분석 보고서 · 2026년 10월 3일 기준 공개 보도 종합
한국경제 2026년 10월 2일 기사 「'AI 해킹'에 은행들 뚫렸다…신한·국민·하나은행 개인정보 유출」을 원문으로 확인하고, 같은 사건을 다룬 다른 보도들과 대조해 정리했습니다. 보도마다 수치가 다른 곳은 숨기지 않고 따로 표시했습니다. 수사가 진행 중이라 내용은 바뀔 수 있습니다.
2026년 9월 말부터 국내 시중은행 여러 곳이 동시다발로 해킹 공격을 받아 신한·국민·하나·부산은행에서 정보가 유출됐다. 공격은 인터넷·모바일뱅킹 같은 핵심 거래 시스템이 아니라 직원용·영업지원용 같은 주변부 시스템을 노렸다. "AI가 쓰였다"는 정황이 보도됐지만, 현재 공개된 근거는 공격 서버에서 발견된 중국어 문구 하나 수준이고, 실제 AI 도구 사용은 확인되지 않았다.
우리은행과 농협은행은 공격을 받았지만, 아시아경제·경향신문 보도 기준으로 정보 유출은 확인되지 않았습니다.
제목: 'AI 해킹'에 은행들 뚫렸다…신한·국민·하나은행 개인정보 유출
부제: '보안 사각지대' 파고든 AI 해킹 / 모바일뱅킹 대신 업무지원망 공격
입력: 2026.10.02 19:39 · 수정 2026.10.03 02:41 · 지면 A1
기자: 조미현, 김진성, 오유림
| 은행 | 상태 | 규모 | 뚫린 곳 | 유출 항목(보도 기준) |
|---|---|---|---|---|
| 신한 | 유출 | 약 2만5000명 | 모바일 홈페이지의 대출모집인용 조회 서비스 → 여기서 얻은 고객번호로 간편 조회 서비스에서 추가 탈취 | 고객명, 전화번호, 연소득, 산출한도 등 대출 신청 정보. 주민등록번호 66건, 연계정보(CI, 본인 확인용 식별값) 97건 |
| 국민 | 유출 | 119명 | 직원용 모바일 업무지원 시스템 | 성명, 주소, 전화번호, 주민등록번호(YTN은 "암호화된" 주민등록번호라고 보도), 일부 고객은 신용등급(YTN) |
| 하나 | 유출 | 89명 | 영업지원시스템(ODS) | 주민등록번호, 성명, 주소, 이메일, 전화·휴대폰번호, 직장명 등. 금융거래 정보는 유출 안 됨(은행 설명) |
| 부산 | 유출 | 외주 직원 11명 | 내부 직원용 모바일 영업지원시스템 등(추정) | 성명, 전화번호, 생년월일 등(고객 정보 아님) |
| 우리 | 공격만 | - | 보도 없음 | 유출 없음(아시아경제·경향신문) |
| 농협 | 공격만 | - | 보도 없음 | 유출 없음(아시아경제·경향신문) |
이번 사건의 가장 분명한 공통점은 공격 위치입니다. 보도된 공격 대상은 모두 고객이 돈을 거래하는 핵심 시스템이 아니라, 외부와 연결된 업무용 시스템이었습니다.
보안이 단단한 정문이 아니라, 외부와 이어진 옆문들이 노려졌습니다.
한국경제는 "해커가 AI를 활용한 정황이 뚜렷하다"고 썼습니다. 다른 보도들이 제시한 근거를 모으면 다음과 같습니다.
| 근거 | 내용 | 확인 수준 |
|---|---|---|
| 중국어 문구 | 신한은행 공격에 쓰인 것으로 추정되는 서버의 웹페이지 제목에서 "AI 자율 침투테스트 콘솔"을 뜻하는 중국어 문자열 발견. 지니언스 문종현 시큐리티센터장 분석. | 발견됨 |
| 도구 이름 | 오픈소스 대규모언어모델(LLM) 기반 침투테스트 시스템 "ARTEX AI"와 관련된 정황. | 실제 사용은 미확인 |
| 공격 양상 | 여러 은행에 동시다발 공격, 취약한 주변부를 빠르게 찾아 반복 침투. 보안업계는 AI가 이런 탐색을 자동화할 수 있다고 설명. | 정황 (AI 없이도 가능한 양상) |
| 공격 주체 | 중국어 도구 흔적만 보도됐고, 중국이나 특정 국가·집단의 소행이라는 공식 발표는 없음. | 미확인 |
"AI 도구가 쓰였을 가능성이 있다"까지는 근거가 있지만, "AI 해킹으로 뚫렸다"는 단정은 아직 근거보다 앞서 있습니다. 이유는 세 가지입니다.
