AI 해킹 시대의 금융 보안: 은행 정보 유출과 비트코인 셀프 커스터디의 중요성

지난 9월부터 10월 초 사이에 국내 5대 시중은행 모두에서 해킹 시도가 포착되었습니다. 이 공격으로 인해 신한은행, KB국민은행, 하나은행 세 곳에서 실제 고객 정보가 유출된 것으로 확인됐습니다.

이번 해킹으로 계좌에서 돈이 직접 빠져나가지는 않았지만, 고객 정보가 유출된 것으로 알려졌습니다. 과거 해킹과 달리 이번 사건의 특징은 공격 주체가 사람이 아닌 AI였다는 점입니다. 기존에는 해커가 수동으로 취약점을 찾아 공격했지만, 이제는 AI가 이 역할을 대신하고 있습니다.

진행자는 "이제는 AI한테 저 은행 뚫어 봐 하고 목표만 던져 주면 AI가 알아서 찾고 알아서 공격하고 알아서 결과까지 확인합니다"라고 언급하며, 해킹 방식이 해커가 직접 취약점을 하나씩 찾던 방식에서 AI에 목표만 던지는 방식으로 변화하고 있음을 지적했습니다.

이는 AI가 취약점 탐색부터 공격, 그리고 결과 확인에 이르기까지 전 과정을 자동으로 수행할 수 있음을 의미합니다.

이번 영상은 AI 해킹 시대에 은행이 개인 자산을 완벽히 지켜줄 수 없다는 전제 하에 '각자도생'을 결론으로 제시합니다. 진행자는 "결론부터 말씀드리면 각자 도생입니다"라고 밝히며, 자산을 제3자에게 위탁하는 구조의 보상 한계를 강조했습니다.

따라서 영상은 개인이 자신의 자산을 직접 관리하는 '셀프 커스터디'의 필요성을 강조하며, 그 구체적인 실천 방안을 제시할 예정임을 시사했습니다.

이번 5대 은행 해킹 사건 중 신한은행은 대출모집인이 사용하는 조회 서비스가 뚫려 약 25,000명의 고객 정보가 유출되었습니다.

유출된 정보에는 이름, 전화번호, 연소득, 대출 한도가 포함되었으며, 일부 고객의 주민등록번호까지 포함된 것으로 확인됐습니다.

KB국민은행은 직원들이 사용하는 모바일 업무지원 시스템이 해킹되어 119명의 정보가 유출됐습니다. 하나은행은 영업 지원 시스템이 뚫려 89명의 정보가 나갔습니다.

또한 부산은행에서도 외주 개발 직원 11명의 정보가 유출되었다는 보도가 있었지만, 우리은행과 농협은행은 공격을 받았음에도 불구하고 현재까지 유출 사실은 확인되지 않았습니다.

이번 은행 해킹 사건은 인터넷뱅킹이나 모바일 앱 같은 은행의 '정문'과 핵심 코어뱅킹 시스템이 아닌, 외부와 연결된 '옆문'들을 통해 발생했습니다. 진행자는 "정문은 안 뚫렸습니다. 이번에 뚫린 곳이 전부 이런 옆문들이었습니다"라고 설명했습니다.

뚫린 시스템은 신한은행의 대출모집인 조회 서비스, KB국민은행과 부산은행의 직원 모바일 업무 시스템, 하나은행의 영업점 직원 시스템 등입니다. 이러한 시스템들은 편의를 위해 외부에 개방되어 있었고, 정문에 비해 보안 경비가 허술했다는 공통점이 지적됐습니다.

금융보안원과 언론은 이번 해킹 사건의 원인으로 세 가지를 꼽았습니다. 첫째, 정보 서비스에서 본인 확인 절차가 누락되어 있었다는 점입니다. 둘째, 직원형 모바일 시스템에서 어떤 기기로 접속하는지에 대한 통제가 허술했다는 점이 지적됐습니다.

셋째, 이미 알려진 웹 취약점을 고치지 않고 방치했다는 점입니다. 이는 쉽게 말해 '옆문에 자물쇠가 없었고, 누가 들어오는지 확인도 안 했으며, 고장 난 줄 알면서도 고치지 않았다'는 의미로 풀이됩니다.

이번 공격에 사용된 것으로 추정되는 서버에서 'RT AI'라는 도구의 흔적이 발견되었습니다. 화면 제목에 중국어로 '자율 침투 테스트 콘솔'이라고 적혀 있었다고 합니다. 이 도구는 본래 기업들이 자체 시스템의 보안 취약점을 점검하기 위해 만든 오픈소스 보안 도구입니다.

RT AI는 여러 AI 모델을 불러와 에이전트들이 역할을 나눠 협업하게 만드는 지휘자에 가깝다고 알려져 있습니다. 하지만 현재까지 AI가 스스로 판단하여 5대 은행을 완전 자율적으로 해킹했다는 증거는 확인되지 않았습니다. RT AI 사용 정황과 자동화 흔적은 강하게 나타났지만, 공격자가 어떤 AI를 어느 단계에서 얼마나 사용했는지에 대한 최종 수사 결과는 아직 발표되지 않았습니다.

