곳에는 ARTEX 인스턴스와 중국어 펜테스트 프롬프트가 담긴 C​laude Code 구성 파일이 있었고, 또 다른 홍콩 소재 주소에는 C​laude Code 세션 기록과 ARTEX 구성 파일, C​laude 메모리 파일이 있었다. 이 디렉터리들은 한 번도 잠긴 적이 없었다. CrowdStrike는 해당 작전의 작업 노트를 열람했다.

그 메모들이 드러낸 구성은 구체적이다: ARTEX 인스턴스는 DeepSeek v4.1-flash를 주 모델 백엔드로 사용했으며, GLM-5.3은 Zhipu AI에서 제공되었고, Grok 4.6은 다른 Claude Code 세션용으로 추가되었다. 운영자는 아마도 CrowdStrike가 xcai[.]pro라고 부르는 재판매업체를 통해 DeepSeek에 접속했을 가능성이 높다. 이는 ARTEX 자체 문서와는 다른 양상이다: American Banker는 이 도구의 GitHub 페이지가 Anthropic 또는 OpenAI의 모델에서 실행된다고 설명한다고 지적했다. 이 도구는 모델을 제공하지 않고 하네스를 제공하며, 이를 운영하는 사람이 지능을 공급한다.

CrowdStrike는 또한 해당 운영자가 침해 외의 다른 행동을 하고 있는 것도 포착했다. CrowdStrike가 복구한 세션에서 사용자는 Claude에게 위협 행위자들이 한국의 침해 데이터를 주로 어디에서 판매하는지, 그리고 이를 판매하는 한국 텔레그램 그룹을 찾는 방법을 물었다. 또 다른 세션에서는 사용자가 Claude에게 ARTEX 작업의 결과를 나열한 보안 연구원 이력서 초안을 작성해 달라고 요청했다. CrowdStrike는 해당 프롬프트의 개인 정보가 "위협 행위자에게 속할 가능성이 높다"고 밝혔지만, "현재 이용 가능한 정보로는 이 세부 정보를 위협 행위자와 확실히 연관 지을 수 없다"고도 밝혔다. 해당 보고서를 보도한 Security Affairs는 더 나아가 그러한 세부 정보가 뉴스 기사에 아예 반복되어서는 안 된다고 주장했다. 이 글에서는 이를 반복하지 않는다.

ARTEX가 실제로 무엇인지

ARTEX는 대규모 언어 모델 기반의 다중 에이전트 자율 침투 테스트 시스템으로, GitHub에 개발자 핸들 Autumn-27로 공개되었다. 경향신문이 해당 리포지토리를 확인한 바에 따르면, 이 시스템은 2026년 7월 26일에 게시되었으며, B​aidu가 주최한 사이버 공격·방어 대회에서 약 150개 팀 중 1위를 차지했고, 그 대회는 9월 3일에 열렸으며, 최신 버전을 9월 24일에 출시했다 — 신문이 9월 27일로 기록한 최초의 한국 침해 사건보다 사흘 앞선 시점이었다. 이 시스템은 은행이 구매하는 종류의 승인된 보안 테스트, 즉 다른 누군가가 찾기 전에 허점을 찾기 위해 만들어졌다.

캠페인이 공개된 후 Autumn-27은 이를 클로즈드 소스로 전환했다. The Hacker News가 보도한 성명에서 개발자는 "ARTEX는 원래 학습과 연구 목적으로 설계되었습니다"라고 말했다. "도구 악용이라는 현실을 고려해 ARTEX 프로젝트는 더 이상 업데이트되지 않으며 클로즈드 소스로 전환될 것입니다. 앞으로 어떤 버전도 출시하거나 유지보수 지원을 제공하지 않을 것입니다." 저장소를 닫는다고 해서 이미 다운로드된 사본이 회수되는 것은 아니며, Financial Security Institute가 Herald Business에 전달한 요점은 ARTEX가 특별하지 않다는 것이었다. "ARTEX 같은 오픈소스 AI 도구는 아주 많습니다. 현재로서는 전 세계에서 개발되고 배포되는 모든 것을 제한할 방법이 없습니다."

무엇이 확립되었고, 무엇이 그렇지 않은가

여기서 기록은 주의 깊은 독자에게 보상을 준다. 확신에 찬 부분과 불확실한 부분이 바로 가까이 붙어 있기 때문이다.

