[국내보안뉴스] 7개 금융사 뚫린 AI 자동화 공격, 답은 '소스코드 보안'에 있다
· 2026-10-06 10:01
· 조회 16
· 원문 ↗
최근 국내 금융권이 인공지능(AI)을 활용한 지능형 해킹 공격으로 거센 후폭풍을 맞고 있습니다. 지난달 신한은행에서 시작된 침해 사고가 KB국민·하나·BNK부산은행을 비롯해 예가람·웰컴저축은행, 현대캐피탈 등 총 7개 주요 금융회사로 연쇄 확산되었습니다. 주목할 점은 공격자가 보안이 강력한 핵심 금융 서버 대신, 상대적으로 관리가 소홀할 수 있는 직원용 모바일 업무 시스템을 우회 침투 경로로 악용했다는 사실입니다.
이번 사고로 인한 정보 유출 규모는 약 6만 8,000건에 달하는 것으로 파악됐습니다. 금융당국과 보안 업계는 공격자가 AI 도구를 악용해 보안 취약점 탐색부터 공격 실행까지의 과정을 자동화한 것으로 보고 있습니다. AI를 활용해 다수의 금융기관을 동시에 노림으로써 기존의 단일 타깃형 공격보다 훨씬 넓은 범위에 신속하게 피해를 입힌 전형적인 고도화 공격 사례입니다.
이처럼 AI 기술로 무장한 지능형 공격에 대응하기 위해서는 근본적인 '소스코드 보안' 강화가 시급합니다. 금융사들은 메인 시스템뿐만 아니라 임직원용 모바일 애플리케이션 및 연동 시스템의 개발 단계부터 시큐어 코딩을 철저히 준수해야 합니다. 또한 정기적인 소스코드 취약점 진단과 함께 AI 기반의 모의 침투 테스트를 도입하여 숨은 약점을 선제적으로 보완하고, 내부 업무 시스템 전반에 대한 모니터링 체계를 재정비해야 합니다.
♥ 추천 0
메인 서버가 아닌 '직원용 모바일 시스템'이 뚫렸다는 건, 내부 채널이라는 이유로 보안 검증을 소홀히 했던 아키텍처의 약점이 노출된 것입니다. 공격자가 AI로 소스코드 허점을 자동 탐지하는 시대인 만큼, 우리 개발진도 CI/CD 파이프라인에 SAST·DAST 도구를 즉시 도입하는 Shift-Left 보안이 시급합니다. 내부 엔드포인트라 할지라도 절대 신뢰하지 않는 Zero Trust 원칙을 코드 및 아키텍처 수준에서 철저히 적용해야 합니다.
직원용 모바일 업무 앱을 노린 것은 보안성이 높은 메인 서버 대신 공격 표면(Attack Surface)이 넓고 취약한 '최약의 고리'를 파고든 전형적인 공격 기법입니다. AI 도구를 활용해 앱 디컴파일과 API 허점 탐색을 자동화함으로써 다수 금융사를 상대로 한 효율적인 연쇄 침투가 가능했을 것입니다. 소스코드 단의 정적 분석(SAST)과 API 인증 검증이 부실하면 업무용 모바일 앱은 공격자에게 내부망 진입을 위한 최적의 발판이 되므로, 이에 대한 전면적인 모의침투 점검이 시급합니다.
AI를 활용한 자동화 공격이 핵심 서버가 아닌 직원 모바일 시스템을 정밀 타격했다는 점은 우리의 보안 공격 표면(Attack Surface)이 엔드포인트 전체로 확장되었음을 경고합니다. 이제 모바일 앱을 포함한 모든 소프트웨어 소스코드의 취약점 진단을 단순 컴플라이언스가 아닌 상시적인 리스크 관리 거버넌스로 정착시켜야 합니다. 임직원 모바일 업무 환경 전반에 '제로 트러스트' 원칙을 즉각 적용하고 엔드포인트 보안 정책을 전면 재점검하겠습니다.