KB국민은행도 고객정보 유출 (서울=연합뉴스) 김인철 기자 = 신한은행에 이어 KB국민은행에서도 해킹으로 고객 정보가 유출되는 사고가 발생한 2일 서울 시내의 한 KB국민은행 모습. 이날 금융당국과 금융권 등에 따르면 KB국민은행에서 최근 고객 정보 100여건이 외부 침입에 의해 유출된 사실을 확인했다.

한국 주요 금융기관을 겨냥해 고객 정보를 유출시킨 연쇄 해킹 사건의 주범이 중국 광둥성에 거주하는 26세 남성일 수 있다는 구체적인 분석 결과가 나왔다.

글로벌 사이버보안 기업 크라우드스트라이크가 발표한 분석 보고서에 따르면, 한국 금융권을 공격한 해커는 생성형 인공지능(AI) 코딩 도구인 '클로드 코드'를 사용하는 과정에서 결정적인 개인적 단서를 남겼다. 공격자는 해당 AI에 자신의 침투테스트 이력을 정리한 보안 연구자용 이력서 작성을 요청했는데, 이 과정에서 이름 이니셜, 학력, 거주지, 텔레그램 계정 정보 등이 시스템에 기록됐다.

아울러 공격자는 클로드 측에 탈취한 한국 금융 데이터를 거래할 수 있는 판매처 및 한국어 텔레그램 암시장 접근 방법을 직접 질의한 것으로 파악됐다. 조사 결과 유출된 텔레그램 계정은 과거 텔레그램 기반 NFT 마켓플레이스 취약점 조사 session과 중국 내 결제 플랫폼 공격 정황에서도 동일하게 사용된 바 있다. 다만 보안 당국은 이 정보가 정황상 추정일 뿐 최종 신원 확정 단계는 아니라고 보고 있다.

이번 해킹 사건은 홍콩에 위치한 IP 주소를 메인 명령/통제(C2) 인프라로 두고, 실제 공격에 필요한 인스턴스는 별도 서버로 분리해 운영하는 치밀한 2단계 네트워크 구조를 취했다. 정체를 숨기기 위해 9개의 프록시 IP 주소를 수시로 바꿔가며 접속을 우회했다.

기술적으로는 중국의 오픈소스 에이전틱 침투테스트 도구인 '아르텍스(ARTEX)'가 동원됐다. 아르텍스의 핵심 구동 엔진으로는 딥시크의 'v4.1-플래시' 경량 모델이 사용됐으며, 정식 접속이 아닌 제3의 재판매 업체를 통해 우회 경로로 이용됐다. 이외에도 즈푸AI의 'GLM-5.3', '그록 4.6' 등 다수의 대규모언어모델(LLM)을 보조적으로 교차 활용하는 등 상황별로 다양한 AI 도구를 유연하게 조합했다.

피해 대상은 신한은행, KB국민은행, 하나은행, BNK부산은행 등 시중은행 4곳을 비롯해 예가람저축은행, 웰컴저축은행, 현대캐피탈까지 총 7개 금융사다. 금융당국 조사 결과 피해 금융사별로 감지된 접속 IP는 각각 달랐지만, 단일 공격자가 접속 IP를 변환하며 동일 패턴의 AI 자동화 공격을 가한 것으로 확인됐다. 경찰청 사이버수사국은 공격 IP에서 검출된 아르텍스 AI 흔적을 바탕으로 구체적인 침입 경로 및 범행 주체를 추적하고 있다.

해당 공격자는 정치적 목적보다는 순수 금전적 이득을 노리고 범행을 저질렀을 가능성이 높은 것으로 분석된다.