크라우드스트라이크는 수요일(미국 시간) 위협 인텔리전스 보고서에서, 정체를 밝히지 않은 공격자가 중국에서 개발된 오픈소스·AI 보조 해킹 툴킷 ARTEX를 이용해 9월 말부터 10월 초 사이 여러 한국 금융기관 시스템에 침입했다고 발표했다. 이미 서울에서 규제기관과 경찰이 고객 정보 유출 사건을 추적 중인 가운데, 이번 분석은 벤더 이름을 공개한 첫 상세 기술이다.
크라우드스트라이크가 밝힌 내용
보고서에 따르면 공격자는 대형언어모델(LLM)을 내장해 정찰과 익스플로잇 연계를 빠르게 수행하는 중국어 모의해킹 플랫폼 ARTEX를 배포했다. 회사는 중국어 프롬프트와 도구 선택을 근거로 운영자가 중국어 사용자이며 금전적 목적이 있을 가능성이 있다고 ‘중간 수준’ 신뢰도로 평가했지만, 특정 국가나 범죄 조직으로 귀속하지는 않았다.
침해 환경에는 대출 중개인이 쓰는 은행 대출 조회 서비스와 다른 은행의 직원 모바일 근무 지원 포털이 포함됐다. 홍콩에 위치한 인프라가 ARTEX를 호스팅하고 한국 대상 공격의 거점으로 쓰인 것도 확인됐다. 도난된 레코드 규모와 모든 피해 기관의 신원은 아직 확인되지 않았다.
서울 유출 파동과의 연결
이 발표는 하나은행, KB국민은행, 신한은행 등에서 수만 건의 고객·직원 정보가 노출된 최근 사건 조사가 진행되는 시점에 나왔다. 경찰은 AI 연계 침입 경로를 추적하는 전담 수사 인력을 배치했고, 금융위원회는 이전 긴급 지시 이후 섹터 전반 보안 점검을 유지하고 있다.
크라우드스트라이크는 공격자가 LLM에 한국 데이터 판매 마켓플레이스와 관련 텔레그램 채널을 물어본 정황을 기록했으며, 이는 단순 훼손이 아니라 재판매·갈취 목적과 맞닿는다고 설명했다. 은행은 사건을 갈취 위험으로 볼지, 데이터 재판매 위험으로 볼지 결정해야 하고, 검찰은 국경을 넘는 증거 수집을 검토해야 한다.
규제·업계 대응
서울 금융 규제기관은 크라우드스트라이크의 귀속을 공식 인정하지 않았고, 국내 은행은 국내·글로벌 사고 대응 업체를 섞어 쓰는 경우가 많다. 그럼에도 ARTEX라는 구체적 단서는 보안팀에 명확한 탐지 규칙을 준다. 오픈소스 패키지, 홍콩 호스트 명령 노드, 카드 핵심망 밖 중개인 대출 API를 집중 점검해야 한다.
한국 은행은 직원 인증이 유출된 구형 채용 조회 도구를 10월 8일까지 폐쇄해야 하는 별도 보안 마감에도 쫓기고 있다. 보안 책임자는 중개 포털 패치, 모바일 근무 앱 재검토, 9월 침해 기간 로그에서 ARTEX 흔적 확인을 동시에 수행해야 한다.
아직 불확실한 점
크라우드스트라이크는 유출 파일 규모를 수치화하지 않았고, 언급된 은행 중 어느 곳도 ARTEX 존재를 직접 확인하는 성명을 내지 않았다. 서울 경찰이나 금융감독원이 결과를 발표하기 전까지는 벤더 텔레메트리와 이미 인정된 침해 패턴에 의존해야 한다.
고객에게 실질적 조언은 변하지 않는다. 최근 대출 신청이나 HR 포털을 언급하는 피싱에 주의하고, 기관이 중개인용 도구부터 비밀번호 재설정을 강제할 것으로 예상하면 된다. 새로운 변수는 AI 보조 정찰이 인터넷 전체 스캔에 노출되기 쉬운 주변 금융 시스템을 노리는 진입 장벽을 낮추고 있다는 점이다.
금융권은 이미 올해 여러 차례 유출 사건 뒤 고객 신뢰를 회복하기 위해 콜센터와 앱 알림을 늘렸다. 이번 ARTEX 언급은 단순히 또 하나의 패치 공지가 아니라, 공격자가 LLM으로 한국어·영어 혼용 프롬프트를 쓰며 내부망 경계를 시험하고 있다는 신호로 읽힐 수 있다. 보안 업체들은 향후 며칠 안에 유사 IOC(침해지표)를 공유할 가능성이 크며, 국내 CERT와 금융보안원 자료와 교차 확인이 필요하다.