2026년 금융권 AI 해킹 및 정보유출 사태
더 많은 작업
2026년 금융권 AI 해킹 및 정보유출 사태는 2026년 9월 말부터 대한민국의 주요 은행을 상대로 외부 해킹 시도가 잇따라 발생하고 일부 금융회사에서 고객 또는 업무인력의 개인정보가 유출된 사건군이다. 금융위원회는 10월 14일 신한은행 사고 전후로 침해사고가 확인된 금융회사가 16개사이고 유출된 개인정보는 약 10만 건이라고 밝혔다.[1] 일부 공격에서 인공지능 기반 자율 침투 도구인 ARTEX의 활용 흔적이 금융보안원 조사에서 확인됐다. 여러 은행을 공격한 IP 일부가 중복되고 공격 수법과 노린 취약점에도 공통점이 확인됐으나, 모든 사고가 동일한 공격자에 의해 수행됐는지 여부는 아직 확인되지 않았다.[2]
2026년 9월 30일 신한은행에서 대규모 고객정보 유출 사고가 발생한 데 이어 KB국민은행, 하나은행, BNK부산은행에서도 외부 공격에 따른 정보 유출이 잇따라 확인됐다. 금융위원회는 10월 2일 공식 자료에서 신한은행 사고에 이어 국민은행 등 주요 금융회사에 대한 사이버 공격으로 추가 피해가 발생했다고 밝히고, 금융감독원·금융보안원 및 주요 은행·카드사와 긴급 상황대응 회의를 열었다.[3]
후속 자료를 통해 실제 공격은 이보다 앞서 시작된 것으로 확인됐다. 국회 정무위원회 박민규 의원실이 KB국민은행에서 확보한 자료에 따르면 국민은행에 대한 공격은 9월 27일 오후 11시 19분경 시작됐으며, 9월 29일 오후 6시경까지 42시간 41분 이어졌다.[4] 신한은행이 국회 정무위원회 손명수 의원에게 제출한 침해사고 보고서에 따르면 신한은행 모바일 홈페이지에 대한 비정상 접근은 9월 28일 오후 6시 4분경 시작됐다.[5] 하나은행에 대한 공격은 9월 30일 오후 12시 16분부터 오후 10시 52분까지 10시간 36분 동안 이어졌으며, 하나은행은 10월 2일 오전 6시경 고객정보 유출을 인지했다.[6]
은행권에서 공개적으로 확인된 정보 유출 규모는 신한은행 고객 25,729명, KB국민은행 119명(고객 99명·임직원 20명), 하나은행 고객 89명이며, BNK부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다.[5][4][7][8]
우리은행과 NH농협은행에서도 같은 유형의 외부 공격이 있었으나 해당 공격이 노린 취약점이 존재하지 않아 침해사고로 이어지지 않은 것으로 금융보안원 조사에서 파악됐다.[2] 공격 시도는 은행권에 국한되지 않았으며 이후 예가람저축은행·웰컴저축은행·현대캐피탈에서도 침해사고가 확인됐다. 금융당국은 10월 4일 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 침해사고를 대상으로 공격 인프라와 수법의 연관성을 조사하고 있다고 밝혔다.[9]
이후 피해 범위는 저축은행·캐피탈·온라인투자연계금융업·전자금융업·가상자산사업자·상호금융으로 넓어졌다. 10월 14일 금융위원회가 밝힌 16개사는 은행 4곳(신한·KB국민·BNK부산·하나), 저축은행 4곳(예가람·웰컴·DB·OK), 여신전문금융회사 2곳(현대캐피탈·산은캐피탈), 온라인투자연계금융업자 2곳(피에프씨테크놀로지스·모우다), 전자금융업자 1곳(브라이트픽스), 가상자산사업자 2곳(스트리미·프라뱅), 상호금융 1곳(새마을금고중앙회)이다. 유출 정보에는 성명·연락처·주민등록번호·이메일 등이 포함됐으나, 계좌 비밀번호나 카드번호처럼 부정결제에 바로 쓰일 수 있는 정보의 유출은 확인되지 않았다. 금융당국은 이 집계가 같은 기간 신고된 침해사고를 모은 것으로, 사고 사이의 연관성과 동일 공격자 여부, AI 활용 여부는 계속 조사한다고 밝혔다.[1][10][11]
이번 사건은 인터넷뱅킹·모바일뱅킹의 핵심 거래 시스템을 직접 장악하기보다는 대출모집인용 서비스, 직원용 모바일 업무지원시스템, 영업지원시스템 등 외부에서 접근 가능한 주변 업무 시스템이 주된 공격 대상이 됐다는 공통점이 확인됐다.[12][13][7][8] 금융보안원은 시스템 자체를 장악한 형태라기보다 취약한 직원·협력사용 시스템 등에 접근해 정보를 조회하고 가져가는 방식이 주요 공격 유형으로 확인됐다고 설명했다.[2][9]
금융위원회도 이에 따라 대고객 서비스인지 여부와 관계없이 외부에서 접근 가능한 모든 IT 자산과 서비스를 점검하라고 금융권에 지시했다.[3]
각 금융회사의 피해 현황 및 공격 경과, 침입 방식, 대응 등 자세한 내용은 아래 표의 금융회사명을 클릭하면 확인할 수 있다. 정보 유출이 확인된 기관 외에 관련 공격 IP의 접근 시도만 확인된 기관도 구분해 수록했다.
| 금융회사 | 확인된 공격 대상 | 확인된 정보 유출 | AI 관련 공개 내용 |
|---|---|---|---|
| 신한은행 | 대출모집인이 대출 처리 현황 등을 조회하는 모바일 홈페이지의 전용 서비스. 외부 비인가자가 정상적인 본인확인 절차를 거치지 않고 접근한 것으로 파악됐다.[12] 후속 침해사고 보고서에서는 공격 대상이 모바일 홈페이지 'M신한'이며 공격자가 대출신청 결과 등 6개 서비스를 집중적으로 조회한 사실이 확인됐다.[5] | 고객 25,729명. 고객명·전화번호·연소득·대출 산출한도 등 대출 관련 개인·신용정보가 포함됐으며, 신청 상품과 금리 등의 정보도 유출됐다. 이 가운데 주민등록번호 66건과 연계정보(CI) 97건도 유출됐다.[5][12] | 당초 공격에 사용된 것으로 추정되는 서버에서 ARTEX 관련 중국어 문자열이 발견돼 사용 가능성이 제기됐다.[14] 이후 금융보안원이 신한은행의 로그와 공격자 IP를 역추적한 결과 ARTEX 관련 흔적이 확인됐다.[2] 다만 ARTEX의 AI 에이전트가 실제 공격 과정에서 어떤 기능을 수행했는지는 확인되지 않았다.[9] |
| KB국민은행 | 직원용 모바일 업무 지원 시스템. 은행은 인터넷뱅킹·모바일뱅킹 등 고객 금융거래 시스템과는 별개라고 밝혔다.[13] 후속 국회 제출자료에서는 공격자가 임직원이 사용하는 AI 서비스에 접근해 정보를 빼내려 한 정황도 확인됐다.[4] | 총 119명으로, 고객 99명과 임직원 20명이다. 개인정보는 총 153건으로 파악됐다. 고객명·전화번호·주소·암호화된 주민등록번호 등이 포함됐으며 실제 유출 항목은 개인별로 차이가 있다.[4] 10월 19일 국정감사에서는 9월 29일 새벽 2차 공격으로 81명의 정보가 추가로 유출됐다는 지적이 나왔다. 이 81명이 119명에 포함되는지는 공개되지 않았다.[15] | 금융보안원 조사에서 여러 은행 공격 사이에 IP 중복과 동일한 공격 수법·취약점, ARTEX 관련 흔적이 공통적으로 확인됐다. 다만 국민은행 공격에서 ARTEX가 구체적으로 어떤 단계에 사용됐는지는 공개되지 않았다.[2][9] |
| 하나은행 | 직원들이 사용하는 영업지원시스템(ODS). 하나은행은 외부 해킹 에이전트가 해당 시스템에 비정상적으로 접근했다고 설명했다.[7] 후속 침해사고 보고서에서는 공격 대상을 외부 인터넷과 내부망 사이에 위치한 DMZ 구간 시스템으로 분류했다.[6] | 고객 89명. 주민등록번호·성명·주소·이메일주소·전화번호·휴대전화번호·직장명 등이 유출된 것으로 파악됐다.[7] | 금융보안원 조사에서 여러 은행 공격 사이에 IP 중복과 동일한 공격 수법·취약점, ARTEX 관련 흔적이 공통적으로 확인됐다. 다만 하나은행 공격에서 ARTEX가 구체적으로 어떤 단계에 사용됐는지는 공개되지 않았다.[2][9] |
