신한·KB국민·하나은행 개인정보 유출 확인…보안 전문가 "오픈소스 AI 에이전트 활용 가능성"

은행별로 공개된 유출 범위

신한은행에서는 대출 신청과 관련된 약 2만5000명의 정보가 유출됐다.

KB국민은행이 10월 2일 공개한 유출 규모는 고객 119명분의 개인·신용정보다. 유출 경로로는 고객 금융거래망과 직접 연결되지 않은 직원용 모바일 업무지원시스템이 지목됐다. 빠져나간 항목으로는 고객명, 전화번호, 주소, 암호화 처리된 주민등록번호 등이 함께 제시됐다.

BNK부산은행은 10월 2일 내부 모바일 영업지원시스템이 공격을 받아 외주개발 직원 11명의 개인정보가 회사 웹페이지에 일시 노출됐다고 밝혔다. 이 은행은 유출 내용을 금융감독원과 금융위원회, 개인정보보호위원회에 보고했다고 설명했다.

우리은행과 NH농협은행도 비슷한 시기 공격을 받았으나 개인정보 유출은 발생하지 않았다.

고객 안내와 당국 대응

KB국민은행은 9월 30일 밤 유출 가능성을 인지한 뒤 서버와 접근 경로를 차단하고 해당 고객에게 개별 안내했다고 밝혔다. 이 은행은 고객 피해가 발생하면 전액 보상하고 비상대응체계를 가동하겠다며 대표 콜센터 1588-9999와 전용 상담센터 1566-8331을 안내했다. 또 출처를 알 수 없는 문자·이메일의 링크를 누르지 말고 명의도용 방지와 비대면 계좌개설·여신거래 안심차단 서비스로 부정 이용 여부를 확인하라고 자사 고객에게 권고했다.

금융위원회가 10월 2일 연 긴급 상황대응 회의에는 은행 6개사와 카드 3개사가 참여했다. 이 자리에서는 정보유출 사건과 보안 대응 방향이 논의됐다. 금융당국은 침해사고 신고가 접수되면 현장조사에 착수하고 위협정보를 관계기관과 공유한다는 방침을 밝혔다.

보안 전문가가 제기한 AI 도구 가능성

오픈소스 AI 기반 에이전트의 활용 가능성을 제기한 것은 문종현 지니언스시큐리티 센터장이다. 그는 국내 여러 곳을 겨냥한 공격을 분석한 결과라며 중국에서 공개된 도구를 가능성의 대상으로 들었다. 문 센터장은 문자열 분석을 근거로 ARTEX AI가 이용됐을 수 있다고 봤으나, 공격 배후는 알 수 없다고 밝혔다. ARTEX AI가 실제로 쓰였는지는 확정되지 않았다.

문 센터장의 설명에 따르면 ARTEX AI는 대상 탐색과 취약점 발견·검증, 공격 경로 수립, 보안 도구 실행을 연계할 수 있는 대형언어모델 기반 시스템이다. 그는 이 프로젝트가 2026년 중국 바이두 BSRC가 주도한 에이전트 공방 능력 챌린지 우승작으로 공개됐다고 설명했다.

문 센터장은 AI 자율 공격이 가시화됐다고 평가하며 공개된 AI 침투 테스트 도구가 위험한 공격 도구로 쓰일 수 있다고 경고했다. 그는 AI와 APT가 결합한 국가 배후 AiPT 공격이 늘어날 수 있다고 보고 보안 투자 확대가 필요하다고 주장했다. AiPT는 AI 에이전트와 도구가 보안 정찰과 취약점 악용, 내부 침투·잠복을 자동화해 수행하는 공격 유형을 가리킨다. APT는 특정 대상을 장기간 은밀하게 침투해 정보를 탈취하거나 시스템을 교란하는 공격을 뜻한다.

참고 배경

이번 사고들과의 인과관계는 확인되지 않았으나, 금융권 정보보호 논의는 이전부터 이어졌다. 금융회사를 정보보호관리체계 인증 의무에서 빼둔 현행 방식은 재검토 대상으로 지적됐다. 이 지적은 국회입법조사처가 2026년 8월 내놓은 국정감사 이슈 분석에 담겼다. 앞서 금융위원회는 롯데카드에 1.5개월 업무정지와 과징금 50억원을 2026년 7월 부과했고, 해당 사고의 유출 규모는 고객 약 297만명의 신용정보였다. 2026년 10월 6일 시작되는 국정감사에서는 통신·플랫폼·금융·커머스 분야 보안사고가 주요 의제로 다뤄질 것이라는 전망이 제시됐다.

하나은행의 유출 규모·항목과 각 사고의 침입 경로·공격 주체는 공개된 자료에서 확인되지 않았다.