금융권 해킹 16곳·10만 건, ARTEX 같은 AI는 어떻게 뚫나
금융위원회가 10월 14일 2차 긴급 상황 대응 회의에서 밝힌 금융권 해킹 피해는 은행 4곳 · 저축은행 4곳을 포함한 금융사 16곳, 개인정보 약 10만 건이다. 공격 도구로 추정되는 ARTEX(아르텍스)는 AI가 스스로 다음 할 일을 정하고 도구를 돌리는 과정을 되풀이하는 오픈소스 자율 침투테스트 프로그램이지만, 모든 사고에 쓰였는지는 확정되지 않았다. 뚫린 곳은 핵심 뱅킹이 아니라 조회 화면이었다.
이 글의 목차
10월 19일 오전 기준. 피해 수치는 각 사 공지와 보도를 모은 값이라 집계 시점마다 다르다. 개별 금융사 수치 상당수는 IT위키 정리에서 가져온 한 출처 값이다.
금융권 해킹은 언제 시작돼 어디까지 번졌나
금융권 해킹은 2026년 9월 27일 밤 KB국민은행 직원용 모바일 업무 시스템을 겨냥한 공격으로 시작돼, 10월 14일 금융위원회 발표 기준 금융사 16곳으로 번졌다. 각 사 공지와 보도를 모은 IT위키 정리에 따르면 첫 주에만 은행 네 곳이 차례로 공격을 받았다.
OK저축은행 2차 공격은 1차 대응 사흘 만에 다른 페이지에서 일어났다. 글로벌이코노믹(10월 16일)과 아주경제 보도에 따르면 이때 쓰인 IP는 금융보안원이 미리 공유한 해킹 의심 IP와 달랐다. IP 목록을 막는 방식만으로는 다음 공격을 못 막는다는 뜻이다.
은행 해킹 명단, 금융사 16곳은 어디인가
금융위원회가 10월 14일 밝힌 침해 금융사 16곳은 신한 · KB국민 · 하나 · BNK부산은행, 예가람 · 웰컴 · DB · OK저축은행, 현대캐피탈 · 산은캐피탈, 새마을금고중앙회, 브라이트픽스, PFCT · 모우다, 스트리미 · 프라뱅이다. 신아일보 · 서울경제 보도에 따르면 공통으로 나간 정보는 이름 · 연락처 · 주민등록번호 · 이메일이고, 계좌 비밀번호나 카드번호처럼 부정 결제에 바로 쓰일 정보의 유출은 확인되지 않았다.
| 업권 | 금융사 | 확인된 피해 |
|---|---|---|
| 은행 | KB국민 | 고객 99 · 직원 20명 |
| 은행 | 신한 | 약 2만 5천 명 |
| 은행 | 하나 | 고객 89명 |
| 은행 | BNK부산 | 외주직원 11명 |
| 저축은행 | 예가람 | 약 5만 건 추정 |
| 저축은행 | 웰컴 | 데이터 2,370건 |
| 저축은행 | OK | 518명 |
| 저축은행 | DB | 회사 측 "유출 정황 없다" |
| 캐피탈 | 현대 · 산은 | 146명 · 848명 |
| 상호금융 | 새마을금고중앙회 | 공제회원 400명대 |
| 핀테크 등 | PFCT · 모우다 · 브라이트픽스 · 스트리미 · 프라뱅 | PFCT 300여 명 · 프라뱅 20명 |
신한은행과 OK저축은행에서는 공통 항목보다 더 많은 정보가 나갔다. 신한은 연소득과 대출 산출한도, OK저축은행 2차 공격에서는 계좌번호 · 잔액 · 이율 · 최종거래일이 빠져나갔다. 나를 잘 아는 척하는 전화나 문자가 늘 수 있는 이유다. DB저축은행은 명단에 들었지만 회사는 "보안시스템이 막아 유출 정황이 없다"는 입장이다.
ARTEX란 무엇이고, AI는 은행을 어떻게 뚫나
ARTEX(아르텍스)는 공개 저장소에서 스스로를 LLM(대규모 언어모델) 기반 "AI 자율 침투테스트 시스템"으로 소개하는 오픈소스 프로그램이다. 침투테스트는 허가받은 보안 담당자가 공격자처럼 시스템을 두드려 약점을 찾는 일이다. 에너지경제가 인용한 월스트리트저널 보도에 따르면 개발자는 "오텀(Autumn)"이라는 이름으로 활동하는 중국 보안 엔지니어이고, ARTEX 자체는 AI 모델이 아니라 클로드 · GPT · 딥시크 같은 외부 모델을 불러다 쓰는 틀이다.
ARTEX의 핵심은 계획(Planner)과 실행(Worker)의 반복이다. 사람이 목표 한 줄을 주면 계획 에이전트가 "다음에 무엇을 시도할지"를 정하고, 실행 에이전트 여럿이 실제 도구를 돌린다. 결과가 공유 기록에 쌓이면 계획 에이전트가 다시 깨어나 다음 수를 정한다. 사람이 밤새 하던 "찔러 보고, 적고, 다시 찌르기"를 쉬지 않고 동시에 돌리는 셈이다.
은행에서 실제로 일어난 일도 이 반복과 닮았다. 금융보안원은 이번 공격을 "외부 웹페이지나 업무지원 시스템의 정상적인 정보조회 기능을 반복적으로 이용해 정보를 가져가는 형태"로 설명했다(IT위키 인용). 신한은행에서는 정상적인 본인확인 절차 없이 조회 서비스에 들어가 고객번호를 바꿔 가며 6개 서비스를 집중 조회했다. 파이낸셜뉴스(10월 8일)는 인증을 거쳤더라도 그 정보를 볼 권한이 있는지 따지는 인가 절차가 약했던 점이 뚫렸다고 전했다.