| BNK부산은행 | 외부에 공개된 웹페이지 및 업무 관련 웹서버. 후속 점검에서 일부 웹페이지의 세션 검증이 충분하지 않았던 사실이 확인됐다.[8] | 외주 개발직원 11명. 성명·전화번호·생년월일·이메일 주소가 노출된 것으로 후속 확인됐다. 부산은행은 고객정보 유출은 없었다고 밝혔다.[2] | 부산은행은 10월 1일 오후 9시경 AI 에이전트를 활용한 외부 웹서버 공격 시도가 있었다고 밝혔다. 주요 공격은 차단됐다고 설명했다.[8] |
| 예가람저축은행 | 저축은행중앙회 통합금융정보시스템(IFIS)이 아닌 별도로 운영하던 자체 서비스 사이트에서 정보 유출이 발생했다.[16] | 기존에 고객 약 4만 300명의 정보가 유출된 것으로 파악됐으나, 10월 13일 보도에서는 성명·생년월일·연락처 외에 주민등록번호·계좌번호·주소·직장명 등을 포함한 개인정보 약 5만 건이 유출된 것으로 추정됐다. 정확한 유출 규모는 조사 중이며, 5만 건이 피해자 5만 명을 의미하지는 않는다.[16][17][18] | 금융당국이 연쇄 침해사고와 함께 조사하고 있으나, 은행권 공격에 사용된 IP와 저축은행 공격 IP는 서로 다른 것으로 파악됐다.[9] |
| 웰컴저축은행 | 저축은행중앙회 공동전산망이 아닌 자체 전산망을 사용하는 회사로, 별도로 운영하던 외부 시스템을 통한 정보 유출이 확인됐다.[16] 국회 제출 사고보고서에 따르면 침해는 9월 27일 오후 5시 9분께 발생했고, 회사는 금융보안원이 공유한 IP로 자체 점검을 하던 10월 2일 오후 4시 4분께 이를 알았다.[19] | 법인 인터넷뱅킹 아이디·법인명·대표자 이름·업무 연락처·휴대전화번호·이메일주소 등이 유출됐다. 10월 13일 보도에 따르면 전체 유출 데이터는 2,370건이며, 이 가운데 개인정보가 포함된 데이터는 2,299개로 추정된다. 정확한 유출 경위와 피해 규모는 조사 중이다.[16][18][20] | 금융당국이 다른 금융회사 침해사고와 함께 공격 인프라와 수법의 연관성을 조사하고 있다.[9] |
| 현대캐피탈 | 주택대출 모집인 조회페이지. 국회 제출자료에 따르면 공격은 9월 27일 오전 6시 37분부터 24분간 이어졌으나 회사는 이를 자체 탐지하지 못했고, 금융보안원이 통보한 IP를 대조하던 10월 2일 오후 5시 8분에야 침해를 알았다. 신한은행 공격보다 약 35시간 앞선 공격이었다.[21][19] | 대출모집인 146명의 개인정보가 유출됐다. 성명·휴대전화번호·이메일주소·여신금융협회 등록번호와 내부 모집인번호·주민등록번호 등이 포함된 것으로 파악됐다.[17] | 현대캐피탈은 AI를 활용한 정보조회 공격으로 파악하고 있다. 다른 금융회사에 대한 공격과 동일한 공격자인지는 확인되지 않았다. |
| 피에프씨테크놀로지스(PFCT) | 외부의 전자적 침해행위가 확인됐다. | 고객 300여 명의 개인정보가 유출됐다. PFCT는 9월 29일 자사 홈페이지를 통해 침해 사실을 공지했다.[20] | 이번 금융권 연쇄 공격과 동일한 공격자 또는 동일한 AI 도구가 사용됐는지는 확인되지 않았다. |
| 모우다 | 외부의 불법 접근이 확인됐다. | 성명·이메일주소·휴대전화번호와 일부 간편대출 서비스 신청자의 대출 신청·실행 여부, KCB 신용점수, 연소득, 내부 신용등급 등의 정보가 유출됐을 가능성이 있는 것으로 파악됐다.[22] | 이번 금융권 연쇄 공격과 동일한 공격자 또는 동일한 AI 도구가 사용됐는지는 확인되지 않았다. |
| 우리은행·NH농협은행 | 다른 피해 은행과 유사한 외부 공격 시도가 확인됐다. | 정보 유출 없음. 공격 대상이 된 취약점이 존재하지 않거나 공격을 차단해 실제 침해사고로 이어지지 않은 것으로 파악됐다.[2] | 금융보안원 조사 대상에 포함됐으나 구체적인 AI 도구의 사용 범위는 공개되지 않았다. |
| 카카오뱅크·케이뱅크·토스뱅크 | 다른 금융회사 해킹에 사용된 공격 IP 일부의 서버 접근 시도가 확인됐다. 카카오뱅크에는 1월과 3월 총 6회의 단순 접근과 9월 29일 취약점 탐색 시도 1회가 있었으며, 케이뱅크에는 7월부터 총 4회, 토스뱅크에는 1~8월 총 14회의 접근 시도가 확인됐다.[23] | 시스템 침해 및 고객정보 유출 피해가 확인되지 않았다. 카카오뱅크의 9월 취약점 탐색 시도는 보안체계에 의해 탐지·차단됐고, 토스뱅크는 접속 시도가 모두 방화벽에서 자동 차단됐다고 밝혔다.[23] | 공격 IP의 일부가 중복됐다는 사실은 확인됐으나, 인터넷전문은행 3사에 대한 실제 침입이나 ARTEX 사용이 확인된 것은 아니다.[23] |
| 새마을금고중앙회 | 초기에는 신한은행 공격과 동일한 IP의 접근을 차단했으나, 10월 10일 별도의 공격으로 중앙회 공제사업 관련 홈페이지가 침해됐다.[17][24] | 초기 공격에서는 유출이 없었으나, 후속 공격으로 공제회원 400명대의 고객번호·성명·암호화된 주민등록번호·계좌번호·연락처·주소·잔액 등 개인별로 서로 다른 정보가 유출됐다. 예·적금 고객정보 유출은 확인되지 않았다.[24][25] | 초기 공격 IP 일부가 중복된 사실은 알려졌지만, 10월 10일 후속 공격의 실행 주체나 ARTEX 사용 여부는 확인되지 않았다.[24] |
| OK저축은행 | 홈페이지의 대출신청 웹페이지가 10월 11일 밤부터 12일 새벽 사이 공격받았고,[26] 10월 15일 오전 3시 32분부터 7시 34분까지 모바일 수신서비스 관련 페이지가 다시 공격받았다.[27] | 1차 공격으로 고객 250명, 2차 공격으로 268명이 추가돼 총 518명의 정보가 유출됐다. 2차 유출 정보에는 이름·계좌번호·예금상품명·잔액·적용금리·최종거래일이 포함됐다.[27] | 은행권 공격과의 연관성이나 AI 도구 사용 여부는 공개되지 않았다. 금융감독원은 2차 피해를 접수한 뒤 현장점검에 착수했다.[28] |
| 산은캐피탈 | 외부의 비정상 접근 경로로 일부 시스템에 접속이 이뤄졌다. 회사는 10월 12일 이를 확인했다.[11] | 고객 848명의 성명·주민등록번호·생년월일이 유출됐다.[11] | 공개되지 않았다. |
| DB저축은행 | 해킹 시도가 있었으나 보안시스템에서 차단됐다고 회사가 밝혔다.[11] | 회사는 일반 고객정보 유출은 없다고 밝혔으며, 해킹 시도와 관련된 소수의 관련인에게 안내했다.[11] | 공개되지 않았다. |
| 스트리미(고팍스) | 외부 사이트에서 유출된 것으로 보이는 이메일·비밀번호로 고객 계정에 접근하려는 시도가 있었고, 고팍스는 이상거래탐지시스템(FDS)으로 이를 탐지해 당국에 신고했다.[29] | 대상 계정은 소수이며 자산 피해는 확인되지 않았다.[29] | 다른 곳에서 유출된 계정정보를 대입하는 크리덴셜 스터핑 성격의 시도로, 은행권 공격과 같은 방식이라는 근거는 공개되지 않았다. |
| 프라뱅 | 10월 2일 외부 비인가자가 이용자 정보를 빼간 것으로 파악됐다.[30] | 이용자 20명의 이름·성별·국적·생년월일·연락처·주소·직장 등 12개 항목이 유출됐다.[30] | 공개되지 않았다. |
| 브라이트픽스 | 금융위원회가 밝힌 16개사 명단에 전자금융업자로 포함됐다.[10] | 세부 피해 내용은 공개되지 않았다. | 공개되지 않았다. |
| 농협 상호금융 | 유사한 외부 침입 시도가 확인됐다. | 정보 유출 없음. 공격을 방어한 것으로 파악됐다.[17] | 구체적인 AI 도구 사용 여부는 공개되지 않았다. |
| 보험사 1~2곳 | 금융협회의 회원사 점검 과정에서 공격자가 시스템에 접근을 시도한 흔적이 확인됐다. 회사명은 공개되지 않았다. | 정보 유출 또는 실질적인 시스템 침해 정황은 확인되지 않았다. 10월 14일 금융위원회가 밝힌 16개사 명단에도 보험사는 없다.[10][31] | AI를 활용한 것으로 추정되는 공격과 관련한 흔적으로 조사되고 있다. |