확인된 사실:이름이 공개된 7개 기관이 2026년 9월 말부터 10월 초 사이에 데이터 유출 사고를 겪었고, 침입자들은 핵심 은행 시스템이 아니라 보조 시스템에 접근했으며, 공개된 피해 규모는 총 약 66,000건의 개인 기록과 약 2,200건의 기업 기록에 달한다. 금융보안원은 신한의 로그를 추적해 ARTEX를 발견했고, CrowdStrike는 공격자가 통제하는 서버에서 ARTEX 인프라, 구성 파일, LLM 세션 기록을 독립적으로 발견했으며, 금융보안원은 사람이 이 도구를 지시했다고 평가한다.

확인되지 않은 사항: 누가 했는지. CrowdStrike는 이 캠페인을 어떤 특정 적대 세력에도 귀속시키지 않았고, 단지 중간 정도의 확신으로 운영자가 재정적 동기를 가진 중국어 사용자라고 평가했다 — 이 판단은 중국에서 개발된 도구와 중국어 프롬프트의 사용에 근거한 것으로, 둘 다 국적을 판단하기에는 약한 신호다. Kyunghyang Shinmun은 아주대학교의 박천식이, 정교한 그룹들이 바로 그 추론을 깨뜨리기 위해 여러 국가를 경유한다는 명백한 점을 지적했다고 인용했다. 또한 ARTEX가 일곱 건의 침해 사고 모두에 사용되었다는 것도 확인되지 않았으며, 단지 은행들에 대한 공격에서 ARTEX가 확인되었고 저축은행들이 비슷한 방식으로 공격받았다는 점만 확인되었다.

주변부에서 논란이 되는 부분: 신한 침입이 어떻게 이루어졌는가. 연합뉴스는 크리덴셜 스터핑(credential stuffing)이라고 설명했다. 동아일보는 신한이 한 국회의원에게 제공한 사고 보고서를 토대로, 9월 28일부터 약 30시간 동안 열거 공격(enumeration) — 무작위 고객 번호를 조회 서비스에 입력해 일부가 데이터를 반환할 때까지 시도하는 것 — 이 있었다고 설명했다. 논쟁의 여지가 없는 것은 결과다. 휴대전화 인증 단계가 우회되었고, 어떻게 우회됐는지 설명한 자료는 없다. 신한의 공지는 "무단 외부인"이 "비정상적인 수단을 통해" 일부 서비스에 접근했다고만 밝히고 있다.

규제 당국이 공식적으로 확인한 것은 아님:ARTEX에 대한 귀속 판단 자체다. 금융보안원의 발견은 Herald Business에 말한 한 관계자를 통해 세상에 알려졌고, American Banker는 "어떤 규제 당국도 ARTEX가 공격에 연루됐다고 공개적으로 지목한 적이 없다"고 단호하게 언급했다. 그 구분은 들리는 것보다 덜 중요하다 — 금융보안원은 이 분야의 사이버 기관이며 그 원장은 기자들과 이 사건을 논의했다 — 그러나 그것은 기관의 발견과 기관의 통지 사이의 차이이며, 기록은 이를 남긴다.

그 후 무엇이 바뀌었나요?

규제 당국의 대응은 빨랐고, 한국 기준으로는 이례적으로 광범위했다. 금융위원회는 10월 2일 금요일과 10월 4일 일요일에 긴급 회의를 열고 금융회사에 "고객 대면 여부와 관계없이" 모든 인터넷 노출 시스템의 목록을 작성하라고 지시했으며, 격차는 10월 8일까지 해소해야 한다고 연합뉴스는 전했다. 금융위원회는 개인 신용 데이터가 직원과 "대출 모집인 및 외주 계약자와 같은 외부 인력"이 사용하는 시스템에 "불필요하게 저장되거나 조회 가능해서는 안 된다"고 밝혔으며, 이를 "최근 침해의 원인"이라고 지목했다. 경찰은 공식 수사에 착수했고, 금융보안원은 기업이 외부 접속 지점 중 모든 내부 직원 대면 시스템을 감사하라는 권고안 초안 작성에 들어갔다.

