### AI 크리덴셜 스터핑, 신한은행서 시작된 제2금융권 대침투

신한은행에서 시작된 AI 기반 크리덴셜 스터핑 공격이 제2금융권으로 확산하고 있다. 조직적 해킹 캠페인으로 분석되는 이번 사건은 개인정보 유출 여부 전수 조사가 진행 중이며, 금융권 전체의 인증 보안 위협이 고조되고 있다.

---

신한은행서 시작된 대규모 공격 캠페인

신한은행 고객을 대상으로 한 AI 기반 크리덴셜 스터핑 공격이 초기 진원지로 파악되었다. 크리덴셜 스터핑(Credential Stuffing)은 유출된 아이디·비밀번호 조합을 자동화된 봇을 통해 대량 입력하는 수법이다.

이번 공격의 특이점은 AI 기술이 접목됐다는 점이다. 머신러닝 알고리즘을 활용해 공격 성공률을 높이고, 보안 시스템의 탐지를 우회하는 방식으로 진화했다는 의미다. 신한은행 관계자는 "현재까지 개인정보 추가 유출은 미확인 상태"라고 밝혔으나, 공격 규모와 정교성을 고려할 때 예방적 조사의 필요성이 강조되고 있다.

---

제2금융권으로의 연쇄 확산 우려

더 심각한 문제는 공격이 제2금융권으로 확산했다는 점이다. 보험사, 저축은행, 증권사 등 제2금융권 기관들이 유사 공격의 대상이 되고 있으며, 이는 다음을 시사한다:

• 아이디·비밀번호 탈취 정보의 재사용: 신한은행 사건 직후 제2금융권 기관에 동일 계정으로 대량 접근 시도 발생
• 금융권 보안 표준의 차이: 1금융권 대비 제2금융권의 상대적으로 약한 보안 인프라가 이용당한 것으로 추정
• 조직적 해킹 캠페인 의심: 무작위 공격이 아닌 체계적인 목표 기관 선정 및 공격 패턴이 확인됨

금융감독 당국은 현재 전 금융권에 대한 전수 조사를 진행 중이며, 추가 유출 가능성을 모니터링하고 있다.

---

공격의 공통 패턴 분석

본 사건의 핵심 특징은:

• AI 기반 자동화: 수백만 건의 아이디·비밀번호 조합을 초단위로 시스템 입력
• 보안 우회 기술: IP 차단, 이상 거래 탐지 알고리즘을 회피하는 정교한 방식
• 다중 기관 동시 공격: 특정 금융권을 목표로 한 조직적 캠페인
• 장기간 침투: 초기 공격부터 적발까지 상당 기간 미탐지

---

기업·기관 대응 방안

금융권은 다음 조치를 시급히 추진해야 한다:

기술적 보안 강화

- **다요소 인증(MFA)** 의무화: 비밀번호만으로는 부족하며, OTP·생체인증 추가 필수 - **봇 탐지 시스템(CAPTCHA, Behavioral Analytics)** 고도화 - **IP 화이트리스팅 및 비정상 접근 차단** 정책 재정비

정보보안 거버넌스

- **보안 침해 대응 체계(SOC)** 운영 강화 - **정보보호 관리 체계(ISMS-P)** 심화 심사 - 제2금융권 기관의 **보안 투자 및 컨설팅** 지원

고객 대응

- 비밀번호 변경 권고 - 계정 접근 이력 모니터링 방법 안내 - 피해 발생 시 신속한 알림 및 보상 정책 마련

---

📋 CPPG·ISMS-P 연계 포인트

항목	관련 기준	요구사항
접근제어	ISMS-P 5.2	MFA 구현, 정기적 접근권한 검토
암호화	ISMS-P 5.4	전송·저장 데이터 암호화, 키 관리
모니터링	CPPG 3.2	비정상 로그인 시도 탐지·기록
대응계획	ISMS-P 6.5	침해사고 발생 시 72시간 보고 의무

시험 출제 예상: "크리덴셜 스터핑 공격 시 ISMS-P에서 요구하는 접근제어 강화 방안을 설명하시오."

---

결론

AI 기술의 악용으로 진화하는 금융권 해킹 위협에 대응하려면, 단순한 기술 보안을 넘어 위험 기반 접근(Risk-Based Authentication)과 업계 전반의 보안 표준화가 필수다. 특히 제2금융권 기관들의 적극적인 보안 투자와 규제 당국의 지속적 감시가 요구되는 시점이다.