| 증권사 1~2곳 | 금융협회의 회원사 점검 과정에서 공격자가 시스템에 접근을 시도한 흔적이 확인됐다. 회사명은 공개되지 않았다. | 정보 유출 또는 실질적인 시스템 침해 정황은 확인되지 않았다. 10월 14일 금융위원회가 밝힌 16개사 명단에도 증권사는 없다.[31][10] | AI를 활용한 것으로 추정되는 공격과 관련한 흔적으로 조사되고 있다. |
| 카드업권 | 금융권 전반에 대한 점검이 진행 중이다. | 10월 5일 기준 관련 피해 징후가 확인되지 않았다.[31] 10월 14일 금융위원회가 밝힌 16개사 명단에도 카드사는 없다.[10] | 관련 공격 흔적도 현재까지 공개적으로 확인되지 않았다. |
- 2026년 9월 27일 06시 37분경 - 현대캐피탈 주택대출 모집인 조회페이지에 대한 공격이 24분간 이어졌다. 현대캐피탈은 이를 자체 탐지하지 못하고 10월 2일 오후 5시 8분에야 침해를 알았다.[21]
- 2026년 9월 27일 17시 09분경 - 웰컴저축은행에서 침해사고가 발생했다. 회사는 10월 2일 오후 4시 4분께 이를 알았다.[19]
- 2026년 9월 27일 23시 19분경 - KB국민은행에 대한 공격이 시작됐다. 공격자는 임직원이 사용하는 AI 서비스에 접근해 정보 탈취를 시도한 것으로 파악됐으며, 공격은 9월 29일 오후 6시경까지 42시간 41분 이어졌다.[4]
- 2026년 9월 28일 18시 04분경 - 신한은행 모바일 홈페이지 'M신한'에 대한 비정상 접근이 시작됐다. 공격자는 고객번호 등에 무작위 값을 입력하며 서비스 조회와 휴대전화 인증 우회를 시도했다.[5]
- 2026년 9월 28일 19시 11분경 - 신한은행 공격자가 대출신청 결과 등 6개 서비스를 집중적으로 조회하며 개인정보를 빼내기 시작했다.[5][32]
- 2026년 9월 29일 새벽 - 10월 19일 국정감사에서 제기된 지적에 따르면 KB국민은행에 대한 2차 공격이 이뤄져 81명의 정보가 추가로 유출됐다.[15]
- 2026년 9월 29일 09시 30분경 - 신한은행이 최초 공격으로부터 약 15시간 26분 뒤 비정상적인 접근을 감지하고 공격 IP 차단을 시작했으나 공격자는 IP를 변경하며 조회를 계속했다.[5][32]
- 2026년 9월 29일 13시 43분경 - 신한은행이 공격 대상 서비스를 중단했다.[5]
- 2026년 9월 29일 18시경 - KB국민은행을 대상으로 이어지던 공격이 중단됐다.[4]
- 2026년 9월 29일 20시 30분경 - 신한은행에서 앞서 발생한 공격과 유사한 방식의 공격이 새로운 IP를 통해 다시 시작됐다. 신한은행은 오후 9시 30분경 침해사고 위기등급을 상향하고 긴급대응팀(CERT)을 비상 가동했다.[5][32]
- 2026년 9월 30일 00시 15분경 - 신한은행이 공격을 최종 차단했다. 최초 비정상 접근부터 최종 차단까지 약 30시간 11분이 소요됐다.[5]
- 2026년 9월 30일 12시 16분경 - 하나은행 영업지원시스템(ODS)에 대한 외부 공격이 시작됐다. 공격은 같은 날 오후 10시 52분까지 10시간 36분 동안 이어졌다.[6]
- 2026년 9월 30일 - 금융위원회가 이후 공식 보도자료에서 신한은행 정보유출 사고의 발생일로 명시했다. 신한은행에서는 대출모집인용 서비스를 통한 비인가 접근으로 고객 25,729명의 정보가 유출된 것으로 후속 확인됐다.[3][5]
- 2026년 9월 30일 19시경 - KB국민은행이 공격 사실을 인지했다. 최초 공격으로부터 약 67시간 41분, 공격이 중단된 뒤 약 25시간이 지난 시점이었다.[4]
- 2026년 10월 1일 - 신한은행이 개인정보 유출 사실을 공개하고 비상대응체계를 가동했다. 외부 IP 차단, 관련 서비스 중단, 신규 보안정책 적용 등의 조치를 취했으며 정보 유출로 고객 손해가 발생할 경우 전액 보상하겠다고 밝혔다.[12]
- 2026년 10월 1일 오후 9시경 - BNK부산은행이 AI 에이전트를 활용한 것으로 설명한 외부 웹서버 공격 시도를 탐지했다. 주요 공격은 차단됐지만 후속 점검에서 세션 검증이 불충분한 일부 웹페이지가 확인됐다.[8]
- 2026년 10월 2일 06시경 - 하나은행이 고객정보 유출 사실을 인지했다. 최초 공격으로부터 약 41시간 44분, 공격 종료로부터 약 31시간이 지난 시점이었다. 하나은행은 침해사고 보고서에서 공격 방법과 피해 유형을 '기타', 사고 원인을 '외부에 의한 당행 시스템 비정상적 접근'으로 기재해 구체적인 침입 원인은 아직 특정하지 못했다.[6]
- 2026년 10월 2일 - KB국민은행에서 정보 유출 사실이 공개됐다. 최초에는 고객 119명의 정보가 유출된 것으로 발표됐으나, 후속 국회 제출자료에서는 고객 99명과 임직원 20명 등 총 119명의 개인정보 153건이 유출된 것으로 구체화됐다.[13][4]
- 2026년 10월 2일 - 하나은행이 자체 점검 과정에서 영업지원시스템에 대한 비정상 접근과 고객 89명의 개인정보 유출을 확인했다.[7]
- 2026년 10월 2일 - BNK부산은행에서도 외주 개발직원 11명의 개인정보가 노출된 사실이 확인됐으며, 문제가 된 웹페이지를 차단하고 관련 시스템에 대한 모니터링을 강화했다.[8]
- 2026년 10월 2일 15시 - 금융위원회가 금융감독원·금융보안원·은행 6개사·카드사 3개사 및 관련 협회와 정부서울청사에서 금융권 긴급 상황대응 회의를 개최했다.[3]
- 2026년 10월 2일 - 경찰청 사이버테러대응수사대가 신한은행·KB국민은행·하나은행·BNK부산은행 등 해킹 피해가 공식화된 4개 은행의 정보유출 사건에 대해 입건 전 조사에 착수했다.[33]
- 2026년 10월 3일 - 금융보안원이 신한은행 로그와 공격자 IP를 역추적한 결과 ARTEX 관련 흔적이 확인됐다고 밝혔다. 여러 은행에 사용된 공격 IP 가운데 은행별로 2~3개가 중복되고, 공격 수법과 노린 취약점 및 ARTEX 관련 데이터에도 공통점이 확인됐다.[2]
- 2026년 10월 3일 - 금융보안원이 은행권 외 금융회사로 조사 범위를 확대했다.[2]
- 2026년 10월 3일 - 보안업체 PLURA가 ARTEX v0.3.14 공개 소스코드를 분석하고 HTTP User-Agent 3종을 웹서버·WAF 로그에서 검색할 수 있는 후보 침해지표로 제시했다. 이는 실제 금융권 공격 로그에서 관측됐다고 확인된 지표는 아니다.[34]
- 2026년 10월 4일 - 금융위원회가 이억원 금융위원장 주재로 전 금융권 긴급 점검회의를 개최했다. 금융당국은 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사에서 침해사고가 발생했다고 밝히고, 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파했다.[9]
- 2026년 10월 4일 - 금융감독원은 은행·카드사에 10월 6일까지, 증권·보험·저축은행·전자금융업자 등에 10월 8일까지 외부 노출 IT 자산과 공격 IP 차단 여부 등 12개 항목에 대한 긴급 점검을 완료하도록 했다.[9]
- 2026년 10월 6일 - 금융감독원은 이번 금융권 침해사고와 관련해 확인된 해킹 시도 IP가 총 33개이며, 중복을 제거하면 28개라고 밝혔다. 금융감독원과 금융보안원은 해당 IP와 일부 국가 정보를 전 금융권에 공유했다.[35]
- 2026년 10월 6일 - 경찰청 국가수사본부는 금융권 연쇄 해킹 사건에 대한 입건 전 조사를 정식 수사로 전환하고 정보통신망법 위반 혐의로 입건했다. 경찰청 사이버테러수사대를 전담수사팀으로 지정하고 4개 팀 28명을 투입했다.[36]
