핵심 요약 중국 광둥성 거주 26세로 추정되는 인물이 신한·KB국민·하나은행 등 한국 금융사 7곳을 겨냥한 연쇄 해킹의 배후로 지목됐다. 글로벌 사이버보안 기업 크라우드스트라이크(CrowdStrike)는 7일 공개한 분석 보고서에서 해당 공격자가 생성형 AI 코딩 도구 '클로드 코드(Claude Code)'로 이력서를 작성하던 중 이름 이니셜과 나이, 학력, 거주지, 텔레그램 계정 등 개인정보를 노출했다고 밝혔다.
한국 금융권을 상대로 한 연쇄 해킹 공격의 배후로 지목된 인물이 생성형 AI 도구를 사용하는 과정에서 스스로 신원 정보를 노출한 사실이 드러났다. 크라우드스트라이크는 공격자의 신원과 공격 인프라, AI 활용 방식을 분석한 보고서를 통해 이 같은 정황을 공개했다.
이력서 작성 중 노출된 개인정보가 신원 추적 단서가 됐다
공격자는 보안 연구자로 보이는 이력서를 클로드 코드로 작성하는 과정에서 이름 이니셜, 나이, 학력, 거주지, 텔레그램 계정 등의 개인정보를 노출한 것으로 파악됐다. 클로드 코드는 미국 AI 기업 앤스로픽(Anthropic)이 개발한 생성형 AI 기반 코딩 보조 도구로, 자연어 명령으로 프로그램 코드를 작성하거나 수정할 수 있게 해주는 서비스다.
노출된 텔레그램 계정은 NFT(대체불가능토큰) 거래 플랫폼 취약점 조사와 중국 결제 플랫폼 공격 정황에서도 동일하게 발견됐다. 크라우드스트라이크는 다만 확보된 정보만으로는 공격자의 신원을 최종 확정할 수 없다고 설명했다. 공격자는 중국어 사용자이며 금전적 동기로 움직였을 가능성이 있다고 중간 수준의 신뢰도로 평가됐다.
공격자는 클로드에 탈취한 한국 금융정보의 판매처와 한국어 텔레그램 데이터의 거래 방법을 직접 질문한 것으로 알려졌다.
홍콩 서버와 자율형 침투테스트 도구가 공격 인프라의 중심이었다
공격 인프라는 홍콩 소재 서버를 중심으로 구성됐다. 홍콩 서버에서 공격을 통제하고 별도 서버에서는 AI 기반 자율형 침투테스트 도구 '아르텍스(ARTEX)'를 실행한 것으로 나타났다. 자율형 침투테스트 도구는 사람이 수동으로 수행하던 보안 취약점 탐색과 공격 시도 과정을 AI가 자동으로 반복 실행하도록 만든 프로그램을 의미한다.
공격자는 접속 경로를 숨기기 위해 9개의 프록시 IP를 활용했다. 아르텍스 운용에 사용된 AI 모델 구성은 다음과 같다.
- 주력 모델: 중국 딥시크(DeepSeek)의 'v4.1-플래시'
- 보조 모델: 중국 즈푸AI의 'GLM-5.3'
- 보조 모델: 미국 xAI의 '그록(Grok) 4.6'
딥시크 모델은 제3자 API 중개업체를 통해 접속한 것으로 알려졌다.
국내 금융사 7곳에서 침해가 확인돼 당국이 연관성을 조사 중이다
이번 공격으로 신한은행, KB국민은행, 하나은행, BNK부산은행과 예가람저축은행, 웰컴저축은행, 현대캐피탈 등 7개 금융사에서 침해 사고가 발생했다. 금융당국은 동일한 공격자가 IP를 바꿔가며 여러 금융사를 순차적으로 공격했을 가능성을 조사하고 있다.
크라우드스트라이크는 AI 기반 공격 도구가 짧은 시간 안에 여러 시스템을 침해하는 데 활용될 수 있다고 밝혔다. 이 회사는 향후 공격자들의 AI 도구 활용이 더욱 확대될 것으로 내다봤다.
참고 기사 전자신문 · “금융권 해커, AI 해킹 후 이력서 쓰다 신원 노출…中 26세 추정”