[구멍 난 금융보안]⑥AI가 바꾼 해킹 공식…IMF·BIS "해킹도 머신 스피드, 골든타임 줄어든다"

생성형·에이전틱 AI 등장 이후
시스템 취약점 더 빨리, 더 많이 찾아 공격
"AI 활용 공격자 활동 89%↑…내부 확산 평균 29분"

숙련된 해커 없이도 가능…AI 해킹 보편화 우려
금융사 대부분 공통 인프라 공유…개별 해킹, 시스템 위기로
"AI 해킹 대응할 AI 방어체계 시급"…"디지털 보안투자 늘려야"

금융권의 디지털 보안 위협은 생성형 인공지능(AI) 등장 이후 새로운 국면을 맞았다. 과거에는 숙련된 해커가 일일이 취약점을 찾았다면 이제는 명령어만으로도 AI가 짧은 시간에 수많은 서버와 웹 서비스를 무차별적으로 공격해 정보를 탈취하는 시대가 열렸다. 최근 동시다발적으로 발생한 금융기관 해킹은 AI가 금융권 보안체계를 위협할 강력한 공격 무기가 될 수 있다는 것을 보여주는 한 단면이다. 국제통화기금(IMF)과 국제결제은행(BIS)은 AI 에이전트를 활용한 AI 해킹의 보편성을 우려하며 공격을 방어할 골든타임이 줄어들고 있다고 지적했다.

1년 새 급증한 AI 활용 공격…약점 찾아 자율 침투

8일 금융권에 따르면 BIS 금융안정연구소(FSI)는 지난달 '머신의 공격: 금융 부문의 프런티어 AI 사이버 위협과 정책적 대응' 보고서를 내고 프런티어 AI의 발전으로 AI를 악용한 사이버 공격이 더욱 빈번해질 수 있다고 경고했다.

프런티어 AI는 현존하는 최고 수준의 고성능 AI 모델을 뜻한다. 이러한 모델은 시스템의 취약점을 스스로 찾아내고 공격 수단을 개발해 복잡한 다단계 사이버 공격까지 수행할 수 있다. BIS는 이 같은 능력이 고도화되면서 정교한 공격에 필요한 전문성과 시간, 비용이 크게 줄어들 것으로 봤다.

AI가 만드는 가장 큰 변화는 완전히 새로운 사이버 공격의 등장보다는 기존 시스템의 '약한 고리'를 훨씬 빠르고 광범위하게 찾아 악용할 수 있다는 데 있다. BIS는 프런티어 AI가 가져온 중대한 변화로 자율적인 취약점 탐지와 악용을 꼽았다. 보고서가 인용한 버라이즌의 분석에 따르면 취약점 악용은 전체 침해사고의 31%에서 최초 침투 경로로 활용돼 가장 높은 비중을 차지했다.

BIS는 "취약점 악용이 가장 흔한 초기 접근 경로가 됐다는 의미"라며 "AI의 취약점 탐지 능력이 빠르게 발전하면서 금융회사가 취약점을 찾아 패치할 수 있는 시간도 갈수록 짧아질 수 있다"고 말했다.

문제는 속도다. IMF가 지난 6월 발표한 '금융 부문의 인공지능과 사이버 보안' 보고서가 인용한 크라우드스트라이크 자료에 따르면 2024년에서 2025년 사이 AI를 활용하는 공격자의 활동은 89% 증가했다. 공격자가 최초 침입 이후 다른 시스템으로 이동하기까지 걸리는 평균 '브레이크아웃 타임'은 29분으로 전년보다 65% 단축됐다.

취약점이 발견된 뒤 실제 공격에 활용되기까지의 시간도 빠르게 줄고 있다. IMF는 "AI 자율해킹과 자동화가 확산되면서 공격과 방어가 인간의 대응 속도를 뛰어넘는 '머신 스피드' 영역으로 이동하고 있다"고 진단했다. 취약점이 공개되기 전에 공격에 악용되는 '제로데이' 공격도 증가하면서 방어자가 탐지하고 판단해 대응할 수 있는 시간은 더욱 압축되고 있다는 설명이다.

BIS 역시 "침투와 이동 속도는 침입에 따른 비용과 피해를 줄이기 위해 방어자가 얼마나 빠르게 대응해야 하는지를 결정한다"며 "프런티어 AI가 취약점을 발견하고 악용하는 과정을 자동화하면서 공격을 탐지하고 판단해 대응할 수 있는 시간이 크게 줄고 있다"고 말했다. 사이버 공격을 막을 '골든타임' 자체가 짧아지고 있는 셈이다.

'누구나 해킹이 가능한 시대' 문턱 낮아졌다…금융권 '긴장'

최근 국내 금융권에서 발생한 해킹 사고도 AI 에이전트를 활용해 상대적으로 취약한 외부 시스템의 약한 고리를 파고든 공격이라는 점에서 보고서가 지적한 보편적인 AI 해킹 방식과 유사하다.