- 2026년 10월 6일 - 금융감독원은 신한은행 정보유출 사고에 대한 현장점검을 정식 현장검사로 전환했다. 검사는 10월 20일까지 진행하기로 했다.[37][38]
- 2026년 10월 7일 - 미국 보안업체 크라우드스트라이크가 한국 금융기관을 겨냥한 공격과 연관된 인프라에서 ARTEX 설정 파일과 Claude Code 세션 기록 등을 발견했다고 발표했다. 분석 결과 공격자가 ARTEX와 여러 LLM을 활용한 정황이 확인됐다.[39]
- 2026년 10월 7일 - PLURA가 금융감독원 전파 자료에 기재된 의심 공격 IP 19개와 ARTEX 공개 소스에서 확인한 User-Agent 후보 3종을 정리해 공개했다. 공개된 IP는 금융권 대응 과정에서 공유된 의심 주소이며, 각 주소의 ARTEX 사용 여부까지 확인된 것은 아니다.[40]
- 2026년 10월 8일 - SK쉴더스가 금융권 연쇄 침해사고와 ARTEX의 작동 구조를 분석하고 외부 노출 시스템과 API 보안 대책을 제시한 「AI 자동화 공격 시대, Shadow IT를 노린 침해사고 분석 및 대응 가이드」를 공개했다.[41]
- 2026년 10월 8일 - 국회 정무위원회가 10월 19일 금융감독원 국정감사에 5대 시중은행장을 증인으로 채택했다.[42]
- 2026년 10월 8일 - ARTEX 개발자 Autumn-27이 공개 개발과 업데이트 및 추가 버전 배포를 중단하고 비공개 소스로 전환하겠다는 방침을 밝혔다. 개발자는 도구의 악용을 이유로 들었지만 한국 금융권 사건을 직접 언급하지는 않았다.[43]
- 2026년 10월 9일 - 경찰이 7일 디지털포렌식·국제공조 지원 인력 15명을 추가해 전담수사팀을 43명으로 확대했다고 발표했다.[44]
- 2026년 10월 10일 - 새마을금고중앙회 공제사업 관련 홈페이지가 후속 해킹 공격을 받아 공제회원 정보가 유출됐다. 중앙회는 12일 오후 유출 사실을 인지했다.[25]
- 2026년 10월 12일 - OK저축은행이 대출신청 웹페이지에 대한 비정상 접속을 파악하고 의심 IP와 접속 경로를 차단했다. 같은 날 산은캐피탈도 외부의 비정상 접근으로 고객 848명의 정보가 유출된 사실을 확인했다.[26][11]
- 2026년 10월 13일 - 금융감독원이 예가람·웰컴저축은행에 대한 현장점검에 착수했다. 예가람의 개인정보 유출이 약 5만 건으로 추정되고, 웰컴의 개인정보 포함 데이터가 2,299개로 구체화됐다.[18]
- 2026년 10월 13일 - 새마을금고중앙회가 공제회원 400명대의 개인정보 유출을 공식 확인하고 피해 고객에게 개별 통지를 진행했다.[24]
- 2026년 10월 14일 - 금융위원회가 제2차 긴급 상황대응 회의를 열고 침해사고가 확인된 금융회사가 16개사, 유출된 개인정보가 약 10만 건이라고 밝혔다. 같은 날 긴급점검 대상 555개사 가운데 130개사가 일부 보안관리 미흡 사항을 보고했다고 발표했다.[1][10]
- 2026년 10월 15일 - OK저축은행 모바일 수신서비스 관련 페이지에 대한 2차 공격으로 고객 268명의 정보가 추가로 유출돼 피해 고객이 총 518명으로 늘었다.[27]
- 2026년 10월 16일 - 중국 보안기업 스렛북(ThreatBook)의 최고경영자가 ARTEX 상용판 'ARTEX Pro'를 포함한 AI 침투 테스트 플랫폼 출시를 예고한 것으로 보도됐다.[45]
- 2026년 10월 18일 - 금융감독원이 OK저축은행에 대한 현장점검에 착수했다.[28]
- 2026년 10월 19일 - 국회 정무위원회 금융감독원 국정감사에 5대 시중은행장이 증인으로 출석해 해킹 사고에 사과했다. 이찬진 금융감독원장은 이번 사고가 사이버보안 사고에서 CEO 책임이 처음 다뤄지는 사안이 될 것이라고 말했다.[46]
확인된 피해 사례에서는 일반 고객이 사용하는 핵심 인터넷·모바일뱅킹 시스템보다는 외부 접속이 가능하지만 상대적으로 제한된 용도로 쓰이는 업무지원 시스템이 공격 대상이 됐다.[12][13][7][8]
신한은행에서는 대출모집인 전용 조회 서비스의 본인확인 절차가 우회됐고, 외부 비인가자가 조회값을 반복적으로 입력해 고객정보를 호출한 것으로 전해졌다.[12] 후속 침해사고 보고서에서는 공격자가 'M신한'에 고객번호 등을 무작위로 대입하며 서비스 조회와 휴대전화 인증 우회를 시도하고, 대출신청 결과 등 6개 서비스를 집중적으로 조회한 사실이 구체적으로 확인됐다. 신한은행이 공격 IP를 차단하기 시작한 뒤에도 공격자는 IP를 변경하며 조회를 이어갔다.[5][32]
KB국민은행에서는 직원용 모바일 업무지원시스템에 대한 외부 침입으로 정보가 유출됐다.[13] 후속 자료에서는 공격자가 임직원이 사용하는 AI 서비스에 접근해 정보 탈취를 시도한 것으로도 파악됐다.[4]
하나은행의 영업지원시스템(ODS)은 직원이 영업점 밖에서 전자서식을 작성해 영업점 스마트창구와 연계하는 임직원용 시스템으로, 침해사고 보고서에서는 공격 대상을 외부 인터넷과 내부망 사이에 위치한 'DMZ 구간 시스템'으로 분류했다. 다만 10월 7일 기준 하나은행 공격에 이용된 구체적인 취약점은 특정되지 않았다.[6]
부산은행에서는 후속 조사에서 일부 웹페이지의 세션 검증이 충분하지 않았던 사실이 확인됐다.[8]
금융당국은 후속 조사에서 침해사고를 크게 세 가지 유형으로 분류했다. 정보조회 서비스에서는 본인확인을 거치지 않고 대출신청 내역이나 기업대표정보를 조회할 수 있는 문제가 확인됐으며, PB·RM 등 직원 업무지원 서비스에서는 모바일 단말기 접근통제가 누락됐거나 권한 없이 접근할 수 있는 웹 취약점이 제대로 조치되지 않은 사례가 확인됐다. 별도의 홈페이지 침해 사례에서는 이미 알려진 취약점을 이용해 악성코드를 설치한 뒤 고객정보가 포함된 로그파일을 탈취한 사례도 확인됐다.[9]
이에 따라 금융당국은 인증 절차가 누락된 서비스를 전수조사해 수정하거나 차단하고, 직원용 업무지원 서비스는 사전 등록된 단말기에서만 접근할 수 있도록 통제를 강화하도록 했다.[9]
금융보안원은 이번 공격의 주요 유형이 데이터베이스에 직접 악성 명령을 주입해 대량 정보를 탈취하는 방식보다는 외부 웹페이지나 업무지원 시스템의 정상적인 정보조회 기능을 반복적으로 이용해 정보를 가져가는 형태였다고 설명했다.[9]
금융위원회는 연쇄 사고 이후 금융회사에 외부에 노출된 IT 자산과 서비스를 빠짐없이 식별하고, 인증 없이 내부정보에 접근할 수 있는 경로가 존재하는지와 개인정보 조회 과정에서 인증 절차가 누락되거나 미흡하게 적용되는 부분이 없는지를 점검하도록 지시했다.[3]
10월 8일 SK쉴더스는 이번 금융권 연쇄 침해사고의 공통 표적을 보안 조직의 관리 목록이나 충분한 통제 범위에서 벗어난 Shadow IT 및 Shadow API로 분석했다. 대출모집인 조회 서비스, 직원용 모바일 업무지원시스템, 외주 관리 웹서버처럼 외부 접속이 가능하지만 핵심 금융거래 시스템에 비해 관리가 소홀했던 접점이 주요 공격 대상이었다는 것이다.[41]
보고서는 주요 보안 취약 요인으로 요청자별 데이터 열람 권한을 검증하지 않는 인가 결함, 인증·세션 관리 미흡, 과도한 정보 노출, 대량 조회 탐지 공백, IP 기반 차단의 한계 등을 제시했다. 특히 식별값을 바꿔 가며 다른 고객의 정보를 조회할 수 있는 API에서는 서버 측의 객체 단위 권한 검증이 중요하다고 설명했다.[41]
다만 이 분석은 공개된 사고 정보와 ARTEX의 기능을 바탕으로 공통적인 공격 유형을 재구성한 것으로, 개별 금융회사의 정확한 침입 경로와 취약점이 모두 포렌식으로 확정됐다는 의미는 아니다.
