신한은행 2만 5천 명 정보유출, 중국어 AI 해킹툴 정황: 오늘 바꿔야 할 보안 설정 5가지

ARTEX AI 정황은 무엇을 의미하나?

ARTEX AI는 대규모언어모델과 여러 AI 에이전트를 묶어 정보 수집, 취약점 탐색, 공격 경로 설정, 보안 도구 실행, 취약점 검증까지를 자동으로 수행하도록 설계된 오픈소스 침투테스트 도구다. 원래는 허가된 보안 점검용이다. 문제는 이런 도구가 깃허브에 공개되어 있어, 방어 점검과 실제 공격 사이의 경계가 다운로드 한 번 거리라는 점이다.

이것이 왜 분수령인지는 공격의 경제학으로 보면 명확하다. 지금까지 금융권 수준의 침투에는 숙련된 공격자의 시간이 필요했다. 침투테스트가 에이전트로 자동화되면 그 시간이 기계의 시간으로 바뀐다. 사람 공격자가 하루에 한 조직을 찔러봤다면, 에이전트는 같은 시간에 수백 개 조직의 취약점을 훑을 수 있다. 공격 단가가 떨어지면 "우리 회사는 노릴 가치가 없다"는 오래된 방어 논리가 함께 무너진다. 자동화된 공격에게는 모든 조직이 노릴 가치가 있다. 스캔 비용이 사라졌기 때문이다.

이 방향의 신호는 올해 들어 계속 쌓였다. 에이전트 간 자가복제 공격이 실험으로 확인됐고(AI 웜 정리), 지난주 엔비디아가 에이전트의 행동을 밀리초 단위로 격리하는 안전 플랫폼을 공개한 것도 같은 맥락이다(오픈셸·센트리 분석). 공격이 에이전트화되는 세계에서 방어의 시간 단위도 사람의 속도를 벗어나야 한다는 것. 이번 정황은 그 이야기가 국내 금융권의 현실 사건에 처음 닿은 순간이다.

공격이 에이전트의 속도로 움직이기 시작하면, 방어가 사람의 속도에 머무는 쪽부터 뚫린다.

일반 직장인이 오늘 바꿀 보안 설정 5가지

유출 통지를 받았든 아니든, 이런 사건이 보도될 때가 내 금융 앱 설정을 점검할 가장 좋은 타이밍이다. 순서대로 하면 10~15분이면 끝난다.

1. 비밀번호 변경, 그리고 재사용 점검: 해당 은행 앱과 인터넷뱅킹 비밀번호를 바꾼다. 더 중요한 것은 같은 비밀번호를 쓰는 다른 서비스다. 유출된 정보는 다른 사이트 로그인 시도(크리덴셜 스터핑)에 재사용되는 것이 전형적 경로이므로, 금융·메일·포털에서 비밀번호가 겹치지 않게 분리한다
2. 로그인·출금 알림 전부 켜기: 푸시든 문자든, 로그인과 출금이 일어날 때마다 즉시 아는 상태를 만든다. 이상 거래 대응은 결국 인지 속도 싸움이다
3. 지연이체·해외IP 차단 신청: 은행이 무료로 제공하는 사고 예방 서비스다. 지연이체는 일정 금액 이상 이체를 몇 시간 뒤에 실행해 되돌릴 시간을 벌어주고, 해외IP 차단은 국외에서의 접속 자체를 막는다. 쓰지 않는 기능이라면 켜는 것이 기본값이어야 한다
4. 사칭 연락 경계 모드: 유출 사건 직후에는 "은행입니다, 유출 확인을 도와드리겠습니다"류의 사칭 문자·전화가 따라붙는 것이 전형적인 패턴이다. 은행은 전화로 비밀번호나 인증번호를 묻지 않는다. 문자 속 링크는 누르지 않고 앱을 직접 열어 확인한다. 사칭 공격의 체크포인트는 AI 사칭 악성코드 점검 가이드에 정리되어 있다
5. 연결 계좌 전수 점검: 오픈뱅킹, 간편결제, 자동이체에 연결된 계좌 목록을 열어 쓰지 않는 연결을 해지한다. 계정 하나가 뚫렸을 때의 피해 범위는 그 계정에 연결된 것들의 합이다. 연결을 줄이는 것이 곧 피해 범위를 줄이는 것이다

다섯 가지의 공통 원리는 하나다. 막는 것이 아니라, 뚫렸을 때의 피해 범위와 인지 시간을 줄이는 것. 완벽한 방어가 불가능하다는 전제에서 출발하는 이 관점은, 뒤에 나올 기업 보안의 원칙과 정확히 같다.

기업 실무자에게 이 사건이 남기는 질문

두 가지다. "우리 시스템의 본인확인·인증 우회 경로를 마지막으로 점검한 것이 언제인가", 그리고 "공격이 자동화됐을 때, 우리의 탐지와 차단은 어떤 속도로 작동하는가". 이번 사건의 침입 경로가 첨단 AI가 아니라 본인확인 우회라는 고전적 구멍이었다는 점이 오히려 핵심이다.

하네스 엔지니어링의 관점에서 보면, AI 시대의 보안은 모델의 문제가 아니라 경계의 문제다. 에이전트가 공격에 쓰이든 방어에 쓰이든, 결국 결정적인 것은 접근할 수 있는 범위를 누가 어떻게 정의하고 집행하는가이다. 직원과 AI 사이의 데이터 흐름을 게이트웨이 계층에서 통제하는 흐름은 AI 게이트웨이 분석에서, 조직의 검증·경계 설계 전체 그림은 하네스 엔지니어링 총론에서 다뤘다.

하나 더 보태면, 이런 사건 보도 후에 기업이 가장 흔히 하는 일은 전 직원 보안 공지 발송이다. 그러나 공지는 통제가 아니다. 지연이체처럼 구조로 작동하는 장치와, "조심하세요"라는 문장의 차이가 사고 때 드러난다. 개인에게 알림 설정이 기본값이어야 하듯, 조직에는 로그와 차단 규칙이 기본값이어야 한다.