이 포스팅은 네이버 쇼핑 커넥트 활동의 일환으로, 판매 발생 시 수수료를 제공받습니다.
사람이 하던 모의해킹을 AI가 대신 처리하는 오픈소스
9월 하순부터 이어진 금융권 침해사고에 사용된 AI 도구 아르텍스(ARTEX)가 무엇인지, 공격에 어떻게 사용되었는지, 금융회사가 무엇부터 점검해야 하는지를 금융위원회 발표와 크라우드스트라이크 분석을 바탕으로 정리했습니다.
챗 GPT ai 책 서적 도서 교재 입문서 기초 독학 배우기 초보 초급 강좌
네이버 스마트스토어 · smartstore.naver.com
아르텍스는 사람이 하던 모의해킹 과정을 AI가 알아서 처리하는 오픈소스 플랫폼입니다. 다만 이번 사고에서 AI가 혼자 공격한 것은 아니에요. 해커가 AI를 도구로 사용했고, 노린 곳은 고객용 인터넷뱅킹·모바일뱅킹이 아니라 임직원과 협력사가 사용하는 내부 시스템이었습니다.
아르텍스(ARTEX) 뜻 — 오픈소스 AI 자율 침투테스트 시스템
아르텍스(ARTEX)는 중국에서 개발된 오픈소스 AI 자율 침투테스트 시스템입니다. 대규모 언어모델(LLM) 기반으로 동작하고 GitHub에 공개되어 있으며, 중국 바이두가 개최한 「agent+」 공격·방어 대회의 우승 프로젝트이기도 합니다.
아르텍스는 단순 자동 스캔 도구와 달리 이전 공격 결과를 바탕으로 다음 탐색 대상을 스스로 결정하고 공격 경로를 넓혀 가는 것이 특징이에요.
아르텍스는 개인 학습·코드 연구·로컬 기술 검증 용도로만 사용하도록 공개되었습니다. 권한을 받았는지, 자기 자산인지와 관계없이 웹사이트·온라인 서비스·네트워크에 연결된 시스템을 스캔·탐지하거나 취약점을 이용해 공격하는 것은 금지되어 있어요.
아르텍스가 공개된 뒤 두 달 만에 금융권 침해사고에 사용되기까지의 경과는 다음과 같습니다.
금융권 해킹에 사용된 방식과 공격 범위
이번 공격 활동의 공격자는 아직 특정 조직으로 지목되지 않았어요. 중국에서 개발된 아르텍스를 사용했고 중국어 프롬프트가 확인되어, 중국어 사용자이며 금전적 동기를 가진 공격자로 추정됩니다.
금융보안원은 처음 사고를 신고한 신한은행에 들어온 공격 IP와 신한은행의 서버 기록을 추적해 아르텍스 사용 정황을 찾았습니다. 아르텍스에서 나온 트래픽에는 공통된 데이터 특징이 있어 공격자를 식별하는 단서가 되죠.
공격에 AI가 사용된 것은 사실이지만, AI가 사람의 관여 없이 독자적으로 작동한 것은 아닙니다. 해커가 AI를 도구로 사용한 것입니다.
금융보안원 관계자 (헤럴드경제 통화, 2026년 10월 3일)
주목할 것은 공격이 노린 시스템의 범위입니다.
AI가 새로운 공격 기법을 만들어 낸 것은 아닙니다. 기존 공격을 자동화해 속도와 규모를 키웠고, 상대적으로 보안이 허술한 외부 노출 자산을 훨씬 빠르고 대규모로 찾아내는 도구로 사용되었어요. 공격에는 여러 IP가 사용되었고, 은행마다 2~3개가 겹쳤습니다. IP 하나를 차단하면 다른 IP로 바꿔 공격을 이어 갔고, 10월 3일 기준으로도 공격은 계속되고 있었죠.
금융위원회가 금융회사에 주문한 점검 사항
금융위원회는 10월 4일 금융감독원과 함께 「全금융권 긴급 점검회의」를 열었습니다. 금융보안원과 업권별 협회, 주요 금융회사 7개사에 더해 과기부·개보위·경찰청도 참석했어요. 은행·카드사뿐 아니라 상호금융, 저축은행, 보험, 증권, 핀테크 등 중소형 금융회사까지 자체점검을 신속히 마무리하고 그 결과를 금융위·금감원에 보고해야 합니다.
특히 금융회사는 대고객 서비스인지와 관계없이 임직원 등이 업무상 접근하는 외부접점과 시스템 접근경로를 빠짐없이 식별·점검해야 합니다. 이번 침해사고의 원인이 된 대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템에서 개인신용정보가 불필요하게 보관·조회되지 않는지, 인증 절차가 누락되거나 우회될 수 있는 경로가 없는지도 점검 대상이에요.
정부는 이미 공유된 공격정보와 사고사례가 있음에도 필요한 점검과 대응을 소홀히 하여 유사한 침해사고가 발생하는 경우에는 관련 법령에 따라 엄정하게 대응해 나갈 예정이다.
금융위원회, 「全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다」 (2026.10.4.)