신한·KB국민·하나·BNK부산은행은 모두 금융보안원의 아틀라스(Atlas) 공격표면관리(ASM) 서비스를 이용하고 있었던 것으로 확인됐다. 금융보안원은 이 서비스가 주로 외부 노출 자산의 식별과 알려진 취약점 정보 제공을 목적으로 하며, 은행이 이미 파악해 공개 운영하던 업무시스템의 모든 취약점을 자동으로 차단하는 서비스는 아니라는 입장을 밝혔다.[47]
신한은행 공격과 관련해 초기에는 보안업계가 공격에 사용된 것으로 추정한 웹서버의 HTML 제목에서 중국어로 'AI 자율 침투테스트 콘솔'을 뜻하는 ARTEX 관련 문자열을 발견하면서 ARTEX 사용 가능성이 제기됐다.[14]
ARTEX는 공개 저장소에서 스스로를 LLM 기반의 'AI 자율 침투테스트 시스템'으로 설명하고 있으며, 여러 에이전트와 보안 도구를 연계해 자산 탐색과 취약점 분석 등의 작업을 수행하도록 설계된 오픈소스 프로젝트다.[48]
10월 3일 문종현 지니언스 시큐리티센터장은 최근 국내 여러 곳을 겨냥한 공격을 분석한 결과 문자열 분석을 통해 ARTEX AI가 이용됐을 가능성을 제기했다.[49]
같은 날 금융보안원의 후속 조사에서는 이보다 구체적인 정황이 확인됐다. 금융보안원 관계자는 신한은행에서 확보한 로그와 공격자 IP를 역추적한 결과 ARTEX 관련 흔적이 확인됐다고 밝혔다.[2] 10월 4일 금융당국도 은행 공격에 사용된 IP에서 ARTEX 관련 흔적이 확인됐다고 밝혔다. 다만 현재 공개된 조사 결과만으로 ARTEX의 AI 에이전트가 각 금융회사 공격 과정에서 구체적으로 어떤 기능을 수행했는지는 확인되지 않았다.[9]
10월 6일에는 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 피해 금융회사의 공격 IP에서도 ARTEX 관련 흔적이 확인돼 경찰이 조사 중인 것으로 전해졌다. 다만 ARTEX가 실제 침투 과정에서 사용됐는지, 사용됐다면 어느 단계에서 어떤 기능을 수행했는지는 아직 확인되지 않았다.[50]
10월 7일 크라우드스트라이크는 한국 금융기관 공격과 연관된 서버의 공개 디렉터리에서 ARTEX 설정 파일, Claude Code 세션 기록, Claude 메모리 파일을 발견했다고 발표했다. 이 기록에는 2026년 9월 말부터 10월 초까지 한국 금융기관을 대상으로 ARTEX와 LLM을 활용한 활동이 포함돼 있었다. 이는 기존의 단순한 문자열 발견보다 구체적인 실제 운용 정황을 보여주는 기술적 증거로 평가된다.[39]
크라우드스트라이크 분석에 따르면 공격자가 운용한 ARTEX 인스턴스의 주력 LLM은 DeepSeek v4.1-flash였으며, 별도의 Claude Code 세션에서는 GLM-5.3과 Grok 4.6도 사용됐다. 다만 이 분석만으로 각 금융회사에서 발생한 개별 침입의 모든 단계가 ARTEX에 의해 자동 수행됐다고 확정할 수는 없다.[39]
SK쉴더스는 공개된 ARTEX v0.3.14 소스코드를 분석해 목표를 세부 과제로 분해하는 Goals, 다음 작업을 결정하는 Planner, 실제 도구를 실행하는 다수의 Worker, 취약점을 재확인하는 Retester 등의 구성 요소를 설명했다. 특히 Worker의 실행 결과가 공유 지식 저장소에 기록되면 Planner가 이를 바탕으로 다음 작업을 결정하는 이벤트 기반 반복 구조를 갖추고 있어, 목표가 달성되거나 작업이 중단될 때까지 탐색과 검증을 이어 갈 수 있다고 분석했다.[41]
금융당국은 공격자가 AI 도구를 이용해 다수 금융회사를 대상으로 대량의 자동화된 공격을 수행했을 가능성이 있는 것으로 보고 조사하고 있다.[9]
10월 8일 개발자 Autumn-27은 ARTEX의 악용을 이유로 공개 업데이트·추가 버전 배포·유지보수 지원을 중단하고 비공개 소스로 전환하겠다고 밝혔다. 이는 이미 배포된 소스코드나 사본의 이용까지 중단시킨다는 의미는 아니며, 개발자는 한국 금융권 사건을 직접 언급하지 않았다.[43] 10월 16일에는 중국 보안기업 스렛북(ThreatBook)이 ARTEX의 상용판인 'ARTEX Pro'를 포함한 AI 침투 테스트 플랫폼을 내놓는다고 보도됐다. 자세한 내용은 ARTEX 문서에서 다룬다.[45]
금융권 연쇄 침해사고가 발생하기 전인 2026년 9월 17일, 금융보안원은 금융회사 보안 담당자들을 대상으로 개최한 세미나에서 AI 에이전트를 활용한 실제 금융회사 침투 사례를 공유하고 외부 노출 IT 자산에 대한 상시 점검 필요성을 강조했다.[51]
10월 11일 국회 정무위원회 한창민 의원이 금융보안원으로부터 제출받은 자료를 인용한 보도에 따르면, 해당 사례에서 공격자는 딥시크 기반 AI 에이전트를 이용해 국내 금융회사 A사의 외부 노출 Oracle WebLogic Server를 탐색했다. 이후 원격 명령 실행 취약점을 악용해 웹셸을 설치하고, 침입한 서버에서 내부 연결 서버를 추가 탐색했다. 공격은 추가 악성코드 다운로드 직전에 탐지·차단된 것으로 전해졌다.[51]
해당 세미나에는 금융권 보안 담당자 약 160명이 참석했으며, 이후 연쇄 침해사고가 확인된 KB국민은행·하나은행·현대캐피탈·웰컴저축은행에서도 담당자가 참석한 것으로 보도됐다. 신한은행은 금융지주 측에서 참석한 것으로 전해졌다.
이 사례는 9월 말부터 발생한 금융권 연쇄 침해사고와 별도로 확인된 선행 공격 사례다. 해당 WebLogic 취약점이 신한은행·KB국민은행·하나은행·BNK부산은행의 침입에 이용됐다는 사실은 확인되지 않았으며, 선행 사례에서 ARTEX가 사용됐다는 근거도 공개되지 않았다. 따라서 금융보안원의 사전 경고와 이번 사건의 기술적 연관성 또는 동일 공격자 여부를 구분할 필요가 있다.
금융보안원 조사에서는 여러 은행을 공격한 IP 가운데 은행별로 2~3개의 IP가 서로 중복되는 것으로 확인됐다. 공격자가 IP 차단 이후 다른 IP로 변경해 공격을 계속한 사례도 있었으며, 공격 수법과 노린 취약점이 유사하고 ARTEX 관련 흔적도 관찰된 것으로 전해졌다.[2]
10월 4일 금융당국은 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융회사의 침해사고에서 공격 IP의 연관성과 유사한 공격 수법이 확인됐다고 밝혔다. 다만 시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP는 서로 달랐으며, 공격 수법은 유사한 것으로 파악됐다.[9]
신한은행이 국회에 제출한 자료에 따르면 신한은행 공격에는 한국·미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP가 사용됐다. 다만 IP의 지리적 위치만으로 실제 공격자의 소재지나 국적을 판단할 수는 없다.[9]
10월 6일 금융감독원은 이번 금융권 침해사고와 관련해 확인된 해킹 시도 IP가 총 33개이며, 중복을 제거하면 28개라고 밝혔다. 금융감독원과 금융보안원은 해당 IP와 일부 국가 정보를 전 금융권에 공유했다. 금융감독원은 공격자가 해외 서버나 우회 접속을 이용했을 가능성이 있어 IP 소재 국가를 실제 공격자의 국적이나 공격 발원지로 해석해서는 안 된다고 설명했다.[35]
10월 7일 보도에 따르면 경찰은 금융권에 공유된 공격 IP 상당수를 실제 공격자의 접속 경로를 감추는 우회용 주소로 판단하고, 원래의 공격 경로를 추적하기 위해 국제공조에 착수했다.[52]
10월 7일 크라우드스트라이크는 공격 관련 IP 주소 38.244.50.120에서 ARTEX 인스턴스와 외부에 노출된 디렉터리를 발견했다고 밝혔다. 이곳의 Claude Code 지시 문서에는 공격자가 관리한 것으로 분석되는 홍콩 소재 서버 주소가 포함돼 있었으며, 해당 홍콩 서버의 공개 디렉터리에서는 추가적인 Claude Code 세션 기록과 ARTEX 설정 파일 등이 발견됐다.[39]
크라우드스트라이크는 홍콩 소재 서버를 주요 통제 인프라로, 38.244.50.120을 ARTEX 실행 서버로 사용하는 2단계 서버 구조를 파악했다. 공격 관련 인프라에서는 별도로 9개의 프록시 IP도 확인됐다. 이 분석은 실제 공격 인프라의 연결 관계를 보여주지만, 모든 금융회사 공격이 해당 서버를 경유했는지까지 확정한 것은 아니다.[39]
금융보안원은 신한은행에서 확보한 공격자 IP를 금융권에 공유했고, 다른 금융회사들이 해당 IP의 접속 이력을 조사하는 과정에서 추가 침해 사실이 확인됐다.[2]
이러한 정황은 여러 금융회사를 겨냥한 공격 사이에 기술적 연관성이 존재할 가능성을 보여주지만, 10월 22일 기준 공격자의 신원이 특정되지 않았으며 모든 사고가 동일한 공격자 또는 하나의 공격 조직에 의해 수행됐다는 사실까지 확인된 것은 아니다.[2][9][39]
2026년 10월 7일 보안업체 PLURA는 금융감독원이 금융권에 전파한 의심 공격 IP 19개와 ARTEX 공개 소스코드에서 확인한 HTTP 사용자 에이전트(User-Agent) 후보 3종을 정리해 공개했다.[40]
두 종류의 지표는 출처와 증거 수준이 다르다. IP 목록은 금융감독원 전파 자료에 기재된 주소이며, User-Agent 3종은 ARTEX v0.3.14의 공개 소스코드에서 확인된 문자열이다. PLURA는 User-Agent 3종이 실제 금융권 공격 로그에서 관측된 값인지는 검증하지 못했다고 명시했다.[34][40]
PLURA가 공개한 자료에 따르면 「금융감독원 전파 의심 IP 목록」에는 공격 관련 IP 19개가 포함돼 있으며, 침투 유형은 'AI Agent를 활용한 자동화 공격 추정'으로 기재돼 있다. 다음 표는 PLURA가 전재한 IP와 국가·지역 정보를 원래 순서대로 정리한 것이다.[40]
| 번호 | IP 주소 | 국가·지역 |
|---|---|---|
| 1 | 38.244.50.120
|
미국 |
| 2 | 103.248.148.84
|
일본 |
| 3 | 129.212.181.253
|
미국 |
| 4 | 124.155.252.63
|
홍콩 |
| 5 | 134.185.91.25
|
싱가포르 |
| 6 | 203.160.133.172
|
베트남 |
| 7 | 23.158.220.98
|
태국 |
| 8 | 64.20.39.190
|
미국 |
| 9 | 209.209.85.38
|
말레이시아 |
| 10 | 129.212.181.23
|
미국 |
| 11 | 101.53.80.20
|
대한민국 |
| 12 | 74.82.60.23
|
미국 |
| 13 | 34.175.107.233
|
스페인 |
| 14 | 18.183.215.124
|
일본 |
| 15 | 104.28.162.188
|
라트비아 |
| 16 | 104.28.164.188
|
스웨덴 |
| 17 | 104.28.164.196
|
스웨덴 |
| 18 | 104.28.166.183
|
독일 |
| 19 | 104.28.155.179
|
독일 |
출처: PLURA, 「[2보] 금융권 해킹 공격 IOC: 공격자 IP 19개 · ARTEX User-Agent 3종」, 2026년 10월 7일.[40]
위 목록은 10월 7일 PLURA가 공개한 19개 주소에 한정된다. 금융감독원이 10월 6일 발표한 중복 제거 후 28개 주소의 전체 목록을 의미하지 않는다.[35][40]
또한 공개된 자료에는 IP별 관측 시각, 공격 대상 금융회사, 실제 전송된 요청 및 ARTEX 사용 여부가 기재돼 있지 않다. 따라서 다음 사항을 구분해야 한다.
