금융권 '인증 무용지물' 현실화…AI 해킹 2대 위협 동시 발생

중국발 해킹 도구와 AI 크리덴셜 스터핑으로 금융기관이 몇 달 사이 200건 이상 침해당했다. ISMS-P 인증을 받은 기관들도 연쇄 피해를 입으면서 기술 인증만으로는 신규 위협에 대응 불가능함이 현실화되고 있다.

중국발 ARTEX, 28개 해킹 IP에 발자국 남겨

금융감독원이 적발한 'ARTEX'는 단순한 해킹 도구가 아니다. AI 기반 침투테스트 플랫폼으로 설계된 이 도구는 자동화된 취약점 스캔과 크리덴셜 검증을 대규모로 수행할 수 있다. 금융권에서 203건의 개인정보 유출이 이 도구와 연결된 28개 IP에서 추적된 것은 조직적이고 지속적인 공격이었음을 시사한다.

문제는 적발 이후의 공백이다. 책임규명과 제재가 전무하다는 것은 국제 사이버 범죄의 속성상 추적과 처벌이 얼마나 어려운지를 보여준다. 중국발 도구를 통한 공격은 속성상 국제 공조 수사가 필요한데, 현재까지 관련 처분 기록이 없다는 것은 사건이 일단락되지 않았거나 수사 당국의 대응 역량이 부족함을 의미한다.

AI 크리덴셜 스터핑, 'ISMS-P 안전망' 뚫다

더 우려스러운 것은 두 번째 사례다. 신한·KB·하나은행 등 주요 금융기관이 2024년 10월부터 2026년 상반기까지 수천만 건의 개인정보를 유출당했다는 것은 공격 기간이 최소 18개월 이상 지속됐음을 의미한다.

AI 기반 크리덴셜 스터핑 공격은 기존 수동 공격과 달리 초당 수천 건의 ID·패스워드 조합을 검증할 수 있다. 기존 비밀번호 관리 정책(복잡도, 주기 변경)은 이 속도에 무력하다. 더욱 심각한 것은 ISMS-P(정보보호관리체계 인증) 인증을 받은 기관들도 대거 피해를 입었다는 점이다.

ISMS-P는 정보보안 최고 수준의 인증이다. 접근 제어, 암호화, 침입탐지 등 기술적 요구사항이 엄격하다. 그럼에도 불구하고 이 인증 기관들이 연쇄 침해당했다는 것은 기술 인증 만으로는 신규 위협 대응이 불가능함을 현실적으로 증명했다.

공통 패턴: "자동화된 공격 vs 수동 대응"

두 사례의 공통점은 자동화된 대규모 공격에 기존 방어 체계가 대응하지 못했다는 것이다:

• ARTEX: 자동 침투테스트 기반으로 취약점을 시스템적으로 탐색
• 크리덴셜 스터핑: AI 기반 고속 인증 우회 시도

반면 금융기관의 대응은 여전히 수동 모니터링, 사후 침해 인지 수준에 머물러 있다.

기업·기관이 취해야 할 대응 방안

1단계: 행동 기반 탐지 도입
- IP당 로그인 시도 횟수 임계값 설정
- 비정상적 로그인 패턴 자동 차단 (지역, 시간, 기기 편차 분석)
- 기존 로그 기반 탐지에서 실시간 행동 분석으로 전환

2단계: 다층 인증 강제
- 비밀번호 단일 인증은 이제 '선택지 아닌 필수'
- OTP, 생체인증 등 다중요소인증(MFA) 의무화
- 금융권은 특히 거래 건당 추가 인증 단계 고려

3단계: 제로트러스트 아키텍처 구현
- 내부 네트워크도 외부처럼 취급
- 모든 접근 요청에 대한 지속적 검증
- ARTEX 같은 침투테스트 도구는 내부망 침입 후 활용되므로 세그멘테이션 필수

4단계: 정부 차원의 국제 공조 강화
- 중국발 해킹 도구 추적과 제재는 외교적 대응 필요
- 금융기관이 해결할 수 없는 영역이므로 금감원·경찰청·외교부 간 협력 체계 확립

---

📌 CPPG·ISMS-P 시험 연계 포인트

인증 항목	현재 요구사항	신규 위협 대응 강화안
접근 제어	ID·PW 기반	→ MFA 필수화, 행동 분석 추가
침입탐지	네트워크 기반 IDS	→ AI 기반 이상 탐지 강제
모니터링	정기 로그 검토	→ 실시간 위협 대응 프로세스

결론: ISMS-P 갱신 평가에서 자동화된 공격 대응 체계를 필수 평가 항목으로 추가해야 기술 인증이 실질적 보안 역량을 반영할 수 있다.