위원회의 소비자 경보는 10월 6일 발표되어, 공격자들이 비밀번호나 일회용 코드를 입수하지 못했고 어떤 고객도 금전적 손실을 입지 않았다고 밝혔지만, 탈취된 소득 및 대출 데이터로 인해 그럴듯한 가짜 대출 제안을 쉽게 만들 수 있다고 경고했다. 금융보안원 원장도 같은 전망을 내놓았다. "공격자는 시스템을 장악한 것이 아니라, 시스템에 들어가 정보를 조회해 빼냈다"고 이 관계자는 헤럴드비즈니스에 말했다. "유출된 개인정보는 보이스피싱과 유사 사기에 이용될 수 있지만, 계좌에서 자금이 직접 이체되지는 않을 것으로 본다."

가장 중대한 변화는 기록이 말하는 변화인데, 한국의 보도가 이를 복잡하게 만든다. 규제 당국은 망 분리 — 은행의 업무 시스템을 외부 네트워크로부터 물리적으로 격리하는 규칙 — 를 완화해 기업들이 AI 보안 도구를 운영할 수 있도록 해 왔다. 첫 번째 기업 집단은 승인되었고, 두 번째 라운드는 10월 7일에 75개 신청자 중 최대 15개사를 선정할 예정이었다. 트래커는 10월 21일 위원회가 사고 대응에 투입된 인력을 이유로 그 선정을 연기했으며 재개 날짜는 정해지지 않았다고 보도했다. 또한 위원회는 정책 자체를 포기하지 않았다고 주장한다고 보도했다. 그 미묘한 차이는 금융위원회 위원장 이억원이 연합뉴스 보도에 따르면 10월 8일 국회 감사에서 말한 것과 일치한다. 즉 AI 기반 공격을 막으려면 "결국 AI를 써야 한다"는 것이었고, 위원회는 분리 규칙을 바꾸는 "단계적이고 효과적인 방법"을 검토하고 있었다. 두 번째 라운드는 미뤄졌지만 정책의 방향은 눈에 띄게 바뀌지 않았다.

책임론도 확대됐다. The Tracker는 금융감독원장 이찬진이 10월 19일 같은 감사에서 이 사건이 사이버 사고와 관련해 최고경영자의 내부통제 책임이 공식적으로 심사되는 첫 사례가 될 수 있다고 말했으며, 금융감독원이 최고정보보호책임자(CISO)와 최고경영자(CEO)에 대한 더 강력한 책임 부과를 검토 중이라고 보도했다. 은행들도 규제 당국도 근본 원인 보고서를 발표하지 않았다.

아카이브가 그것을 정리하는 방식

이 기록은사건입니다 — 예측이 아니라 실제로 발생한 사건이며, 날짜는2026년 10월 6일로, 대통령이 AI 신호를 인정한 날이자 위원회의 소비자 경보가 발령된 날입니다. 심각도는치명적이며, 유형 태그는WEAPON 및 EXFIL로, 도구가 공격 수단으로 전용되고 데이터가 유출되었음을 의미합니다.실제 피해는 사실로 기록되어 있고, AI 관여가 확인되었으며, 신뢰도 등급은A입니다 — 출처가 일치하는 1차 자료와 함께 충분히 문서화되어 있습니다. 이 기록은 분쟁 중으로 표시되지 않았습니다.

그 등급은 정확히 읽을 가치가 있다. 그것은 사건과 그 형태가 잘 입증되었다고 말한다. 침해, 시스템, 수치, 도구, 인간의 지시까지. 그것은 운영자가 확인되었다고 말하지 않는다. 아무도 운영자를 확인하지 못했기 때문이며, 또한 어떤 기관의 발견을 규제기관의 통지로 바꾸지도 않는다. 이 사건이 자체 수치를 넘어 확립하는 한 가지는 더 좁고 더 유용하다. 승인된 테스트를 위해 만들어진 오픈소스 에이전트가 7개 금융회사를 겨냥해 사용되었고, 그것은 일주일 안에 다중 표적 캠페인을 실행하는 데 필요한 기술 수준을 낮췄으며, 그것을 멈춘 것은 똑똑한 모델이 아니라 한 기관이 페이지 제목을 알아차리고 한 은행이 자체 로그를 읽은 것이었다.

이 기록은 다른 문서화된 AI 사고들과 함께 자리하며AI 사고 아카이브, 각 항목에는 고유한 출처, 심각도, 신뢰도 등급, 이의 제기 플래그가 함께 제공됩니다.