韓 금융권 공격한 해커, 中 광둥성 거주 26세 인물 추정…홍콩 서버·딥시크 활용 작성일 10-08 62 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="q4dkmD9Ug8"> <figure class="figure_frm origin_fig" contents-hash="e31fe5187e199d22f2640cbea6f9e56f3056789a52d527dca75079986615f17e" dmcf-pid="B8JEsw2uN4" dmcf-ptype="figure"> <p class="link_figure"><img alt="7일 서울 시내 한 시중은행 현금자동입출금기(ATM)의 모습. /뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/08/chosunbiz/20261008093246349bsow.jpg" data-org-width="3391" dmcf-mid="0Q4j5HLxN3" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/08/chosunbiz/20261008093246349bsow.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 7일 서울 시내 한 시중은행 현금자동입출금기(ATM)의 모습. /뉴스1 </figcaption> </figure> <p contents-hash="95d755e3498ed2e6d66261612c466ddd1704124a2b3ef7b5f8f8bc2a5fdaf164" dmcf-pid="b6iDOrV7jf" dmcf-ptype="general">국내 금융권을 잇달아 공격한 해커가 중국 광둥성에 거주하는 26세 인물이라는 분석이 나왔다. 공격자는 홍콩 소재 서버를 주 통제 인프라로 삼고 별도 서버에서 공격을 수행했으며, 중국 AI 모델 ‘딥시크’ 등을 활용한 것으로 확인됐다.</p> <p contents-hash="604997a8dfddbc9dccf59c576d6a15654c32ed45706687c6fb1f6d711d8b3d2f" dmcf-pid="KPnwImfzgV" dmcf-ptype="general">사이버 보안 기업 크라우드스트라이크는 7일(현지 시각) 공개한 분석 보고서에서 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 밝혔다. 보고서에는 해당 인물의 휴대전화 번호와 텔레그램 계정, 출신 대학 등도 담겼다.</p> <p contents-hash="3855a1029a4089990808e4edc2461402c3155157b338af2a3114f257e553ef08" dmcf-pid="9QLrCs4qj2" dmcf-ptype="general">다만 크라우드스트라이크는 현재까지 확보한 정보만으로 공격자의 신원을 확정할 수는 없다고 설명했다.</p> <p contents-hash="33f2328ee7e228974c120c50fc409d8f9fdf6b88586dd424cf29949d7a82ca8f" dmcf-pid="2xomhO8Bj9" dmcf-ptype="general">공격자의 신원을 추정할 수 있는 단서는 생성형 AI 코딩 도구 ‘클로드 코드’에서 발견됐다. 공격자는 클로드 코드에 보안 연구자 이력서 작성을 요청하면서 자신이 수행한 침투 테스트 성과와 함께 개인 정보를 입력했는데, 이 과정에서 신원과 관련된 정보가 노출된 것이다.</p> <p contents-hash="9fd54659565fa9b14bd137932e36be2a1cdc430eeb60d7fc07431e5cb6220145" dmcf-pid="VXU4x6WIcK" dmcf-ptype="general">공격자는 클로드에 탈취한 한국 금융 관련 정보를 어디에서 판매하는지, 한국어로 운영되는 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 질문했다. 보고서는 해당 텔레그램 계정이 다른 사이버 공격 정황에서도 동일하게 발견됐다고 전했다.</p> <p contents-hash="20542ca3baacbc2bf9bbab1849a4df0806f567be34cae8dc222af8983ed6fb6c" dmcf-pid="fZu8MPYCcb" dmcf-ptype="general">또한 텔레그램 기반 대체불가토큰(NFT) 선물 마켓플레이스 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 공격 정황에서도 같은 계정명이 쓰인 것으로 파악됐다.</p> <p contents-hash="a662f129a15a137c99d89e66ec94a84a57ebb3faa0683bdc8d95dbb7e00c19b8" dmcf-pid="4576RQGhcB" dmcf-ptype="general">크라우드스트라이크는 이 같은 교차 정황을 근거로 동일 인물일 가능성을 제시하면서도, 현재까지 확보된 정보만으로는 신원을 단정할 수 없다고 덧붙였다.</p> <p contents-hash="466875dbdaf1983e165c4d58aded4ba3bcb31efd4a47b1c4477749a0c5ddf13e" dmcf-pid="81zPexHlgq" dmcf-ptype="general">크라우드스트라이크에 따르면 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌으며, 공격자는 지난달 말부터 이달 초까지 중국에서 개발된 오픈소스 AI 기반 침투테스트 도구 ‘아르텍스(ARTEX)’와 대규모언어모델(LLM)을 활용했다.</p> <p contents-hash="732c25f4389b83971b7fcfddefb01629aef83f38f2791da1b858be4886ff7210" dmcf-pid="6tqQdMXSaz" dmcf-ptype="general">공격자는 홍콩 소재 IP 주소를 주 통제 인프라로 삼아 공격 전반을 지휘하고, 한국 공격에 실제 쓰인 아르텍스 인스턴스(서버)는 별도의 IP 주소에서 운용하는 두 단계 서버 구조를 사용했다. 이 밖에도 프록시 IP 주소 9개를 활용해 접속 경로를 우회한 정황이 확인됐다.</p> <p contents-hash="c62bb7ab12f49cd189ca0f5851947932e6a1d9688739e7f9acfc41017909a7f8" dmcf-pid="PFBxJRZvc7" dmcf-ptype="general">아르텍스를 구동하는 데는 딥시크의 ‘v4.1-플래시’ 모델이 주로 사용됐다. 다만 정식 경로가 아닌 제3의 재판매 업체를 통해 우회 접속한 것으로 분석됐다. 아울러 클로드 코드 세션에서 공격자는 중국 즈푸AI의 ‘GLM-5.3’과 ‘그록 4.6’ 등 다른 AI 모델도 함께 사용한 것으로 나타났다.</p> <p contents-hash="8b5d64a57bd34c717fa44dce268105751b585ea30ef0b4faf96835de93a9e84c" dmcf-pid="Q3bMie5Tku" dmcf-ptype="general">크라우드스트라이크는 금전적 이익을 목적으로 공격했을 가능성이 있다고 중간 수준의 신뢰도로 평가했다.</p> <p contents-hash="50b6f2bdb87a99b53f699482316bbe75b0bbfb222bc4f66541c55af069e6b044" dmcf-pid="x0KRnd1ycU" dmcf-ptype="general">한편, 한국 금융권을 겨냥한 이번 해킹 사태는 지난달 말부터 이달 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 잇따라 침해 사고가 확인되면서 불거졌다.</p> <p contents-hash="c8b67267d52d6422655bdae51a635a2d0b2c17b01550f6769f42a8a2e5e76e5d" dmcf-pid="yNmY5HLxjp" dmcf-ptype="general">금융 당국에 따르면 시중은행과 저축은행·캐피탈사를 공격한 인터넷 주소(IP)는 서로 달랐지만, 동일한 공격자가 IP를 바꿔가며 유사한 수법으로 여러 금융사를 공격한 정황이 포착됐다.</p> <p contents-hash="52c735ac5e694d5351066f6e8bd94c0bf1f1fdd1595520f9e3a3d8f78d698c36" dmcf-pid="WjsG1XoMA0" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 빅토리아 여왕보다 먼저 태어났다…194살 거북의 장수 비밀 10-08 다음 죽어가는 별도 행성을 만든다…'2세대 행성' 후보 첫 포착 10-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