섀도 IT와 API, 기업이 먼저 점검할 곳
이번 공격의 출발점은 보안 조직의 통제 밖에 방치된 ‘섀도(Shadow) IT’였습니다. 섀도 IT는 보안 목록에 빠져 있거나, 알고 있어도 관리 순위에서 밀려 제대로 점검하지 않은 시스템과 API를 말해요. 특히 서로 다른 프로그램이 데이터를 주고받는 연결 통로인 API가 주요 표적이 되었습니다. 공격자들은 관리되지 않은 사각지대를 찾아낸 뒤 연결된 데이터를 반복 조회하는 방식으로 피해를 키웠죠.
IP 차단만으로는 부족합니다. 어떤 IP를 사용하든 공격 방법과 노리는 취약점은 같기 때문이에요. SK쉴더스의 화이트해커 조직 EQST가 아르텍스를 직접 분석했고, SK쉴더스는 단순 IP 차단을 넘어 접속자의 행위 패턴을 분석하는 대응과 함께 API 보안 3단계 대응 체계를 제안했습니다.
모르는 자산은 보호할 수 없고 보이지 않는 접속은 통제할 수 없다. 정확한 자산 식별이 끝나야 효과적인 보안 탐지·대응 체계를 세울 수 있다.
SK쉴더스 관계자
개인정보 유출과 2차 피해, 고객이 알아야 할 것
공격자는 시스템을 장악하지 않고, 침입한 뒤 정보를 조회해 빼냈습니다. 유출된 개인정보가 보이스피싱 등에 악용될 우려가 있지만, 금융보안원은 계좌에서 자금이 직접 이체될 것으로 예상하지 않아요. 금융회사는 정보유출을 악용한 보이스피싱·스미싱 등 2차 피해에 대비해 이상금융거래 탐지와 소비자 안내 등 예방조치를 강화해야 합니다.
Q1. 내 정보가 유출되었는지는 어떻게 알 수 있나요?
A1. 침해사고가 발생한 금융회사는 유출정보의 범위와 소비자 피해 가능성을 신속하고 정확하게 파악해야 합니다. 소비자 피해가 확인되면 소비자에게 상세한 정보를 통지해야 하므로, 거래하는 금융회사의 통지를 확인하시면 됩니다.
Q2. 피해가 생기면 보상받을 수 있나요?
A2. 금융위원회는 피해구제·보상이 신속하고 차질 없이 이루어지도록 금융회사에 주문했어요. 침해사고가 발생한 금융회사는 추가적인 정보유출이나 금전피해가 발생하지 않도록 필요한 보호조치도 즉시 시행해야 합니다.
Q3. 아르텍스 같은 도구의 개발·배포를 제한할 수는 없나요?
A3. 아르텍스와 같은 오픈소스 AI 도구는 매우 많고, 전 세계에서 개발·배포되는 것을 모두 제한할 방법은 현재 없습니다. 도구 자체보다 관리되지 않은 외부접점을 줄이는 것이 대응의 중심이죠.
Q4. 공격자는 누구인가요?
A4. 특정 조직으로 지목되지 않았습니다. 공격자가 AI 도구를 사용하며 남긴 기록에서 신원 단서가 나왔지만, 그 신원 정보가 공격자 본인의 것인지는 확정되지 않았어요.
AI 공격은 AI로 방어하는 보안체계로
아르텍스 사례에서 확인된 것처럼 AI 도구를 사용하면 금전적 동기를 가진 공격자가 짧은 기간에 여러 건의 침입을 실행할 수 있습니다. 공격자들은 앞으로도 AI 도구를 공격에 도입해 속도와 역량을 키우는 시도를 이어 갈 가능성이 높아요.
금융의 디지털화와 금융회사 간 서비스 연계가 확대되면서 한 금융회사의 보안 취약점이 금융권 전반의 위험으로 이어질 가능성도 커지고 있습니다. 금융권이 정부가 추진 중인 AI 보안테스트 등 정책에 적극 참여하고, 제로트러스트 원칙에 기반해 보안체계를 재구축해야 하는 이유입니다. 결국 출발점은 보이지 않던 외부접점을 먼저 찾아 관리하는 것이죠.
출처·참고자료
- CrowdStrike, ‘Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance’ (2026년 10월 7일)
- Autumn-27, 「ARTEX」 GitHub 저장소 README
- Autumn-27, 「ARTEX」 GitHub 릴리스 기록
- 금융위원회, 「全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다」 보도참고자료(2026.10.4.)
- 헤럴드경제, ‘Exclusive: Chinese AI tool ARTEX used in wave of bank hacks, probe finds’ (2026년 10월 3일)
- 뉴시스, 「AI 해커, 금융사 ‘약한 고리’부터 찾았다…’섀도 IT’ 정조준」 (2026년 10월 8일)
위 자료를 수집·분석하여 본문 작성에 참고하였으며 2026년 10월 8일 확인 기준입니다. 피해 금융회사 수와 공격자 신원은 아직 확정되지 않았습니다. 유출 범위는 금융당국과 각 금융회사가 조사하고 있으므로, 본인 해당 여부는 거래 금융회사의 통지를 직접 확인하시기 바랍니다.
답글 남기기