금융권의 긴장이 좀처럼 가라앉지 않고 있다. 금융감독원이 최근 금융회사들을 겨냥한 해킹 공격에 사용된 것으로 추정되는 인터넷주소(IP) 19개를 특정했다.

IP 소재지는 미국과 일본, 홍콩, 싱가포르, 베트남, 태국, 독일 등 12개국에 걸쳐 있었다. 국내 IP도 포함됐다.

물론 IP의 소재지가 곧 공격자의 국적을 뜻하는 것은 아니다. 공격자는 여러 국가의 서버와 네트워크를 거쳐 흔적을 지우는 것이 일반적이다.

일부 보안업계에서는 중국어 기반 AI 침투 테스트 도구의 흔적 등을 근거로 중국발 공격 가능성을 제기하고 있지만 금융당국은 아직 특정 국가의 소행으로 결론 내리지 않았다. 성급한 배후 지목보다는 공격 방식 자체를 들여다보는 것이 우선이다.

이번 사태에서 더 눈여겨볼 대목은 해커가 반드시 은행의 가장 중요한 전산망부터 노린 것이 아니라는 점이다.

최근 피해가 확인된 금융회사들을 보면 공격자는 대출과 영업, 직원용 업무 시스템 등 외부와 접점이 있으면서 상대적으로 관리 우선순위가 낮을 수 있는 서비스를 탐색한 것으로 전해진다. 금고의 정문이 아니라 건물 옆 비상구와 창문을 하나씩 확인한 셈이다.

현재까지 신한은행과 KB국민은행, 하나은행, BNK부산은행을 비롯해 저축은행과 캐피탈사 등에서도 피해 사실이 확인됐다.

온라인투자연계금융업체에서도 침해 사례가 알려지면서 공격 범위가 은행권에만 국한되지 않았다는 사실도 드러났다. 증권사들까지 연휴 중 공격 IP를 차단하고 내부 시스템 점검에 나선 이유다.

특히 걱정스러운 부분은 공격 시점이다. 토스뱅크에서는 최근 금융권 공격에 사용된 일부 IP가 올해 1월부터 서버 접근을 시도했던 정황이 확인됐다.

실제 개인정보 유출로 이어지지는 않았지만 최근 며칠 사이 갑자기 시작된 공격이 아니라 수개월 동안 금융권 곳곳을 탐색했을 가능성을 보여준다.

AI는 이 과정에서 공격자의 생산성을 크게 높일 수 있다. 과거에는 사람이 일일이 서비스를 찾아보고 취약점을 분석해야 했다면 AI 에이전트를 활용하면 다수 시스템을 빠르게 탐색하고 반복적으로 취약점을 확인하는 작업을 자동화할 수 있다.

한 번 실패하더라도 공격 경로를 바꾸고 다시 시도하는 비용도 낮아진다. 공격자가 소수여도 과거보다 훨씬 넓은 표적을 동시에 두드릴 수 있다는 의미다.

아이러니하게도 금융권은 이런 위험을 전혀 몰랐던 것도 아니다.

금융보안원은 지난 5월 금융권 AI 안전성과 신뢰성 강화를 논의하는 자리에서 프론티어 AI에 따른 사이버 위협과 AI 에이전트 보안 기준을 주요 과제로 제시했다.

당시에는 미래에 대비해야 할 위험처럼 들렸지만 불과 몇 달 만에 AI 활용 가능성이 거론되는 실제 공격이 금융권 전반에서 문제가 됐다.

점검 항목을 늘리는 것만으로 해결하기 어렵다는 점도 이번 사태가 남긴 숙제다.

금융권의 취약점 평가 항목은 이미 수백 개에 달한다. 그럼에도 공격자는 관리가 잘 된 핵심망을 정면으로 돌파하기보다 외부에 노출된 서비스와 인증·인가 과정의 빈틈을 찾았다.

보안 규정을 얼마나 많이 갖췄느냐보다 실제 공격자의 시선으로 시스템을 끊임없이 점검할 수 있느냐가 중요해진 것이다.

금감원이 전 금융권에 공격 IP를 공유하고 오는 8일까지 자체 점검과 미흡 사항 조치를 요구한 것은 당장 필요한 대응이다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 역시 긴급 대응체계를 강화하고 있다.

하지만 알려진 IP 19개를 막는 것만으로 이번 문제를 끝냈다고 생각해서는 안 된다. IP는 언제든 바뀔 수 있고 공격 방식 역시 쉽게 변형될 수 있다.

금융회사가 앞으로 집중해야 할 것은 '이미 알려진 공격을 차단하는 보안'에서 '이상 행동을 먼저 찾아내는 보안'으로의 전환이다.

평소와 다른 접속 위치와 시간, 비정상적인 API 호출, 짧은 시간 동안 반복되는 시스템 탐색처럼 공격 초기에 나타나는 행동을 실시간으로 식별해야 한다. AI가 공격 속도를 높인다면 방어 측도 AI를 활용해 탐지와 대응 속도를 높일 수밖에 없다.

보안 인력 문제도 빼놓을 수 없다. 아무리 뛰어난 시스템을 도입해도 경보를 분석하고 공격 여부를 판단할 전문 인력이 부족하면 무용지물이다.

실제 금융권에서는 AI 보안 인력 확보 경쟁이 이미 시작되고 있다. 금융회사의 AI 투자 예산에서 서비스 개발만큼이나 보안 인력과 탐지 체계에 대한 투자가 중요한 이유다.

금융산업은 어느 산업보다 신뢰에 민감하다. 고객이 은행 앱에 돈을 맡기고 개인정보를 입력하는 것은 금융회사가 자신의 자산과 정보를 지켜줄 것이라는 믿음이 있기 때문이다. 몇 만 건의 개인정보 유출이 당장의 재무 손실로 크게 보이지 않을 수 있지만 이런 사고가 반복되면 금융회사가 잃는 것은 데이터가 아니라 신뢰다.

AI는 금융서비스를 빠르고 편리하게 만드는 도구다. 동시에 해커에게도 똑같이 강력한 도구다.

금융권이 AI 혁신을 이야기하려면 이제 서비스 경쟁만큼 'AI 시대의 보안'을 함께 이야기해야 한다. 공격자는 이미 새로운 도구를 들고 금융회사의 문을 두드리고 있다. 방어하는 쪽만 과거 방식에 머물러 있을 수는 없다.