한국 금융권 또 뚫렸다 AI 사이버공격 파상공세

한국 금융권이 또다시 동시다발적인 사이버공격 피해를 입었습니다. TechCrunch 보도에 따르면 이번에 영향을 받은 곳은 대신증권과 미래에셋글로벌인베스트먼트, 가상자산 거래소 빗썸이며, 이 가운데 대신증권에서는 고객 38,490명의 개인정보가 노출됐습니다. 이번 사태는 약 한 달 전인 9월 공격에 이어 발생했고, 당국은 민간 부문의 수십 개 IT 시스템에 대한 보안 점검을 예고한 상태입니다.

1. 증권·운용·거래소를 노린 10월 침해의 사실관계

TechCrunch가 2026년 10월 28일 보도한 내용에 따르면, 대신증권은 사이버공격을 받아 고객 38,490명의 개인정보가 노출됐다고 보고했습니다. 유출된 정보는 이름과 이메일 주소, 휴대전화번호를 포함합니다. 회사는 영향을 받은 고객에게 통지했고, 당국 조사에 협조하고 있으며, 법에서 요구하는 대로 손실에 대해 보상하겠다고 밝혔습니다. 이는 단순한 접속 장애나 일시적인 서비스 중단이 아니라, 식별 가능한 규모의 개인정보 유출이 확인된 사례라는 점에서 무게가 다릅니다.

미래에셋글로벌인베스트먼트와 빗썸도 같은 시기 별도의 사이버보안 사고를 보고했습니다. 현지 언론 보도에 따르면 두 회사는 수요일에 각각 사고를 보고했지만, 고객 데이터가 유출됐는지는 확인하지 않았습니다. 다시 말해, 세 곳 모두에서 사고 보고 자체는 있었고, 그중 유출 규모와 항목이 구체적으로 공개된 곳은 현재까지 대신증권 한 곳입니다. TechCrunch는 금융위원회와 대신증권, 빗썸, 미래에셋글로벌인베스트먼트에 입장을 요청했지만 보도 시점까지 답변을 받지 못했다고 밝혔습니다.

이번 보도가 주목하는 지점은 공격 대상의 범위입니다. 종전에는 은행 시스템이 주로 거론됐지만, 이번에는 증권사와 자산운용사, 가상자산 거래소가 함께 언급됐습니다. 이는 금융업 내부에서도 계정과 자산, 고객 접점이 분산된 여러 업권이 동시에 흔들릴 수 있음을 보여줍니다. 특히 증권과 운용, 거래소는 고객 식별 정보와 거래 인증, 입출금 흐름이 긴밀하게 연결돼 있어, 한 곳의 침해가 고객 신뢰와 전체 채널의 보안 점검 부담으로 확산되기 쉽습니다. 당국이 금융사와 정부 기관에 대한 연이은 공격 이후 더 강력한 사이버보안 조치를 요구한 배경도 여기에 있습니다.

개발자 관점에서 이번 1차 사실관계를 읽을 때는 확인된 것과 확인되지 않은 것을 구분하는 것이 중요합니다. 확인된 것은 대신증권의 38,490명 유출과 유출 항목, 통지와 협조, 법에 따른 보상 방침입니다. 확인되지 않은 것은 미래에셋글로벌인베스트먼트와 빗썸의 유출 여부이며, 두 회사는 사고 보고 사실만 전해졌습니다. 또한 이번 10월 침해의 근본 원인도 아직 조사 중입니다. 보도된 사실을 넘어서 공격 수법이나 침입 경로를 단정해서는 안 되며, 후속 당국 발표와 각 사 공지를 기준으로 업데이트해야 합니다.

2. 한 달 만의 재발과 AI 공격 도구의 그림자

이번 사태는 약 한 달 전인 9월에 한국 금융기관을 노린 일련의 사이버공격 이후에 발생했습니다. TechCrunch에 따르면 보안 연구자들은 9월 공격을 Artex라는 AI 침투 테스트 도구에 의존한 것으로 의심되는 중국 기반 해커와 연결 지었습니다. 다만 이는 9월 공격에 대한 연구자들의 분석이며, 이번 10월 침해의 근본 원인에 대해서는 당국이 여전히 조사 중입니다. 즉, AI 도구의 악용 가능성은 제기됐지만, 최신 침해와 특정 행위자를 직접 연결하는 결론은 아직 나오지 않았습니다.

