금융권 “AI 공격 온다” 경고에도…‘예견된 위험’ 못 막았다

금보원, 지난해 AI 에이전트·공격 고도화 위험 경고

금융사 16곳서 개인정보 약 10만건 유출

“AI 공격 앞으로 공격 더 늘어날 가능성 커”

해당 이미지는 AI로 제작됨.

금융권을 겨냥한 AI 기반 사이버 공격 위험은 이미 지난해부터 예고됐지만 실제 금융회사들의 보안체계는 이를 따라가지 못한 것으로 나타났다.

금융보안원은 지난해 말 AI 에이전트 확산과 공격 고도화를 금융권의 주요 보안 위협으로 지목했다.

그러나 최근 금융권에서는 약 10만건의 개인정보가 유출됐고, 사고 이후 점검에서도 접근통제와 24시간 관제 등 기본적인 보안 허점이 확인됐다.

16일 금융권에 따르면 금융보안원은 지난해 11월 발표한 ‘2026 디지털 금융보안 인사이트 리포트’에서 AI 에이전트 확산을 금융권이 주목해야 할 10대 보안 트렌드 가운데 하나로 꼽았다.

금융보안원은 당시 AI 에이전트가 단순히 질문에 답하는 생성형 AI와 달리 사용자를 대신해 시스템에 접근하고 데이터를 조회·처리하며 업무까지 수행할 수 있다는 점에 주목했다.

이 과정에서 과도한 권한 부여와 데이터 유출, 외부 시스템 및 도구 접근에 따른 새로운 보안 위험이 발생할 수 있다고 경고했다.

AI가 기존 사이버 공격을 더 빠르고 쉽게 만들 수 있다는 경고도 나왔다.

같은 보고서는 서비스형 랜섬웨어(RaaS)가 확산되면서 전문적인 해킹 지식이 부족한 공격자도 손쉽게 공격에 나설 수 있고, 공격에 걸리는 시간 역시 크게 단축되고 있다고 진단했다.

해킹 위험성은 인지하고 있던 셈이다. 문제는 실제 금융회사들의 보안 관리가 공격 기술의 발전 속도를 따라가지 못했다는 점이다.

최근 금융권에서 침해사고가 발생한 금융회사는 16곳으로 늘었고, 현재까지 확인된 개인정보 유출 규모는 약 10만건에 달한다.

피해 회사는 신한·KB국민·BNK부산·하나은행을 비롯해 예가람·웰컴·DB·OK저축은행, 현대캐피탈·산은캐피탈, 온라인투자연계금융업체 PFCT·모우다, 전자금융업자 브라이트픽스, 가상자산사업자 스트리미·프라뱅, 새마을금고중앙회 등이다.

유출된 정보에는 성명과 연락처, 주민등록번호, 이메일 등이 포함됐다. 계좌 비밀번호나 카드번호처럼 직접적인 부정결제로 이어질 수 있는 정보 유출은 현재까지 확인되지 않았다.

금융당국은 현재 사고별 연관성과 동일 공격주체 여부, AI를 활용한 해킹 가능성 등을 조사하고 있다.

이번 공격의 특징은 금융회사의 핵심 인터넷뱅킹 시스템보다 상대적으로 이용자가 적고 관리가 소홀했던 외부 업무용 시스템의 빈틈을 파고들었다는 점이다.

금융권 보안업계 관계자는 “인터넷뱅킹 페이지처럼 중요한 시스템은 그동안 취약점을 수없이 점검해왔지만 이번에는 상대적으로 이용자가 적거나 관리가 소홀했던 페이지를 중심으로 약한 지점이 노출된 것으로 보인다”고 말했다.

이번 사고에서 드러난 취약점은 AI 등장 이후 새롭게 생긴 유형이 아니라는 설명이다.

예컨대 정상 이용자가 자신의 개인정보를 조회할 수 있는 주소의 숫자나 값을 임의로 바꿨을 때 다른 고객의 정보까지 조회되는 식의 인증·권한검증 취약점은 과거부터 존재했다.

AI의 등장으로 이 같은 사각지대가 공격자에게 더 쉽게 노출될 가능성이 커졌단 평가다.

해당 관계자는 “과거에는 공격자가 특정 금융회사의 사이트와 취약점을 직접 찾아야 했지만 AI를 활용하면 관련 사이트들을 모두 뽑아낸 뒤 다양한 공격 방식을 일괄적으로 시도하도록 할 수 있다”며 “속도가 빠르고 전체를 다 점검할 수 있기 때문에 그중 상대적으로 약한 곳이 걸릴 가능성이 커진다”고 설명했다.

AI를 활용한 금융권 공격이 끝이 아니라 시작에 가깝다는 우려도 나온다.

보안업계 관계자는 “과거에는 전문적인 기술을 가진 사람만 공격할 수 있었지만 이제는 AI를 누구나 쉽게 사용할 수 있고 해외에 공격 코드도 많이 공개돼 있다”며 “이번 사안이 시작에 불과할 수 있다”고 내다봤다.

이어 “AI 발전 속도가 워낙 빠르고 이제는 프롬프트를 입력하는 것만으로 공격을 시도할 수 있는 수준까지 가고 있다”며 “AI가 더 똑똑해질수록 이런 공격도 늘어날 가능성이 있다”고 덧붙였다.