- 공격 관련 의심 IP로 공유됐다는 사실과 해당 IP에서 실제 개인정보 탈취가 이뤄졌다는 사실은 다르다.
- 19개 주소가 모두 ARTEX를 구동한 서버였다고 확인된 것은 아니다.
- IP의 국가·지역은 공격자의 국적이나 실제 위치를 의미하지 않는다.
- IP 주소는 시간이 지나면서 사용자가 변경될 수 있으므로 과거의 침해지표를 현재에도 동일하게 적용하려면 별도의 재확인이 필요하다.
이 가운데 38.244.50.120은 크라우드스트라이크가 ARTEX 인스턴스 및 관련 공개 디렉터리를 확인했다고 별도로 발표한 주소이기도 하다. 이는 해당 주소에 대한 추가적인 기술적 근거가 존재한다는 의미이지만, 공개 목록의 다른 18개 주소에도 같은 분석 결과를 일괄 적용할 수는 없다.[39]
PLURA는 ARTEX v0.3.14의 공개 소스코드를 분석해 공격 대상 웹시스템에 전송될 수 있는 User-Agent 문자열 3종을 추출했다.[34]
| User-Agent | 관련 기능 | 소스코드 |
|---|---|---|
artex-enrich/1.0
|
웹 자산 및 서버 정보를 확인하기 위한 HTTP 요청 | enrich/enrich.go
|
Mozilla/5.0 (spa-api-recon)
|
HTML·JavaScript 파일을 수집하고 API 후보 경로를 추출하는 정적 분석 | skills/api-recon/scripts/harvest_static.py
|
Mozilla/5.0 (spa-api-recon spider)
|
웹페이지를 순회하며 링크·폼과 API 관련 경로를 탐색하는 기능 | skills/api-recon/scripts/spider_mpa.py
|
출처: PLURA의 2026년 10월 3일 ARTEX v0.3.14 공개 소스 분석.[34]
웹 방화벽(WAF), 리버스 프록시, 웹서버 접근 로그 및 API 게이트웨이 로그에서는 다음 문자열을 우선 검색할 수 있다.
artex-enrich/1.0 spa-api-recon
spa-api-recon 부분 문자열 검색에는 spa-api-recon spider도 포함된다.
이 User-Agent 3종은 공개 소스코드에서 확인된 후보 침해지표이며 이번 금융권 공격에서 실제 관측된 것으로 확인된 값은 아니다. 또한 User-Agent는 요청자가 변경할 수 있고, ARTEX에는 일반 Chromium 브라우저 등을 이용한 요청 경로도 있으므로 이 문자열의 존재만으로 ARTEX 사용을 확정하거나 부재만으로 사용 가능성을 배제할 수 없다.[34]
ARTEX의 관리 콘솔 제목, 인증 토큰 저장 키, 업데이트용 User-Agent, Docker 이미지와 서비스 포트, 공식 배포파일의 SHA-256 등 도구 자체의 식별 정보는 ARTEX 문서에서 별도로 다룬다. 이러한 설치·운영 흔적은 공격 대상 금융회사 웹서버에 남는 HTTP 요청 지표와 구분해야 한다.
공개된 공격 관련 IP나 ARTEX 후보 User-Agent가 확인될 경우 해당 지표만으로 실제 침해를 단정하기보다 요청·응답 및 서버 행위를 연계해 분석할 필요가 있다. PLURA는 IP와 User-Agent를 초기 검색 조건으로 활용하고, 발생 시각과 대상 URI 및 인증·권한 검증 결과를 함께 조사하는 방법을 제시했다.[40]
| 분석 항목 | 확인할 내용 |
|---|---|
| 접속 시각 | 최초·최종 접근 시각, 반복 요청 간격, 공격 의심 시간대의 연속성 |
| 출발지 IP | 공개된 의심 IP와의 일치 여부, IP 변경·우회 접속 및 반복 접근 여부 |
| User-Agent | ARTEX 후보 문자열 또는 동일 시간대의 비정상적인 요청 특징 |
| Host 및 URI | 접근한 웹서비스, API 엔드포인트, 대출 조회·업무지원·인증 기능 |
| HTTP Method 및 파라미터 | GET·POST 요청의 분포, 고객번호·식별값·조회 조건의 반복 변경 |
| 인증 및 세션 | 비인증 접근, 세션 검증 누락, 인증 우회 및 객체 단위 접근 권한 검증 여부 |
| HTTP 응답 | 상태 코드, 응답 크기, 반환된 정보 종류와 반복 요청에 따른 변화 |
| 관련 서버 행위 | 애플리케이션 로그, 개인정보 조회 기록, 비정상 프로세스 및 보안 이벤트와의 연관성 |
ARTEX 공개 소스에는 HTML·JavaScript를 수집하고 웹 애플리케이션의 API 후보 경로를 탐색하는 기능이 존재한다. 따라서 단기간에 여러 웹페이지와 JavaScript 자원에 접근하거나 API 경로를 반복 탐색하는 행위를 분석할 수 있다. 다만 이러한 패턴은 일반적인 웹 취약점 진단 도구나 승인된 보안점검에서도 나타날 수 있어 ARTEX 고유의 공격 시그니처로 볼 수는 없다.[34]
이번 금융권 사고에서 보고된 인증 미흡, 세션 검증 누락, 반복적인 정보조회 및 IP 변경 행위와 공개 소스상의 정찰 기능 사이에는 기술적 연관 가능성이 있다. 그러나 이러한 기능이 특정 금융회사에 대한 실제 공격에서 사용됐는지는 관련 로그와 포렌식 결과를 통해 별도로 확인해야 한다.
금융위원회·금융감독원·금융보안원은 침해사고 신고를 접수한 뒤 현장조사에 착수하고, 공격자의 IP 주소와 공격 유형 등 관련 위협정보를 한국인터넷진흥원(KISA) 등 관계기관과 공유했다.[3]
10월 2일 긴급회의에서 금융위원회는 금융권에 다음 조치를 요구했다.[3]
- 외부에서 접근 가능한 IT 자산과 서비스 전체를 파악하고 보안 취약점과 접근통제 상태 점검
- 대고객 서비스 여부나 서비스 종류에 관계없이 외부 노출 시스템 전체를 점검
- 외부에 불필요하게 공개되는 정보 최소화
- 인증 없이 내부정보에 접근할 수 있는 경로 점검
- 개인정보 등 내부정보 조회 과정의 인증 절차 점검
- 공격 IP, 공격 수법, 침해 시도 내역 등 위협정보의 금융회사 간 신속한 공유
- 금융회사가 자체 보안점검을 실시한 뒤 점검 결과를 금융당국에 조속히 제출
금융보안원은 신한은행에서 확보한 공격자 IP를 금융회사에 공유했으며, 이를 토대로 금융회사들이 접속 이력을 전수조사하면서 추가 침해 여부를 확인하고 있다.[2]
10월 4일 금융위원회는 이억원 금융위원장 주재로 전 금융권 긴급 점검회의를 열었다. 금융감독원은 전 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파하고, 공격 IP 차단 및 피해 여부 조사, 외부 노출 IT 자산·서비스 식별과 보안 강화 등 12개 항목의 체크리스트를 이용해 긴급 점검하도록 했다.[9]
은행·카드사는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등은 10월 8일까지 긴급 점검을 완료하도록 했다. 금융당국은 현장점검과 검사 결과 확인된 취약 요인과 개선 사례를 전 금융권에 공유하고, 미흡한 점검으로 대규모 IT·침해사고가 발생할 경우 엄중 조치한다는 방침을 밝혔다.[9]
10월 8일 국정감사에서는 일부 금융회사가 최근 3개월간의 접속 기록만 점검한 반면 다른 금융회사는 1년간 조사하는 등 점검 기간이 서로 다르다는 문제가 제기됐다. 금융위원회는 체크리스트 외에 금융회사별 자체 추가 점검 내용도 보고받겠다고 밝혔다.[53]
10월 6일 금융감독원은 신한은행 정보유출 사고에 대한 현장점검을 정식 현장검사로 전환하고 침입 경로와 보안관리 적정성, 관련 법규 위반 여부 등에 대한 검사에 착수했다.[37]
KB국민은행에서는 10월 1일부터 정기검사 현장의 IT검사반이 해킹 경위를 조사하고 있다. 금융감독원은 10월 13일 예가람저축은행과 웰컴저축은행에 대한 현장점검에도 착수했으며, 점검 결과에 따라 정식 검사로 전환할지 판단할 계획이다.[18]
금융당국은 10월 6일부터 한 달간 연장 가능한 2차 피해 특별대응기간을 운영하고 정보가 유출된 고객의 금융거래에 대한 모니터링을 강화하기로 했다. 비대면 대출과 고액 이체 등에 대한 이상금융거래탐지시스템(FDS) 감시를 강화하고 필요할 경우 추가 본인확인을 실시하며, 피해 고객에게 여신거래 안심차단서비스 등을 안내하도록 했다.[54]
금융당국은 피해 금융회사에 개인정보 유출 고객을 위한 전담 상담창구를 운영하도록 하고, 비대면 계좌개설을 포함한 금융거래에서 이상 징후를 집중적으로 점검하도록 했다. 또한 금융회사·통신사·수사기관 사이의 보이스피싱 관련 정보공유를 강화하고, 실제 피해가 발생할 경우 피해구제와 보상 절차를 신속히 진행하도록 지도하기로 했다.[54]
금융당국은 개인정보 유출에 따른 보이스피싱 등 2차 피해 위험에 대응해 금융소비자경보 '주의'를 발령했다. 발표 당시 이번 사고와 관련해 보이스피싱 등으로 고객 자금이 실제 유출된 사례는 확인되지 않았으며, 실제 피해 발생 여부에 따라 경보 수준을 조정할 방침이라고 밝혔다.[54]