신한은행은 대출모집인용 조회 서비스, KB국민은행은 직원용 모바일 업무지원 시스템, 하나은행은 영업지원 시스템의 취약점이 공격에 노출됐다. 금융사가 보안 역량을 집중해온 모바일뱅킹 등 핵심 금융서비스가 아니라 상대적으로 인증이나 접근 통제가 취약한 외부 웹 서비스가 표적이 된 것이다.

이른바 '옆문'을 노리는 공격은 과거에도 있었지만 AI를 활용한 자동화가 더해지면서 짧은 시간에 여러 시스템의 취약점을 탐색하고 공격을 반복하는 것이 쉬워졌다. 과거보다 적은 인력과 시간으로 대규모 공격을 시도할 수 있게 된 셈이다.

AI가 공격에 필요한 기술적 진입장벽을 낮춘다는 점도 금융권을 긴장하게 만든다. 박찬암 스틸리언 대표는 "예전에는 해킹하려면 해커가 어느 정도 시간을 두고 학습한 뒤에야 가능했는데 요즘은 지식이 없는 사람도 툴 사용법을 알면 누구나 쉽게 할 수 있을 만큼 해킹에 대한 허들이 많이 낮아졌다"며 "해킹 시도는 예전부터도 꽤 있었지만 누구나 도구만 잘 사용하면 중급 정도의 해킹 기술을 구사할 수 있게 되다 보니 문제가 되는 것 같다"고 말했다.

AI가 공격자의 역할을 상당 부분 대신한 실제 사례도 등장했다. 글로벌 보안업체 갬빗시큐리티가 분석한 멕시코 정부기관 침해 사례에서는 한 명의 공격자가 상용 AI를 활용해 여러 기관을 공격, 1억9000만여명의 개인정보를 탈취한 것으로 나타났다. 갬빗의 포렌식 분석에 따르면 원격 해킹활동의 약 75%는 월 20달러(약 2만~3만원) 수준의 저렴한 구독형 AI 서비스(클로드 코드)를 통해 실행됐다. 공격자는 1000여개의 프롬프트를 통해 5000개가 넘는 명령을 실행하고 수백 대의 내부 서버에서 수집한 정보를 AI로 분석했다. 과거 여러 명의 숙련된 해커가 맡았던 작업을 소수의 공격자가 AI의 도움을 받아 대규모로 수행할 수 있게 된 것이다.

"개별 금융사 해킹이 금융시스템 위기로 이어질 수도"…보안 투자 늘려야

IMF는 개별 금융회사의 사고가 전체 금융시스템의 문제로 확산될 가능성에도 주목했다. 글로벌 금융회사들이 클라우드와 운영체제, 오픈소스 소프트웨어 등 공통된 디지털 인프라에 의존하고 있기 때문이다.

IMF는 "한 곳의 취약점이 여러 금융회사에서 동시에 악용되거나 연쇄적인 장애로 이어질 경우 상호 연결성을 통해 충격이 금융시스템 전반으로 확산될 수 있다"고 말했다. 이어 "금융안정 측면에서 핵심적인 우려는 AI가 전혀 새로운 공격 수법을 만들어낸다는 데 있기보다 기존 공격을 훨씬 빠르고 광범위하게 확산시킬 수 있다는 점"이라며 "공격의 '머신 스피드'에 맞춰 방어 역시 탐지와 판단, 대응 속도를 높여야 한다"고 강조했다.

BIS는 금융사가 기본적인 사이버 보안 체계를 더욱 철저하게 작동시키는 것이 우선이라고 봤다. BIS는 "AI 전용 규제나 보안체계를 백지상태에서 새로 만들 필요는 없다"며 "기본적인 보안 수칙과 접근 통제를 반복적으로 점검하고 취약점을 신속하게 패치하는 한편 외부 사업자와 공통 인프라의 복원력을 강화하는 것이 우선순위가 돼야 한다"고 말했다.

국내 전문가들은 이를 위해 보안 부문에 대한 적극적인 투자가 뒤따라야 한다고 강조한다. 박 대표는 "이번 웹 서비스 해킹은 금융사 보안 담당자들이 못 고칠 만한 수준은 아니었다. 하지만 예산이나 인력, 또는 빨리 조치할 권한 등 리소스가 한정적이어서 우선순위에서 밀린 것이 문제"라며 "AI 해킹 시대에 제일 중요한 보안, 특히 고객정보 보안에는 금융사뿐 아니라 정부도 충분한 투자가 이뤄져야 한다"고 강조했다.

김혜민 기자 hmin@asiae.co.kr
금보령 기자 gold@asiae.co.kr