6분에 100건
22초 반복 조회
문자열
역추적
서버
같은 공격자인가
AI가 어디까지 했나
보안 미흡 130곳, 무엇이 빠져 있었나
금융당국이 10월 8일까지 금융사 555곳에 12개 항목을 스스로 점검하게 하자 130곳(23.4%)이 보완할 점이 있다고 보고했다. 서울경제와 KMJ 보도에 따르면 전자금융업체와 온라인투자연계금융업체(온투업)에서 문제가 많았다.
| 빠진 것 | 무슨 뜻인가 | 이번 공격과의 관계 |
|---|---|---|
| 보안 패치 미적용 | 알려진 구멍을 막는 업데이트를 안 했다 | AI는 알려진 구멍을 빠르게 훑는다 |
| 기술지원 종료(EOS) 시스템 | 제조사가 더는 고쳐 주지 않는 낡은 시스템 | 패치가 나오지 않아 구멍이 계속 남는다 |
| 24시간 보안관제 없음 | 밤·주말에 지켜보는 사람이 없다 | KB 공격은 토요일 밤에 시작돼 42시간 이어졌다 |
| 외부 접점 인증·인가 누락 | 밖에서 열리는 화면이 누가 무엇을 보는지 안 따진다 | 조회 기능 반복 호출이 바로 이 틈을 썼다 |
| 다중인증(MFA) 미적용 | 비밀번호 하나로 들어간다 | 훔친 계정 하나로 문이 열린다 |
금융보안원은 연쇄 해킹 약 2주 전인 9월 17일 세미나에서 AI 에이전트 공격 사례를 공유하며 "외부 노출 자산을 연 1~2회 점검하는 방식만으로는 부족하다"고 경고했다(더퍼블릭 10월 12일). 금융위는 10월 14일 대형 금융사 취약점 점검 주기를 연 1회에서 2회 이상으로 늘리고, 중소형 금융사에 AI 기반 공동 보안관제를 검토하겠다고 했다.
개인정보 유출 확인은 어떻게 하고, 스미싱은 어떻게 막나
개인정보 유출 여부는 해당 금융사의 개별 통지로 확인한다. OK저축은행은 피해 고객에게 문자와 이메일로 알렸고, 다른 금융사도 공지와 개별 통지를 내고 있다. 다만 유출된 이름 · 연락처 · 주민등록번호는 "OO은행 개인정보 유출 확인" 같은 가짜 문자의 재료가 되기 쉽다.
소득 · 대출 한도를 알고 걸려오는 사칭 전화 유형과 안심차단 신청 순서는 금융권 해킹 보이스피싱 대처법에 따로 정리했다.
금감원 국감 10월 19일, 5대 은행장에게 무엇을 묻나
국회 정무위원회의 금융감독원 국정감사가 10월 19일 열리고, 5대 은행장이 일반 증인으로 나온다. 베타뉴스(10월 18일)에 따르면 5대 은행장이 한꺼번에 국감 증인석에 서는 것은 2022년 10월 이후 4년 만이다.
금융권 해킹, 자주 묻는 것
1 금융권 해킹으로 내 계좌 비밀번호도 샜나? +
확인되지 않았다. 금융위 10월 14일 발표와 보도에 따르면 계좌 비밀번호 · 카드번호 · 일회용 비밀번호(OTP)처럼 부정 결제에 바로 쓰이는 정보의 유출은 확인되지 않았다.
이름 · 연락처 · 주민번호만으로도 사칭은 가능하다. 비밀번호를 묻는 연락은 모두 의심한다.2 ARTEX가 이번 은행 해킹을 한 것이 맞나? +
확정되지 않았다. 금융보안원이 신한은행 로그에서 관련 흔적을 확인했고 일부 서버에서 ARTEX 문자열이 나왔지만, 모든 사고가 같은 도구 · 같은 공격자의 소행인지는 조사 중이다.
"AI 해킹"은 지금까지 추정이다. 공격자 신원도 특정되지 않았다.3 ARTEX는 불법 프로그램인가? +
프로그램 자체는 허가받은 침투테스트와 연구용으로 공개된 오픈소스다. 허가 없이 남의 시스템에 쓰면 정보통신망법 위반이다.
AI 모의해킹 도구를 방어에 쓴 우리은행은 공격을 받고도 유출을 피했다.4 개인정보 유출 확인 문자가 오면 눌러도 되나? +
누르지 않는 것이 안전하다. 진짜 통지라도 확인은 금융사 앱이나 대표번호로 직접 한다.
유출 사고 뒤에는 "유출 확인" · "보상 신청"을 미끼로 한 스미싱이 늘어난다.5 [수치 점검] 원문 메모와 다르게 쓴 것 +
① OK저축은행 518명은 "추가"분이 아니라 누적(10월 12일 250명 + 15일 268명)이다. ② 신종 IP는 10월 15일 2차 공격 기준이다. ③ 9월 27일 KB 공격 시작은 IT위키 정리 기준(23시 19분)이다. ④ 신한 유출은 10월 1일 공개 때 약 2만 5천 명, IT위키 10월 7일 집계 25,729명이다. ⑤ 명단 표기는 산은캐피탈(KDB캐피탈) · 프라뱅(프라방)이 매체마다 다르다. ⑥ Planner–Worker 구조는 SK쉴더스 소스 분석 기준이고 원 저장소 소개글에는 없다.
개별 금융사 피해 수치 상당수는 한 출처(IT위키 정리) 값이다.