금융권 해킹 연루 AI 도구, 수백 대 서버서 포착…해커 신원 추적(종합) 작성일 10-08 50 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">AI 침투테스트 도구 '아르텍스' 전 세계서 가동 정황<br>생성형 AI에 한국 유출정보 판매처 문의<br>중국 광둥성 거주 26세 인물 가능성…경찰, 신원 단서 분석</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="tImGvTe4a1"> <figure class="figure_frm origin_fig" contents-hash="452a0e9b6eb795aa75f35fc5882e58c895a16e152c6475a8cd2f554088e18950" dmcf-pid="FCsHTyd8A5" dmcf-ptype="figure"> <p class="link_figure"><img alt="[서울=뉴시스] 기사의 이해를 돕기 위한 해커 이미지. (사진=유토이미지) 2026.01.01. photo@newsis.com *재판매 및 DB 금지 *재판매 및 DB 금지 /사진=뉴시스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/08/fnnewsi/20261008152314109cdox.jpg" data-org-width="800" dmcf-mid="1iSFXZgRgt" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/08/fnnewsi/20261008152314109cdox.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [서울=뉴시스] 기사의 이해를 돕기 위한 해커 이미지. (사진=유토이미지) 2026.01.01. photo@newsis.com *재판매 및 DB 금지 *재판매 및 DB 금지 /사진=뉴시스 </figcaption> </figure> <div contents-hash="db74273cc089872e960c66aac86de30dfdcda65fe330089e1a85f4b4348565ab" dmcf-pid="3hOXyWJ6cZ" dmcf-ptype="general"> <br>[파이낸셜뉴스] 최근 국내 금융권 해킹에 활용된 정황이 포착된 인공지능(AI) 기반 침투테스트 도구 '아르텍스(ARTEX)'를 운영하는 서버가 전 세계에서 수백 대 관측됐다. 국내 금융사들을 공격한 해커가 생성형 AI를 이용해 한국의 유출정보 판매처까지 탐색한 사실도 드러났다. AI가 해킹뿐 아니라 탈취 정보의 거래 경로를 찾는 데까지 활용되면서 2차 피해 우려도 커지고 있다. 경찰은 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성을 제기한 해외 보안업체의 분석 자료를 확보해 신원 추적에 나선 상태다. </div> <p contents-hash="f347e88788f8820284518edecf2a2a3d56ddecd94294d24c0276d797fc8b25f9" dmcf-pid="0lIZWYiPNX" dmcf-ptype="general"><strong>■악성 IP 차단만으론 탐지 한계</strong><br>8일 보안·데이터 인텔리전스 기업 에스투더블유(S2W)가 공개한 위협 인텔리전스 노트에 따르면, 최근 금융권 해킹에 활용된 정황이 확인된 '아르텍스'와 동일한 도구를 운영하는 서버가 전 세계에서 수백 대 관측됐다. '아르텍스'는 본래 기업의 보안 취약점을 점검하기 위해 개발된 오픈소스 AI 기반 침투테스트 도구로, 이용자가 목표를 설정하면 AI가 정보 수집과 취약점 탐색, 공격 경로 설계 등을 수행할 수 있다. </p> <p contents-hash="bec8be060a9951b3b8e279743424d36f77041d053a3e35246e44e923d3b03102" dmcf-pid="pSC5YGnQkH" dmcf-ptype="general">S2W는 금융당국이 공유한 공격 정보를 분석한 결과 공격에 사용된 인터넷주소(IP) 한 곳에서 아르텍스 관리 화면과 AI 모델을 연결하는 중계 프로그램이 함께 운영된 기록을 확인했다. 해당 서버는 지난 9월 초부터 가동됐으며 관련 보도 이후 운영이 중단된 것으로 추정된다. 다만 AI가 실제 개인정보 탈취 과정까지 수행했는지는 확인하려면 당국 조사가 필요하다고 설명했다. </p> <p contents-hash="673ba26a74172c7843d356d9767c1feea6166dae54ac7e3c9f23e9612878847a" dmcf-pid="Uvh1GHLxNG" dmcf-ptype="general">공격자들은 해외 임대 서버와 상용 프록시를 번갈아 사용하며 접속 주소를 바꾼 것으로 분석됐다. 