또한 이 보고서 작성 중 "ARTEX AI"라는 도구의 실체를 별도 검색으로 독립 확인하지는 못했습니다. 이 이름은 보도에 나온 그대로 옮긴 것입니다.
| 항목 | 보도 A | 보도 B | 판단 |
|---|---|---|---|
| 국민은행 119명의 구성 | "고객 119명" (한국경제, YTN) | "임직원 20명과 고객 99명의 정보 153건" (MBC 단독) | 확인 필요 MBC가 더 구체적. 고객 피해는 99명일 가능성 |
| 국민은행 주민등록번호 | 주민등록번호 유출 (한국경제) | "암호화된" 주민등록번호 (YTN) | 확인 필요 암호화 여부에 따라 위험도가 다름 |
| 부산은행 유출 항목 | 성명, 전화번호, 생년월일 등 (한국경제) | 전화번호 등 (이코노믹리뷰 등) | 충돌 아님 한국경제가 더 자세함 |
| 우리·농협은행 | "공격받은 사실 확인" (한국경제) | "정보 유출 없음" (아시아경제, 경향신문) | 충돌 아님 공격은 있었고 유출은 없음 |
| 경찰 내사 시점 | 신한은행 1일, 나머지 2일 (경향신문) | 2일 은행들 대상 착수 (이코노믹리뷰) | 대체로 일치 신한 건이 하루 먼저 |
| 신한 9월 30일의 의미 | "발생 시점 30일" (뉴스핌) | "30일 ... 확인" (블록미디어) | 확인 필요 공격 시작일인지 인지일인지 불분명 |
보안 분야에는 "공격자는 가장 약한 곳 한 군데만 찾으면 되고, 방어자는 모든 곳을 지켜야 한다"는 오래된 원칙이 있습니다. 또 미국 표준기술연구소(NIST)의 사이버보안 프레임워크는 방어의 첫 단계를 "식별", 즉 내가 가진 시스템이 무엇이고 어디에 노출돼 있는지 파악하는 일로 둡니다. 이 두 기준으로 보면 이번 사건의 약점은 네 가지로 정리됩니다.
금융위가 내린 첫 지시가 "외부에 노출된 IT 자산과 서비스를 빠짐없이 파악하라", 그리고 "대고객 서비스 여부와 관계없이 외부에서 접근할 수 있는 모든 시스템"을 점검하라는 것이었습니다(한국경제, 뉴스핌, 금융위 회의 관련 보도). 거꾸로 말하면, 직원용·모집인용 시스템이 점검의 사각지대였을 수 있다는 뜻입니다.
신한은행은 인증 절차를 우회당했고, 국민은행은 일회용 비밀번호 반복 대입 공격을 받았습니다. 금융위 지시에 "인증 절차 누락 경로 철저히 점검"이 따로 들어간 것도 같은 맥락입니다(뉴스핌).
MBC 보도대로라면 국민은행은 약 43시간 이어진 공격이 끝나고 약 하루가 지나서야 공격 사실을 알아챘습니다. 침입차단시스템이 일부를 막았다는 은행 설명과 별개로, 진행 중인 공격을 실시간으로 잡아내는 감시 체계에는 빈틈이 있었다고 볼 수 있습니다.
신한은행에서는 한 서비스에서 얻은 고객번호가 다른 서비스 조회에 그대로 쓰였습니다. 서비스 하나가 뚫리면 연결된 다른 서비스까지 이어지는 구조였다는 뜻입니다.
AI의 역할은 이 약점들을 새로 만든 것이 아니라, 이미 있던 약점을 더 빨리, 더 많은 곳에서 찾게 해 주는 쪽이라고 보는 것이 보도 내용에 가장 잘 맞는 해석입니다. 한국경제의 보안업계 관계자 발언("AI의 등장으로 이런 보안 사각지대를 찾아내는 속도도 빨라졌다")도 같은 취지입니다.
이 폴더의 앞선 자료(클로드 PyPI 사건)와 비교하면 공통 교훈이 보입니다. 다만 두 사건은 성격이 다릅니다. PyPI 사건은 AI 평가 시험 중 설정 실수로 일어난 사고이고, 은행 사건은 실제 공격자에 의한 범죄(수사 중)입니다.
| 비교 항목 | 클로드 PyPI 사건 | 은행권 해킹 |
|---|---|---|
| 성격 | AI 해킹 능력 시험 중 사고 | 실제 공격(경찰 내사 중) |
| 뚫린 곳 | 격리돼 있어야 할 시험 환경이 인터넷에 연결돼 있었음 | 외부와 연결된 직원용·영업지원용 시스템 |
| 공통점 | 가장 단단한 곳이 아니라 사람이 놓친 울타리의 틈에서 사고가 났다. AI는 그 틈을 빠르게 반복 탐색할 수 있다. | |
| AI 관여 확인 | Anthropic 보고서와 외부 보도로 확인 | 정황만 있고 미확인 |