현재까지 AI가 스스로 판단하여 국내 5대 은행을 완전 자율적으로 해킹했다는 확인된 근거는 없습니다. 진행자는 "사람인 해커가 AI를 도구로 쓴 것으로 보는 게 맞습니다"라고 언급하며 AI가 공격자의 도구로 활용되었을 가능성에 무게를 실었습니다.

이는 AI 자체의 자율적인 공격 능력보다는, 사람이 AI를 활용해 해킹 효율을 높이는 방식으로 이번 공격이 이루어졌을 것이라는 판단을 제시합니다.

AI의 등장은 해킹의 양상을 네 가지 측면에서 변화시키고 있습니다. 첫째, 해킹의 규모가 대폭 확대됩니다. 과거 해커 한 명이 제한된 수의 시스템을 스캔했다면, AI는 해커 한 명이 여러 AI 에이전트를 동원해 수천, 수만 개의 시스템을 24시간 내내 스캔하며 취약점을 찾아냅니다. 이는 해커 한 명의 생산성을 수십에서 수백 배까지 끌어올리는 효과를 가져옵니다.

둘째, 해킹의 속도가 빨라집니다. 새로운 보안 취약점이 공개되면, 과거에는 사람이 공격 코드를 만드는 데 며칠이 걸렸지만, AI는 취약점 설명을 읽고 즉시 공격 방법을 생성할 수 있어 방어 체계가 대응할 시간을 줄입니다. 셋째, 해킹의 진입장벽이 낮아집니다. 이제 실력이 부족한 사람도 AI 도구를 활용해 해킹을 시도할 수 있게 되면서 잠재적 해커의 수가 증가할 수 있습니다.

넷째, 사람을 속이는 공격이 더욱 정교해집니다. AI는 개인 정보를 수집하고 가족 및 회사 관계를 분석하여 맞춤형 사기 문자를 작성하거나, 가족의 목소리를 흉내 내고 심지어 영상까지 제작할 수 있어 사람을 속이는 것이 훨씬 쉬워집니다.

이번 은행 해킹으로 유출된 이름, 전화번호, 연소득, 대출 한도 등의 정보는 직접적인 자금 유출로 이어지지 않았지만, "정교한 2차 사기를 만들기에 완벽한 재료"가 될 수 있습니다. 진행자는 예를 들어 '연소득 기준으로 대출 한도가 얼마 나오시는데 저금리 대환 대출 가능하십니다'와 같은 맞춤형 멘트를 AI가 만들 수 있다고 설명했습니다.

특히 AI는 개인 정보를 기반으로 맞춤형 메시지를 생성하고, 가족의 목소리를 흉내 내거나 영상을 제작할 수 있어 사람들을 속이는 것이 더욱 쉬워질 것이라고 경고했습니다. 이는 이번 사건의 진짜 피해가 지금부터 시작될 수 있음을 시사합니다.

진행자는 2014년 KB국민, 농협, 롯데카드 3사 정보 유출 사건을 예로 들며 은행 정보 유출 시 피해자 구제가 매우 제한적임을 강조했습니다. 당시 1억 건의 개인 정보가 유출되었지만, 소송에 참여한 피해자들은 1인당 10만 원의 배상액을 받는 데 그쳤습니다. "정보는 은행이 흘렸는데 돈은 내가 잃고 책임도 내가지는 구조입니다"라고 비트보부상은 설명했습니다.

또한 정보 유출로 인한 2차 사기로 돈이 털릴 경우, 은행 해킹 피해가 아닌 고객의 보이스피싱 피해로 처리될 가능성이 높아 고객이 자신의 정보가 이번 유출 건에서 나왔다는 것을 증명하기도 어렵다고 지적했습니다. 작년 SKT 유심 해킹 사례처럼 통신사가 뚫리면 본인 인증 자체가 무력화되어 은행 계좌까지 털릴 위험도 존재합니다.

비트코인 등 암호화폐를 거래소에 위탁 보관할 경우 해킹이나 파산 시 자산 회수에 심각한 문제가 발생할 수 있습니다. 2014년 마운트곡스 해킹 사건에서는 사라진 비트코인 85만 개 중 약 20%만 10년 뒤에 회수되었으며, 그동안 자산이 묶여 개인의 재정적 기회를 상실하게 했습니다.

2022년 파산한 FTX의 경우, 고객들에게 118%를 돌려주겠다고 발표했으나 그 기준이 파산 신청 당시의 최저가(16,871달러)였기에, 비트코인 개수로는 극히 일부만 돌려받은 셈이 됐습니다. 국내 하루인베스트와 델리오 사건 또한 예치 서비스 중단 시 예금자 보호 대상이 아니라는 점을 보여주며, 거래소 해킹 시 회사의 보상 여력에 따라 고객 자산 보호 범위가 달라진다는 위험성을 강조했습니다.

