TAG-217: 국내 금융권 연쇄 침해 행위자에 보안기업이 처음으로 이름을 붙이다

Recorded Future가 최근 국내 금융기관을 노린 AI 활용 공격 행위자를 TAG-217로 추적한다고 밝혔다. 국가·기존 그룹 귀속은 아니며, 활동 시기는 2026-08로 앞당겨졌다.

Recorded Future의 위협 연구 조직 Insikt Group은 2026-10-16 공개한 글에서 최근 국내 금융기관을 노린 AI 활용 공격과 연결된 행위자를 TAG-217로 추적한다고 밝혔다. 특정 보안기업 한 곳이 부여한 추적명으로, 기존에 이름이 붙은 그룹이나 특정 국가에 귀속한 것은 아니며 정부가 붙인 이름도 아니다.

무엇이 새로운가

추적명 부여 — "최근 국내 금융기관을 노린 AI 활용 공격과 연결된 행위자"를 TAG-217로 명명. 국적 평가를 새로 낸 것은 아니며, "중국어 사용자로 의심"은 2026-10-07 공개 분석을 인용한 문장이다.
활동 시기 2026-08로 소급 — 행위자 서버의 공개 디렉터리 등 노출 자료로 재구성한 연표상 2026-08-17~22 원격 접속 기반 시설 시험·인터넷 스캔, 이후 9월까지 모바일 시험 공간과 AI 도구·정찰·페이로드 전달 검토 흔적이 확인됐다. 다만 이 준비 단계에서 피해 시스템 접근이나 침해 성공은 확인되지 않았다고 원문은 적었다.
ARTEX 사용 정황 — 이 사건은 LLM 멀티에이전트 자율 침투 도구 ARTEX의 사용 흔적이 보도·분석된 사례다.

피해 규모는 출처마다 기준이 다르다

Recorded Future가 옮긴 "최소 7개 금융기관, 최소 6만 8천 명"은 자체 조사가 아니라 뒤이은 공개 보도를 인용한 수치다. 정부 발표(16개사·약 10만 건)와는 기준이 다르며, 16개사 전부가 TAG-217의 피해라는 서술은 없다.

현재 귀속 상태: 미귀속(조사 중) · 귀속 확신 중간 · TAG-217은 벤더 추적명. 국가·기존 그룹 귀속 아님.

방어자가 볼 것

원문은 인터넷 노출 서비스 전수 파악과 권한·로깅 점검, 위협 정보를 관제·대응에 자동 연결, 비정상 로그인·여러 고객 기록의 반복 조회·예상치 못한 원격 접속·비정상 데이터 전송을 함께 보기, 불확실하면 추가 검토를 거치는 비례적 자동 대응을 권고했다.