국내 은행 해킹에 AI 도구 악용 의혹, 개인정보 유출 통보를 받았다면

2026년 10월 8일 로이터는 국내 금융기관을 겨냥한 해킹과 관련해 보안업체 CrowdStrike가 중국에 있는 20대 개인을 유력 용의자로 지목했다고 보도했다. 이는 보안업체 분석에 따른 추정이며 수사기관의 최종 신원 확인이나 법원 판단은 아니다. 개인정보 유출 통보를 받은 고객은 범인 국적에 관한 추측보다 피해 확산 방지 조치를 먼저 확인해야 한다.

보안업체가 제시한 해커의 신원과 AI 도구 사용 정황은 조사 결과의 일부이며 최종 수사 결론으로 단정할 수 없습니다.

보도에서 확인되는 범위

로이터는 CrowdStrike가 9월 말부터 10월 초까지 금융권 공격에 연관된 도구 사용 기록 등을 분석했다고 전했다. 분석에는 ARTEX라는 침투시험 도구와 AI 코딩 도구 활용 정황이 포함됐다. 보안업체는 공격자가 중국어 사용자일 가능성과 금전적 목적을 가졌을 가능성을 평가했지만, 이 같은 분석에는 불확실성이 남아 있다.

온라인에서 특정 이름이나 얼굴이 공유되더라도 수사기관이 공식 발표한 사실과 같은 것으로 취급해서는 안 된다. 공격 경로와 범행에 관여한 인원을 확인하려면 기술 분석 외에 통신기록과 서버 자료 등 추가 증거가 필요할 수 있다. 국적에 관한 추정을 일반인 전체에 대한 의심으로 확대하는 표현 역시 사실관계 확인에 도움이 되지 않는다.

AI가 사용됐다는 표현의 뜻

AI가 공격에 이용됐다는 말은 모델이 스스로 범행 의도를 가졌다는 의미가 아니다. 사람이 개발·분석 과정에 도구를 활용했을 수 있고 어떤 기능을 어느 단계에 이용했는지는 실제 기록으로 검증해야 한다. AI 코딩 도구는 정상적인 소프트웨어 개발과 보안 점검에도 사용되므로 도구의 존재만으로 모든 이용자가 범죄에 관련됐다고 판단해서는 안 된다.

소비자의 보안 대책도 이름난 AI 도구 하나를 차단하는 것으로 끝나지 않는다. 공격은 인증정보 탈취, 서버 취약점 악용, 외부 연계 시스템 접근 등 여러 경로로 발생할 수 있다. 어떤 개인정보가 실제로 유출됐는지와 그 정보가 이후 악용될 수 있는지를 중심으로 대응할 필요가 있다.

로이터·CrowdStrike 조사 인용의 2026.10.08 자료는 위 현황과 쟁점을 다뤘다. 원문 확인

유출 피해 대응을 돕는다는 광고를 보더라도 제공자가 누구인지 확인해야 한다. 정식 은행 직원이나 금융회사 상담원처럼 보이는 계정이 메신저에서 인증번호를 요구하거나 특정 원격제어 앱 설치를 요구하면 추가 피해로 이어질 수 있다. 사건과 관련된 정보를 확인할 때는 금융기관 공식 앱을 직접 실행하거나 사용하던 대표 연락처를 이용하는 편이 안전하다. 공격자의 거주지나 사용한 도구를 분석하는 기술 보도는 참고 정보일 뿐, 어떤 개인정보가 실제로 유출됐는지를 알려주는 개인별 통지를 대신하지 않는다. 개인정보 유출 범위가 바뀌었다는 공식 정정 공지가 나올 수 있으므로 한 차례 수신한 안내만이 끝이라고 생각하지 않고 이후 발표를 확인하는 것이 좋다.

은행에서 개인정보 유출 안내를 받았다면 가장 먼저 무엇을 해야 하나요?

수신한 문자 속 링크를 누르기보다 은행 공식 앱이나 직접 입력한 공식 홈페이지, 평소 사용하던 고객센터로 안내의 진위를 확인하는 것이 안전하다. 유출된 정보 항목이 이름과 연락처인지, 거래정보 또는 다른 인증정보까지 포함되는지에 따라 대응이 달라질 수 있다. 공식 안내에 비밀번호 변경이나 추가 보호 조치가 명시돼 있다면 그 절차를 따른다. 본인 모르게 진행된 금융거래나 인증 시도가 있는지도 확인하고 관련 화면은 보관해두는 편이 좋다. 낯선 앱 설치 요구를 받으면 바로 응하지 않아야 한다.

해커가 AI를 썼다면 통장의 돈도 이미 빠져나갔다는 뜻인가요?

그렇게 단정할 수 없다. 개인정보가 유출된 사건과 실제 자금이 인출된 사건은 피해 유형이 다르다. 은행마다 영향을 받은 시스템과 정보의 범위가 같지도 않을 수 있다. 자신이 이용하는 금융기관의 공식 통지에서 어떤 정보와 계정이 관련되는지 확인해야 한다. 관련 보도에서 은행 이름이 언급됐다는 이유만으로 해당 은행의 모든 고객이 금전적 피해를 입었다고 표현하는 것은 부정확하다. 실제 이상거래가 있다면 금융기관에 즉시 신고해 필요한 조치를 안내받아야 한다.

유출 피해자에게 보상한다는 연락이 오면 믿어도 되나요?

가장 주의해야 할 유형 중 하나다. 유출 사건 이후 '환급 처리', '보상금 확인', '보안 인증' 등을 내세워 악성 링크를 보내거나 계좌정보와 인증번호를 요구할 수 있다. 은행 직원이라고 주장하는 사람이 보안 앱 설치를 요구한다면 공신력 있는 채널로 다시 확인하자. 정상적인 피해 안내는 해당 금융기관의 공식 채널과 함께 공지되는지 검증해야 한다. 인터넷 게시물에서 피해자 보상액과 지급일이 떠돌더라도 금융기관의 확정 발표가 없으면 사실로 볼 수 없다.

해외의 특정 개인이 범인으로 확정된 건가요?

보도에 나온 인물의 나이와 거주지는 보안업체가 분석한 유력 단서다. 수사기관이 모든 공격을 한 사람의 소행으로 확정했다는 내용으로 바꿔 써서는 안 된다. 여러 공격이 유사한 도구를 이용했더라도 공격자 사이의 연결 관계는 추가 확인이 필요하다. 기술적 추적 결과에는 신뢰도 평가가 붙을 수 있으며 그 의미를 빼고 단정적인 제목으로 바꾸면 오해가 생긴다. 사건의 법적 책임과 피해 범위는 후속 조사 결과를 기다려야 한다.

은행 이용자가 지금 할 일은 보도 속 용의자를 추적하는 것이 아니라 자신의 정보 유출 여부와 공식 보호 조치를 확인하는 것이다.