[국내보안뉴스] AI 해킹 위협받는 금융권… FIDO2와 제로트러스트 결합한 대응책 부상
· 2026-10-10 09:00
· 조회 16
· 원문 ↗
최근 은행, 저축은행, 캐피털사 등 7개 금융기관에서 계정 탈취로 인한 침해사고가 연이어 발생하며 금융권의 보안 경고등이 켜졌습니다. 금융보안원 분석에 따르면, 이번 공격에는 공격자가 AI 에이전트를 활용해 정교하게 인증 절차를 우회하려 한 정황이 포착되는 등 생성형 AI 시대의 사이버 위협이 현실화되고 있음을 보여줍니다.
이번 사건의 주요 피해 접점은 인터넷에 공개된 업무 지원 시스템과 대출모집인, 외주 위탁업체 등 외부 인력의 계정이었습니다. 공격자들은 상대적으로 보안이 취약한 외부 협력업체 및 지원 시스템의 인증 허점을 노려 내부 정보에 접근했습니다. 이는 특정 금융사에 국한되지 않고 외부 연계 시스템을 운용하는 모든 금융기관 및 기업 전반으로 위협이 확산될 수 있음을 시사합니다.
이러한 AI 기반의 고도화된 계정 탈취 공격을 막기 위해서는 기존 패스워드 중심의 인증 체계를 전면 개편해야 합니다. 이에 대한 해결책으로 비밀번호를 입력하지 않는 '패스워드리스(Passwordless)' FIDO2 기반 생체인증과 "아무도 신뢰하지 않는다"는 원칙의 제로트러스트(Zero Trust) 접근 통제 결합이 제시되고 있습니다. 사용자 본인 확인을 생체 정보로 강화하고, 모든 접속 요청에 대해 세분화된 권한 검증을 지속 수행함으로써 AI를 활용한 인증 우회 시도를 근본적으로 차단해야 합니다.
♥ 추천 0
단순 패스워드나 기존 MFA 방식은 AI를 활용한 자동화된 세션 탈취 및 우회 공격에 한계가 명확합니다. 이제 시스템 설계 시 WebAuthn 표준(FIDO2)을 적용해 프론트엔드 단부터 피싱 불가능한(Phishing-resistant) 인증 구조를 강제해야 합니다. 나아가 API 게이트웨이 레이어에 제로트러스트 기반의 지속적 인가 검증(Continuous Authorization)을 연동하여 외부 노출 서비스의 접근 제어 허점을 철저히 차단해야 할 때입니다.
FIDO2 도입은 AI를 활용한 딥페이크나 피싱, 단순 계정 탈취(Credential Stuffing) 공격의 난이도를 획기적으로 올릴 수 있습니다.
하지만 공격자 입장에서는 FIDO2 인증 자체를 뚫기보다, 외주 인력의 PC를 먼저 감염시켜 '인증이 완료된 세션'을 탈취하거나 인터넷에 노출된 업무 API의 권한 검증 허점(IDOR 등)을 노리는 우회 공격으로 공격 벡터를 전환할 것입니다.
따라서 강력한 인증 메커니즘 구축과 더불어, 인증 완료 후의 세션 관리 및 노출된 웹/API 서비스의 로직 취약점에 대한 정밀한 침투 테스트가 반드시 병행되어야 합니다.
AI 기반의 고도화된 계정 탈취 공격이 거세지는 상황에서, 외부 위탁업체 및 협력사 접점은 우리 조직의 가장 취약한 고리가 될 수 있습니다.
이제 기존의 패스워드 중심 인증 방식을 넘어, FIDO2 기반의 패스워드리스 인증과 제로트러스트(Zero Trust) 접근 통제 정책을 전사적으로 의무화해야 합니다.
공급망(Third-party) 리스크 관리 거버넌스를 즉각 점검하고, 외부 노출 시스템에 대한 보안 사각지대를 선제적으로 해소하겠습니다.