공격에 사용된 IP 상당수는 기존 글로벌 위협정보 데이터베이스(DB)에 악성 활동 신고 이력이 거의 없었다. 기존 악성 IP 차단 방식 만으로는 공격을 탐지하기 어려웠다는 의미다. </p> <p contents-hash="b7392e055c251b5bac48c95ff02191d905c0c3b74b98e944f25d6021049ebb05" dmcf-pid="uTltHXoMjY" dmcf-ptype="general">공격 대상은 은행의 핵심 전산망이 아닌 대출 조회 등 부가 서비스였다. 공격자는 고객번호를 반복적으로 변경해 다른 고객의 정보에 접근한 것으로 추정된다. 로그인 등 이용자 인증을 거쳤더라도 해당 정보에 접근할 권한이 있는지 확인하는 '인가' 절차의 허점을 노린 것이다. </p> <p contents-hash="4a5fa64f6060623b43aa09540262b2df745d87b1f9b809fad52b938b5ea878e8" dmcf-pid="7ySFXZgRgW" dmcf-ptype="general"><strong>■AI에 유출정보 판매처까지 문의...中 26세 해커 추적</strong><br>국내 금융사들을 겨냥한 해킹 공격자가 생성형 AI을 활용해 한국의 유출정보 판매처를 탐색한 정황도 포착됐다. 글로벌 사이버보안 기업 크라우드스트라이크가 지난 7일(현지시간) 공개한 보고서에서 공격자가 엔스로픽의 생성형 AI '클로드'에 한국의 유출정보가 일반적으로 어디에서 판매되는지 문의하고, 텔레그램에서 한국 데이터 판매 관련 그룹을 찾아달라고 요청한 기록을 확인했다고 밝혔다. </p> <p contents-hash="fd6a533c4e34c3a69b1580d169a7835ce04585f648bc0c5203c75532ef9ea32d" dmcf-pid="zWv3Z5aecy" dmcf-ptype="general">크라우드스트라이크는 공격자가 관리하던 서버의 공개 디렉터리에서 클로드의 코딩 도구인 '클로드 코드'의 대화 기록과 아르텍스 설정 파일 등을 확인했다. 공격자는 홍콩 소재 서버를 주요 공격 인프라로 활용하고 '아르텍스'에는 중국 AI 모델 딥시크를 연결한 것으로 분석됐다. 추가 작업에는 GLM과 그록 등 여러 대규모언어모델(LLM)도 활용했다. </p> <p contents-hash="c8153ee69f3136f0119298178a3a9fa8398ce617fbf799d2b6d52d7150f2057a" dmcf-pid="qYT051NdNT" dmcf-ptype="general">공격자의 신원을 추정할 단서도 발견됐다. 공격자는 클로드 코드에 아르텍스를 활용한 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청하면서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등을 입력했다. 해당 기록에는 중국 광둥성 마오밍에 거주하는 26세 인물이라는 정보가 포함됐다. </p> <p contents-hash="6caf5462fab14aa1b6f6fec109fb9657c743efb9d07de97d8df45cf1f59329be" dmcf-pid="BGyp1tjJNv" dmcf-ptype="general">이와 관련해 경찰은 이 정보를 단서로 공격자 추적에 속도를 내고 있다. 경찰은 크라우드스트라이크가 제시한 공격자 신원 관련 정보를 확보해 분석 중이다. 경찰은 사건 관련 IP 28개 중 상당수가 추적을 피하기 위한 '세탁용'으로 사용된 것으로 보고 국제공조 등 수사를 이어가고 있다.</p> <p contents-hash="1e5637f7fa9b65a2be2000dafca60784697eeb16949b0e43679fd7505eeb4e81" dmcf-pid="bu0fbKCEgS" dmcf-ptype="general">kaya@fnnews.com 최혜림 김예지 기자</p> </section> </div> <p class="" data-translation="true">Copyright © 파이낸셜뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 ‘끓는 바다’에 제주 바다숲 사라졌다…해조류 15년새 97% 급감 10-08 다음 AI 에이전트 도입 늘어도 실제 운영은 11%…문제는 '통제' 10-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