별도로 방송미디어통신위원회는 신한은행의 연계정보(CI) 97건 유출과 관련해 사고 후 현장점검에 착수했다. 신한은행은 4월 22일 CI 생성·처리 절차에 대한 적합 승인을 받은 기관 중 하나였으나, 당시 승인이 이번 침해 대상 시스템의 전반적인 보안 안전성을 보증한 것은 아니다.[55]
금융보안원은 외부 접점 가운데 직원용 시스템 등을 대상으로 한 전수점검 방안을 마련하고 있으며, 금융위원회도 이를 금융권에 권고하는 방안을 추진하는 것으로 전해졌다.[2]
10월 14일 금융위원회는 금융감독원·금융보안원 등과 제2차 긴급 상황대응 회의를 열었다. 금융당국이 10월 8일까지 금융회사 555곳에 12개 항목의 체크리스트로 자체 보안점검을 하게 한 결과 425곳은 적정, 130곳은 일부 미흡 사항을 보고했다. 주요 미흡 사항은 최신 보안 패치 미적용, 제조사 기술지원이 끝난 시스템의 관리 미흡, 24시간 실시간 보안 관제 체계 미구축, 외부 시스템의 인증·인가 누락, 다중 인증 미도입 등이었으며, 전자금융업과 온라인투자연계금융업에서 미흡 사항이 상대적으로 많았다.[1][10][56]
금융당국은 재발 방지를 위해 다음 방향의 제도 개선을 추진한다고 밝혔다.[1][10][57]
- 외부와 연결된 전산시스템 접점을 목록화하고 인증·접근통제를 강화
- 연 1회인 취약점 점검·평가를 대형 금융회사부터 연 2회 이상으로 확대하고, 긴급할 때 수시점검을 할 수 있는 근거 마련
- 금융회사가 탐지한 위협정보의 공동 공유 강화
- 중소형 금융회사를 대상으로 금융보안원과 업권 협회·중앙회가 함께 AI 기반 공동 보안관제 구축 검토
- CEO·CISO·CIO의 보고체계와 책임 범위를 명확히 하고 제재 강화
- AI 방어체계 활용을 위한 망분리 제도 개선
신진창 금융위원회 사무처장은 여러 차례 점검을 요구했는데도 기본 보안수칙이 지켜지지 않은 사례가 나온 것이 "매우 뼈아픈 부분"이라고 말했다.[10]
국회 정무위원회는 10월 8일 5대 시중은행장을 금융감독원 국정감사 증인으로 채택했다.[42] 10월 19일 국정감사에는 이환주 KB국민은행장, 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 NH농협은행장이 출석해 해킹 사고에 사과했다. 5대 은행장이 한꺼번에 국정감사에 출석한 것은 4년 만이다.[46][58]
이찬진 금융감독원장은 이번 사고가 사이버보안 사고에서 CEO의 책임 문제가 처음 다뤄지는 사안이 될 것이라고 말해 은행장 징계 가능성을 내비쳤다.[46] 또한 피해 은행과 피해가 없던 은행의 차이를 "기본에 충실한 것에 대한 차이"로 보고 비교하겠다고 했으며, 외부 공격 노출 표면을 전수조사하도록 지시했다고 밝혔다.[59]
김용만 의원은 KB국민은행이 9월 27일 첫 접근을 일상적인 이상 트래픽으로 보고 IP만 차단했으며, 9월 29일 새벽 2차 공격으로 81명의 정보가 추가로 유출됐다고 지적했다. 금융감독원 보고가 법정 시한 24시간을 1시간 남긴 10월 1일 오후 6시께 이뤄졌다는 점도 지적했다. 김 의원은 9월 30일 오전 내부 회의에서 정보보호 담당 임원이 로그 삭제를 언급했다는 제보를 제기했으나, 이환주 행장은 지시하거나 보고받은 적이 없다고 부인했다. 이 의혹은 사실로 확인되지 않았다.[15][60]
국회 제출자료에 따르면 이상징후를 인지한 뒤 은행장에게 보고되기까지 KB국민은행은 81시간 41분, NH농협은행은 47시간 46분, 우리은행은 47시간 18분, 하나은행은 19시간 50분, 신한은행은 14시간이 걸렸다. 다만 은행마다 공격 대상과 최초 이상징후, 실제 침해 여부가 달라 단순 비교하기는 어렵다.[61]
금융당국은 침해사고가 발생한 금융회사의 소비자 보호와 피해보상 조치도 관리·감독하고, 사고 원인과 공격 수법을 분석해 필요한 제도 개선 방안을 마련한다는 방침을 밝혔다.[3]
경찰청 사이버테러대응수사대는 10월 2일 은행권의 동시다발적인 정보 유출 사건에 대해 입건 전 조사에 착수했다. 조사 대상은 신한은행·KB국민은행·하나은행·BNK부산은행 등 당시 해킹 피해가 공식화된 4개 은행이다.[33]
10월 6일 경찰청 국가수사본부는 사건을 정식 수사로 전환하고 정보통신망법 위반 혐의로 입건했다고 밝혔다. 경찰청 사이버테러수사대를 전담수사팀으로 지정하고 4개 팀 28명을 투입했다.[36] 경찰은 10월 2일 출범한 중대범죄수사청에 사건을 통보할지 검토했으나, 피해 금융기관이 국가핵심기반에 해당하지 않아 의무 통보 대상은 아니라고 판단했다.[63]
경찰은 10월 7일 디지털포렌식과 국제공조 지원 인력 15명을 추가해 전담수사팀을 43명으로 확대했다. 10월 9일 이를 발표하면서 피해 시스템 분석과 공격 서버 차단을 위한 국제공조 수사를 병행하고 있다고 밝혔다.[44] 경찰은 사건 관련 IP 대다수가 공격 경로를 감추는 세탁용 주소라고 보고 국제공조를 진행하고 있으나, 상대국과의 신뢰를 이유로 구체적인 진행 상황은 공개하지 않았다.[64] 10월 22일 기준 공격자 특정이나 검거 소식은 발표되지 않았다.
경찰은 피해 금융회사의 업무지원시스템이 전자금융거래법상 전자금융기반시설에 해당하는지 금융위원회에 유권해석을 의뢰했다. 전자금융기반시설에 해당할 경우 관련 법규 위반 여부도 수사 대상이 될 수 있다.[36]
10월 13일 경찰청 전기통신금융사기 통합대응단은 금융권 해킹을 사칭한 보이스피싱·스미싱 등 2차 피해를 예방하기 위해 이동통신 3사 가입자 약 4,800만 명에게 10월 셋째 주부터 주의 문자를 순차 발송할 계획이라고 밝혔다.[65]
10월 7일 크라우드스트라이크는 공격자의 Claude Code 세션 기록에서 중국 광둥성 마오밍 거주 26세 인물과 관련된 것으로 보이는 이력서 작성 요청과 텔레그램 계정 등의 단서를 발견했다고 밝혔다. 같은 기록에는 한국에서 탈취한 정보를 판매할 경로를 문의한 내용도 포함돼 있었다. 크라우드스트라이크는 공격자가 중국어 사용자이며 금전적 동기를 가졌을 가능성을 중간 수준의 신뢰도로 평가했다.[39]
10월 8일 S2W는 금융당국이 공유한 공격 관련 IP 한 곳에서 ARTEX 관리 화면과 AI 모델 연결용 중계 프로그램이 함께 운영된 기록을 확인했다고 밝혔다. 해당 서버는 9월 초부터 가동된 것으로 분석됐으며, 공격에 사용된 주소 가운데 일부는 해외 임대 서버와 상용 프록시로 파악됐다. 다만 AI가 개인정보 탈취까지 수행했는지는 확인되지 않았다.[66]
다만 이력서에 입력된 정보가 실제 공격자의 신원인지 확인되지 않았으며, 중국인 공격자나 특정 조직의 소행으로 공식 확인된 것은 아니다. 경찰의 공격자 특정과 별개로 민간 보안업체가 확보한 기술적 단서라는 점에서 구분할 필요가 있다.[39]
10월 9일 공개된 민간 보안업체의 후속 분석에서는 ARTEX 관련 공격 인프라에서 발견된 텔레그램 식별자를 단서로 YY520CN 계정의 과거 활동이 추적됐다. 스텔스몰은 2023년 10월부터 2026년 2월까지 약 28개월에 걸친 텔레그램 채널·그룹 26개 이상과 메시지 23,358건을 분석해 해당 계정이 DDoS 공격대행, 익명 서버 판매, 공격 인프라 유통 등과 관련된 중국어권 사이버범죄 커뮤니티에서 활동한 정황을 제시했다.[67]
10월 10일 후속 분석에서는 관련 커뮤니티 운영진과 구성원 등 19개 계정으로 조사 범위가 확대됐다. 텔레그램·GitHub·과거 정보탈취 악성코드 감염 기록을 교차 분석해 연계 전화번호 2개와 IP 주소 3개를 추적 단서로 확보했다고 밝혔다. 분석에는 2021~2023년 RedLine·Raccoon 관련 감염 기록 3건과 계정정보가 포함된 파일 최소 101개의 유통 정황도 포함됐다.[68]
로그프레소의 10월 9일 기술 분석에서는 YY520CN 계정과 중국계 DDoS 공격대행 커뮤니티인 GodNet/VITAS 사이의 연관성이 제기됐다. 특히 2024년 9월 27일 공개된 커뮤니티 운영진 명단에 YY520CN이 커뮤니티 감독관(社区监督员)으로 기재된 사실을 제시했다. 또한 연관 계정 HangHang2017의 GitHub 활동과 과거 정보탈취 악성코드 감염 기록을 분석해 관련 이메일·도메인·Microsoft 365 테넌트 정보를 추적 단서로 제시했다.[69]
다만 YY520CN 계정 사용자는 해킹 관여를 부인하고 신원 도용 가능성을 주장한 것으로 전해졌다. 민간 보안업체가 확인한 계정 활동과 주변 인프라의 연관성이 해당 계정 사용자의 실제 금융권 공격 가담을 입증하는 것은 아니다. 또한 과거 감염 기록에서 확인된 IP 주소와 계정정보가 이번 금융권 공격에 직접 사용됐다는 사실도 확인되지 않았다.
