주요 은행을 비롯한 금융권에서 인공지능(AI) 에이전트 해킹으로 보이는 고객정보 유출 사고가 잇따라 발생한 것은 예견된 결과라는 지적이 나온다. 과거 해커들이 투입 비용 대비 성공 가능성이 낮은 금융회사를 공격 대상으로 삼는 것을 꺼렸다면, AI 에이전트 등장으로 취약점 탐색과 공격을 자동화해 금융회사 전체를 무차별적으로 두드리는 방식이 가능해진 영향이다. 그러나 은행들은 ‘AI 금융비서’, ‘AI 챗봇’, ‘AI 자산관리’ 등의 서비스는 경쟁적으로 늘리면서 AI를 이용한 해킹 등에 대비하는 정보보호 투자는 오히려 줄인 것으로 드러났다.

4일 금융권에 따르면 신한·KB국민·하나·우리·NH농협은행 등 5대 시중은행 모두 외부 해킹 공격을 받은 것으로 파악됐다. 이 가운데 실제 고객정보 유출이 확인된 곳은 신한·국민·하나은행 등 3곳이다. BNK부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다.

이번 공격은 특정 회사를 겨냥한 것이 아니라 AI로 무작위 공격을 가하는 과정에서 취약한 금융사들이 노출됐다는 점에 주목해야 한다는 지적이 나온다. 이전에도 취약한 지점을 무작위로 공격해 해킹 시도가 이뤄졌지만 AI를 활용하면서 속도가 빨라졌고 성공 가능성이 상대적으로 낮았던 금융회사까지 범위가 확대됐다는 것이다.

권헌영 고려대학교 정보보호대학원 교수는 “AI를 활용해서 없던 해킹이 새로 등장한 게 아니라 노력하면 막을 수 있었다”며 “공격하는 측은 AI를 활용해 속도가 빨라졌지만 대응하는 쪽의 속도가 이를 따라잡지 못한 것”이라고 꼬집었다.

실제로 은행들은 AI 챗봇 제작 등 ‘보여주기’식 정보기술(IT) 투자 총액은 늘렸지만 AI를 이용한 해킹 등에 대비하는 등 정보보호 투자는 오히려 줄였다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 4대 시중은행(KB국민·신한·하나·우리)의 지난해 정보보호부문 투자액은 1537억원으로 전년(1704억원) 대비 9.8% 줄어들었다. 액수 자체도 줄었지만 전체 IT 투자에서 정보보호 예산이 차지하는 비중도 지난해 평균 8.05%로 전년(8.61%) 대비 감소했다.(세계일보 9월24일자 ‘은행, 사이버 위협 고도화에도 정보보호 투자 줄여’ 참조)

은행별로 살펴보면 신한·우리은행의 경우 AI 도입 등 IT 투자 총액 자체는 늘렸지만 그중 정보보호 투자는 오히려 줄었다. 하나은행은 지난해 IT 투자액이 전년 대비 2.9% 줄어드는 동안 정보보호 투자액은 19.9%나 급감했다.

시중은행에서는 AI를 활용한 각종 서비스를 출시하며 전환을 대대적으로 홍보해 왔다. AI 챗봇을 필두로 AI를 활용해 기업 신용평가 심사의견을 생성하거나 자동으로 금리인하요구권을 행사해 주는 등의 서비스를 내놓은 것이 대표적이다. 이처럼 신기술 활용에는 적극적으로 투자하면서 AI를 활용한 공격에 대응할 수 있는 보안 예산은 축소한 셈이다.

금융권에서는 개별 기업 차원에서 대응할 수 있는 수준을 넘어섰다며 전체 업계 차원의 공동 대응이 필요하다는 목소리도 냈다. 한 시중은행 관계자는 “회사가 알아서 막으라 하고 실패하면 책임을 묻겠다 하기에는 기술적 한계가 분명하다”고 토로했다.

금융당국 내부에서도 AI로 취약점을 찾아 공략하는 신종 수법을 기존 보안 역량으로 막아내기 어렵다는 판단이 나온다. 이에 금융권 보안체계를 어느 수준까지 개편할지 고심하는 분위기다.

보안업계는 AI로 자동화된 공격에 대응할 수 있도록 방어체계를 고도화해야 한다고 강조했다. 데이터 단위로 접근 권한을 세분화해 인증이 뚫리더라도 대량 정보 조회를 차단하고, 반복적인 요청이나 대량 조회 등 이상행위를 실시간으로 탐지해야 한다는 것이다.

AI를 활용한 방어체계 구축 필요성도 커지고 있다. 사람이 보안 경보를 일일이 분석하는 기존 관제 방식으로는 자동화된 공격 속도와 규모를 따라가기 어렵기 때문이다. AI가 이상징후와 위협을 우선 분류·분석하고, 보안 전문가가 차단이나 격리 등 주요 대응을 최종 판단하는 방식으로 사람과 AI를 결합한 체계가 필요하다는 제언이다.

구예지·이정한 기자 기자페이지 바로가기

Copyright ⓒ 세계일보. 무단 전재 및 재배포 금지