진행자는 거래소에 표시된 비트코인 숫자는 회사가 발행한 '차용증'에 불과하며, "은행 통장고가 은행이 나한테 진 빚신 것과 똑같습니다"라고 지적했습니다. 반면 비트코인 셀프 커스터디는 12개 또는 24개 단어로 이루어진 니모닉(개인 지갑 복구 문구) 하나만 안전하게 지키면 은행이 털리거나 거래소가 망하더라도 자산이 그대로 보존될 수 있다고 설명했습니다.

은행은 수많은 외부 접점으로 인해 공격 표면이 넓지만, 개인 지갑은 열쇠를 본인만 가지고 있고 인터넷과도 연결되어 있지 않아 해킹 위험이 현저히 낮습니다. 다만, 콜드카드 난수 생성 결함 사례처럼 셀프 커스터디 역시 올바른 보안 절차가 필수적이라고 강조하며, "셀프 커스터디도 제대로 안 하면 털립니다"라고 덧붙였습니다.

비트보부상은 거래소에 자산을 오래 둘수록 해킹, 파산, 출금 중단 등 모든 위험에 노출된다고 경고하며, 자산 보호를 위한 5가지 셀프 커스터디 보안 실천 지침을 제시했습니다. 첫째, 거래소는 비트코인을 구매하는 곳일 뿐 보관하는 곳이 아니므로 구매 즉시 개인 지갑으로 출금해야 합니다.

둘째, 니모닉은 사진이나 메모 앱, 클라우드 등 디지털 기기에 절대 저장하지 말고 종이나 금속판에 손으로 직접 기록해야 합니다. 셋째, 기기가 생성해 준 난수를 무조건 신뢰하지 말고, 주사위 등을 이용해 직접 엔트로피를 생성하고 패스프레이즈를 추가하여 보안을 강화해야 합니다. 넷째, 보유 자산 규모가 커지면 3개의 열쇠 중 2개가 있어야 자산 인출이 가능한 '멀티시그(Multi-signature)' 구조를 도입해야 합니다. 다섯째, 본인 부재 시 가족이 자산에 접근할 수 있도록 상속 계획을 반드시 세워야 합니다.

비트보부상은 비트코인 셀프 커스터디를 위한 다섯 가지 핵심 보안 지침을 강조했습니다. 첫째, 거래소는 비트코인 매매 용도로만 사용하고, 구매 즉시 개인 지갑으로 출금하여 해킹, 파산, 출금 중단 등 거래소 관련 위험에 노출되지 않도록 해야 합니다. 둘째, 니모닉(개인 지갑 복구 문구)은 디지털 기기(사진, 메모 앱, 클라우드 등)에 절대 남기지 말고 종이나 금속판에 손으로 직접 기록하여 물리적으로 안전하게 보관해야 합니다. 구글 계정 해킹으로 클라우드에 동기화된 니모닉이 유출되어 수천만 원을 잃은 사례가 있습니다.

셋째, 기기가 자동으로 생성해 준 니모닉을 맹신하지 말고, 주사위를 50번 이상 직접 굴려 엔트로피를 생성한 후 25번째 패스프레이즈 단어까지 추가하여 난수의 무작위성을 강화해야 합니다. 넷째, 보유량이 증가하면 열쇠 세 개 중 두 개가 있어야 자산이 이동되는 '멀티시그' 방식을 도입하여 하나의 열쇠가 유출되더라도 자산을 보호할 수 있게 해야 합니다. 다섯째, 본인 유고 시 가족이 비트코인 자산을 찾을 수 있도록 상속 계획을 미리 세워두는 것이 중요합니다. 아무도 찾지 못하는 비트코인은 잃어버린 것과 다름없기 때문입니다.

비트보부상은 셀프 커스터디가 처음이라 두려움을 느끼는 사람들을 위해 실천 팁을 제공했습니다. 처음부터 모든 자산을 옮기려 하지 말고, "아주 소액만 먼저 내 지갑에 보내보고 니모닉으로 지갑을 지웠다가 복구까지 한번 해 보세요"라고 조언했습니다.

자산을 실제로 보내고 니모닉으로 지갑을 복구하는 과정을 직접 눈으로 확인하는 것이 중요합니다. 이 과정을 통해 셀프 커스터디가 생각보다 어렵지 않다는 것을 깨닫고 심리적 장벽을 낮출 수 있다고 설명했습니다.

진행자는 "AI는 이제 해킹 실력이 없는 사람도 은행문을 두드릴 수 있게 만들었습니다"라며, 최근 국내 5대 시중은행 중 3곳이 AI 공격으로 뚫린 사례를 다시 한번 강조했습니다. AI 기술의 발전으로 해킹이 더욱 쉽고 빈번해지는 시대가 도래했으며, 이에 따라 은행, 거래소, 심지어 정부도 개인의 자산을 완벽하게 지켜줄 수 없다는 인식이 커지고 있습니다.

이에 비트보부상은 인생을 걸고 모으는 자산, 노후 자금, 자녀에게 물려줄 자산은 제3자에게 맡기지 말고 스스로 지키는 '각자도생' 전략이 필수적이라고 주장했습니다. 현재 세상에서 이러한 각자도생이 가능한 유일한 자산으로 비트코인을 꼽으며, "비트코인은 반드시 셀프 커스터디 하세요"라고 결론 내렸습니다.