경찰청은 가을 국내 금융기관을 노린 국경 간 침해 캠페인 수사에서 미국 사이버보안·AI 업체의 계정·접속 로그를 얻기 위해 미 연방수사국(FBI)과 공식 협력 채널을 열었다.
수사관들은 공격자가 쓴 도구를 호스팅한 업체 기록을 원한다. 코딩 보조 도구에 남은 이력서 조각을 크라우드스트라이크 분석가가 광둥 26세 남성과 연결했다고 경찰 측 설명이 전해진다. 해당 남성은 중국 매체에 전화번호 도용을 주장하고 연루를 부인했으며, 서울 형사는 부인을 아직 검증하지 않았다.
귀속이 다투어지는 이유
경찰은 크라우드스트라이크 방법론과 중국 DDoS 프록시 조직 연계 정황 문서를 함께 검토 중이다. 수사 책임자는 FBI가 자료를 돌려줬는지 확인하지 않았고, 제3국 민감성을 이유로 들었다. 금융 규제 당국은 피해 은행에 해당 기간 방화벽 이미지 보존을 따로 요청했다.
앞서 AI 연계 은행 침해로 10월 28명 규모 태스크포스가 꾸려졌다. 같은 인프라가 미국 SaaS 계정을 재사용했다면 한국 영장만으로는 로그에 닿지 않아 FBI 경로가 필요하다.
기관 대응
은행은 월요일 벤더 VPN 다단계 인증을 강화했고, 금융보안원은 과거 침해 전조였던 WebLogic 스캔 점검 체크리스트를 돌렸다. 소비자 이체 한도는 그대로지만 모바일 앱에 수사 관련 피싱 경고가 다시 떴다.
법학자들은 사법에서 민간 위협 정보를 보강 증거로 쓰는 일이 아직 새롭다고 지적한다. 검찰은 미국 업체가 광범위 로그 제공을 거부할 경우 국내 패킷 캡처로 상호 입증 없이 기소하기 어렵다고 본다.
다음 단계
형사들은 협조가 막히면 국회 과학기술위에 보고하겠다고 했다. 계좌 보유자의 당장 위험은 추가 장애보다 이전 유출 데이터를 이용한 2차 사기다. FBI 인터뷰를 빙자한 계좌 동결 문자는 무시하라고 경찰이 당부했다. 실제 헤드라인 뒤에 흔한 사기 패턴이다.
국경 간 법적 마찰
변호인들은 미국 클라우드가 좁은 영장 없이는 광범위 로그를 내주지 않을 수 있다고 했다. 한·미 형사사법상호원조조약은 형사 사건을 다루지만 수개월 지연을 더할 수 있다. 검찰은 중국 사이버 행정기구에 병행 통보를 검토 중이지만 외교 채널은 냉각 상태다.
은행은 AI 코딩 보조로 자격 증명이 털리는 시나리오 테이블탑을 돌렸다. 지난해 플레이북에 없던 벡터다. 금융보안원은 이전 유출 이후 공개 챗봇에 사내 코드를 붙여 넣지 말라고 다시 안내했다.
벤더 협조 기준
크라우드스트라이크 등은 한국 영장이 미국 ‘합리적 의심’ 기준을 거울삼아야 테넌트 로그를 준다고 한다. 워싱턴 경찰 연락관이 금융 시스템 안정으로 사건을 프레이밍하면 신속화될 수 있지만 각 업체 이용약관이 여전히 지배한다.
금융권은 이번 사건이 단순 피싱이 아니라 개발 도구 공급망을 노린 캠페인일 수 있다고 평가한다. 내부 감사팀은 외주 개발사 계정까지 MFA 재설정을 요구했고, 일부 증권사도 동일 조치를 검토 중이다. 경찰은 피해 규모를 아직 공개하지 않았지만 추가 피해 기관이 있는지 확인하고 있다.
정보 보호 책임자들은 크라우드스트라이크 보고서를 참고 자료로만 쓰고 자체 포렌식 결과를 병행해야 한다고 강조했다. 수사가 길어질 경우 금융위가 업계 공동 브리핑을 열 수 있다는 관측도 나온다.
피해 은행은 고객센터 문의가 늘었지만 계좌 이상 거래는 추가로 확인되지 않았다고 밝혔다.