그럼에도 이번 보도가 AI 주도 해킹의 위험을 강조한 점은 주목할 만합니다. 침투 테스트 도구는 원래 취약점을 자동으로 탐색하고 검증하기 위한 합법적인 도구이지만, 공격자의 손에 들어가면 정찰과 취약점 스캔, 자격 증명 대입, 피싱 문구 생성 같은 작업을 빠른 속도로 반복하는 데 악용될 수 있습니다. 업계 일반 상식으로 보면, 이런 자동화는 공격 준비 시간을 줄이고 공격 대상을 넓히는 효과를 냅니다. 특정 기업을 깊게 노리는 방식과 다수의 금융 접점을 넓게 훑는 방식이 동시에 가능해지는 것입니다. 이번처럼 여러 업권에서 짧은 기간에 사고가 보고되는 형태는 후자의 가능성을 염두에 두게 합니다.

당국의 대응 방향도 더 구체화되고 있습니다. 보도에 따르면 한국의 금융 규제 당국은 금융사와 정부 기관에 대한 연이은 공격 이후 더 강력한 사이버보안 조치를 촉구했습니다. 또한 민간 부문의 수십 개 IT 시스템에 대한 보안 점검을 실시할 계획입니다. 이는 개별 회사의 사후 통지와 보상만으로는 부족하고, 사전 점검과 공통 취약점 제거가 필요하다는 인식으로 해석됩니다. 점검 대상과 일정, 결과가 공개되는 방식에 따라 각 금융사와 외주 개발 조직의 대응 업무량도 달라질 전망입니다.

아시아 전반의 흐름도 함께 봐야 합니다. 보도에 따르면 일본에서는 GMO 인터넷과 관련한 사이버보안 사고가 하루 전에 보고됐고, 그 이전에도 일본 금융기관에 대한 일련의 공격이 있었습니다. TechCrunch는 아시아 전반의 사이버공격 물결이 수년간 이어진 취약한 사이버보안의 결과인 경우가 많다고 전하면서도, 조사관들이 각 사고 사이의 연관성을 확인하지는 않았다고 밝혔습니다. 한국과 일본의 사고를 하나의 배후로 묶는 해석은 현재로서는 근거가 없습니다. 다만 금융권을 노린 자동화 공격이 특정 국가에 국한되지 않고 지역적으로 반복되고 있다는 점은 분명합니다. 이는 한국 금융사와 협력사들이 해외 사례의 탐지 규칙과 대응 기록을 참고하되, 자사 환경에 맞게 검증해야 함을 뜻합니다.

정리하면, 이번 사건의 사실 핵은 세 가지입니다. 첫째, 증권과 운용, 가상자산 거래소를 포함한 금융업 전반으로 침해 보고가 확산됐습니다. 둘째, 구체적 유출 규모가 확인된 곳은 대신증권이며, 나머지 두 곳은 유출 확인이 없습니다. 셋째, AI 도구 악용에 대한 우려는 커졌지만 최신 침해의 원인은 조사 중입니다. 이 구분을 유지해야 불필요한 공포나 성급한 귀책을 피하고, 실제로 필요한 통제부터 손댈 수 있습니다.

3. 한국 개발자·기업에게 주는 시사점

① 이름·이메일·전화번호가 한 번에 나가지 않게 데이터 흐름을 쪼개야 합니다

대신증권 사례에서 확인된 유출 항목은 이름과 이메일 주소, 휴대전화번호입니다. 이 세 가지는 각각은 사소해 보여도 합쳐지면 피싱과 스미싱, 계정 탈취 시도의 정밀도를 크게 높입니다. 공격자가 이메일 주소와 전화번호를 함께 확보하면 본인 확인을 사칭하는 문자를 보내거나 고객센터 상담을 속이는 시나리오가 쉬워집니다. 따라서 한국 금융사와 핀테크, 가상자산 사업자는 고객 식별 정보를 한 테이블과 한 API 응답, 한 로그에 모아 두는 설계를 우선 점검해야 합니다. 조회 목적에 따라 마스킹을 다르게 적용하고, 이메일과 전화번호를 동시에 반환하는 내부 API를 분리하며, 운영 로그와 분석 적재 과정에서 개인식별 필드가 그대로 복제되지 않도록 해야 합니다. 통지와 보상도 개발 과제입니다. 유출 규모별로 통지 대상을 추출하고, 중복 통지와 누락을 막으며, 문의 채널의 폭주를 견디는 절차를 사전에 코드와 운영 문서로 준비해야 합니다. 법에서 요구하는 보상 기준이 적용될 때 이를 고객 식별과 피해 입증, 지급 처리로 연결하는 흐름을 미리 만들어 두면 사후 혼란을 줄일 수 있습니다.

② AI 자동화 공격을 전제로 탐지와 외주·공급망 점검 순서를 바꿔야 합니다

9월 공격에 대한 Artex 연계 의혹이 사실이든 아니든, 개발 조직이 가정해야 할 전제는 하나입니다. 이제 정찰과 스캔, 자격 증명 공격은 사람이 손으로 하는 속도가 아니라 자동화된 속도로 들어온다는 것입니다. 로그인 실패율과 비밀번호 재설정 요청, API 호출 패턴, 비정상 시간대의 내부망 조회 같은 신호를 개별 지표가 아니라 묶음으로 보고, 임계값을 넘는 속도를 탐지해야 합니다. 특히 증권과 운용, 거래소처럼 고객 접점과 파트너 연동이 많은 환경에서는 외부 노출 API와 관리자 콘솔, 외주 유지보수 계정의 권한을 다시 봐야 합니다. 민간 부문 수십 개 IT 시스템에 대한 보안 점검이 예고된 만큼, 협력사와 외주 개발사가 관리하는 VPN 계정과 배포 파이프라인, 클라우드 키, 로그 보관 정책을 먼저 정리하는 것이 유리합니다. 점검에 걸리기 전에 접근 권한의 최소 권한 원칙을 적용하고, 다중 인증을 예외 없이 확대하며, 퇴사자와 프로젝트 종료 인력의 계정을 즉시 회수해야 합니다. 일본 GMO 인터넷 사례처럼 인근 국가에서도 금융권 사고가 이어지는 상황에서는 공격에 쓰인 인프라가 재사용될 수 있으므로, 자사에 유입되는 외부 IP와 도메인, 파일 해시 같은 위협 정보를 차단 목록에만 넣고 끝내지 말고 탐지 규칙과 알림 기준으로 전환해야 합니다.

우리의 관점: 이번 10월 침해는 단발성 해킹이라기보다 9월에 이어 금융업의 여러 창구가 순차적으로 시험받고 있는 과정에 가깝습니다. 대신증권에서 38,490명 규모의 유출이 확인된 반면 다른 두 곳은 유출 확인이 없다는 점은, 같은 시기에도 탐지와 차단 수준에 따라 결과가 갈린다는 사실을 보여줍니다. AI 침투 테스트 도구의 이름이 거론된 것은 공격의 자동화 속도를 시사하지만, 최신 침해의 원인이 조사 중이라는 점에서 대책의 중심은 특정 도구가 아니라 노출된 식별 정보와 과도한 권한에 둬야 합니다. 한국 팀에게는 민간 점검 확대 전에 고객 데이터 흐름과 외주 접근 통로를 스스로 줄이는 시간이 남은 셈이며, 이 기간의 실행 속도가 다음 사고 때의 통지 범위를 결정할 것입니다.

※ 위 시사점 섹션은 보도된 사실에 기반한 WhatsUpPick 편집팀의 독자적 분석·전망이며, 특정 제품 도입을 권유하는 것이 아닙니다.

참고 자료

• TechCrunch 보도 원문 — 대신증권 38,490명 유출과 미래에셋·빗썸 사고 보고, 당국 점검 계획을 전한 기사
• TechCrunch 최신 뉴스 — AI·보안 관련 후속 보도 확인용