2026년 10월 22일 기준 경찰이 YY520CN 또는 GodNet/VITAS를 이번 금융권 공격의 실제 범인이나 배후 조직으로 공식 특정했다는 발표는 확인되지 않았다. 따라서 해당 분석은 공격자 신원에 대한 확정적 수사 결과가 아닌 민간 위협 인텔리전스 조사에서 제시된 추적 단서로 구분해야 한다.
신한은행은 사고 인지 후 비상대책반과 전사적 비상대응체계를 가동하고 외부 IP 차단, 관련 서비스 중단, 신규 보안정책 적용 등의 조치를 취했다. 은행은 정보 유출로 고객에게 손해가 발생하는 경우 전액 보상하겠다고 밝혔다.[12]
KB국민은행은 비정상적인 외부 접근을 통한 정보 유출 가능성을 인지한 직후 해당 서버와 접근 경로를 차단하고, 정보가 유출된 고객에게 유출 사실과 2차 피해 예방 방법을 안내했다. 은행은 이번 유출로 고객 피해가 발생할 경우 전액 보상할 방침이라고 밝혔다.[13] 금융감독원은 KB국민은행 정기검사 현장의 IT검사반을 10월 1일부터 투입해 사고 경위와 피해 상황을 파악했다.[18]
하나은행은 피해 고객에게 개별 통보를 진행하고 있으며, 정보 유출로 실제 피해가 발생할 경우 관련 규정에 따라 전액 보상하겠다고 밝혔다. 해당 은행은 인터넷·모바일뱅킹 거래 시스템과 공격받은 영업지원시스템이 별도 채널이라고 설명했다.[7] 후속 침해사고 보고서에 따르면 하나은행은 관련 IP와 유사 시스템을 긴급 차단·점검하고 긴급대응 태스크포스(TF)를 구성했다.[6]
BNK부산은행은 개인정보가 표시된 웹페이지를 차단해 외부 접속을 제한하고 추가 이상 징후를 확인하기 위한 모니터링을 진행하고 있다. 후속 발표에 따르면 노출 정보는 외주 개발직원 11명의 성명·전화번호·생년월일·이메일 주소이며 고객정보 유출은 확인되지 않았다. 은행은 외부 공개 웹페이지를 전수조사하고 AI 기반 공격 감시와 공격표면관리(Attack Surface Management, ASM) 방식의 점검을 강화하고 있다.[8][2]
10월 19일 국정감사에서 이환주 KB국민은행장은 신속하게 차단하고 대응하지 못한 점이 아쉽다며 AI 시대 공격에 맞는 예산과 인력을 확보하겠다고 밝혔다. 이호성 하나은행장은 수수료 면제와 금융안심보험 가입 등 2차 피해 예방 조치를 설명하고 피해가 생기면 전액 배상하겠다고 말했다. 피해가 없었던 정진완 우리은행장은 하루 200건 이상의 공격이 들어온다며 피해가 없었던 것은 운이 좋았기 때문이라고 답했다.[58][60]
OK저축은행은 2차 유출 뒤 계좌조회서비스와 세션 관리 방어 기능을 보완하고 이상행위 탐지·차단 솔루션을 긴급 적용했으며, 피해 고객에게 문자와 이메일로 개별 통지했다.[27]
KB국민은행은 공격받은 직원용 모바일 업무지원시스템이 인터넷뱅킹·모바일뱅킹 등 고객 금융거래 시스템과는 무관하다고 설명했다.[13] 하나은행 역시 공격받은 영업지원시스템이 인터넷·모바일뱅킹 거래 시스템과 별도 채널이며 고객 금융거래 정보 유출과는 관련이 없다고 밝혔다.[7]
신한은행도 사고가 대출모집인용 별도 서비스에서 발생했으며 고객이 사용하는 '신한 슈퍼SOL' 등 정식 인증 기반의 고객용 뱅킹 애플리케이션과는 무관하다고 설명했다.[12]
금융보안원 역시 이번 공격의 주요 유형이 금융회사의 핵심 시스템을 장악한 형태라기보다는 외부에서 접근 가능한 취약한 직원·협력사용 시스템 등에 접근해 정보를 조회·탈취한 방식이라고 설명했다.[2][9]
따라서 2026년 10월 22일까지 공개된 조사 결과에서는 은행의 핵심 계좌 원장이나 인터넷·모바일뱅킹 거래망 자체가 침해돼 고객 예금이나 거래정보가 직접 탈취됐다는 사실은 확인되지 않았다.[12][13][7][2] 다만 금융당국과 경찰의 사고 원인 및 침해 범위 조사가 진행 중이므로 최종 피해 범위는 향후 조사 결과에 따라 달라질 수 있다.[3][36]
금융보안원 조사에 따르면 이번 공격과 유사한 침해 시도는 피해가 확인된 은행들에 국한되지 않았다. 10월 4일까지 신한·KB국민·하나·BNK부산은행 외에 예가람저축은행·웰컴저축은행·현대캐피탈에서도 침해사고가 확인됐다.[9]
금융당국은 이들 7개 금융회사의 사고에서 공격 IP의 연관성과 유사한 공격 수법을 확인하고 조사하고 있다. 다만 시중은행을 공격한 IP와 저축은행·캐피탈사를 공격한 IP는 서로 다른 것으로 파악돼, 모든 사고가 동일한 공격자에 의해 수행됐다고 확정된 것은 아니다.[9]
7개사 이외의 금융회사에서도 침해 시도가 확인됐으나, 금융당국은 다중인증체계 도입 여부와 알려진 취약점에 대한 사전 조치 여부 등에 따라 실제 침해 여부가 갈린 것으로 파악했다.[9]
10월 6일 저축은행업권에 대한 점검 결과를 인용한 보도에서는 저축은행 79개사의 해킹 관련 전수점검에서 예가람저축은행과 웰컴저축은행 외에 추가 피해가 확인되지 않았다고 전했다. 두 회사의 사고는 저축은행중앙회 공동전산망이 아닌 별도로 운영되는 서비스 또는 외부 시스템에서 발생한 것으로 파악됐다. 다만 이는 당시 점검 결과이며, 향후 추가 조사를 통해 피해 현황이 달라질 가능성은 남아 있다.[16]
10월 13일에는 초기 공격을 차단했던 새마을금고중앙회가 10월 10일의 별도 공격으로 공제회원 400명대의 개인정보가 유출됐다고 밝혔다. 이 후속 공격과 앞선 은행권 공격의 동일 공격자·ARTEX 연관성은 확인되지 않았다.[24]
10월 14일 금융위원회가 밝힌 16개사에는 7개사 외에 DB·OK저축은행, 산은캐피탈, 온라인투자연계금융업자인 피에프씨테크놀로지스·모우다, 전자금융업자 브라이트픽스, 가상자산사업자 스트리미(고팍스 운영사)·프라뱅, 새마을금고중앙회가 포함됐다. 금융당국은 공유된 공격자 IP로 추가 침해 여부를 확인하고 있어 피해 회사 수가 더 늘어날 수 있다고 밝혔다.[1][10] 다만 이 가운데 스트리미 사례처럼 다른 곳에서 유출된 계정정보를 이용한 접근 시도도 포함돼 있어, 16개사 모두가 같은 공격자나 같은 도구의 공격을 받은 것으로 볼 근거는 공개되지 않았다.[29]
금융당국은 이번 사고 이전부터 고성능 AI가 사이버 공격에 활용될 위험성을 검토하고 있었다. 금융위원회는 2026년 9월 3일 금융감독원·금융보안원과 개최한 '프런티어 AI 상황대응반' 회의에서 AI를 활용하면 광범위하고 신속하게 취약점을 탐색할 수 있다는 점이 자체 테스트에서 확인되고 있다고 밝히고, 금융회사가 보안 목적으로 AI를 활용할 수 있도록 망분리 규제를 긴급 완화하는 방안을 추진했다.[70]
금융감독원도 사고에 앞서 8월 24일, 9월 4일, 9월 15일 세 차례 금융권에 사이버 공격과 외부 노출 시스템의 취약점에 관한 보안 권고를 전달했다.[71] 국회 제출자료에 따르면 KB국민은행은 2025년 정보보호 예산 676억 1,300만 원 중 392억 9,700만 원을 집행해 283억 1,600만 원(41.9%)이 미집행됐으나, 이 미집행이 이번 사고의 직접적인 원인으로 확인된 것은 아니다.[72]
이번 연쇄 사고 이후 금융위원회가 외부 노출 시스템 전체에 대한 점검과 금융회사 간 위협정보 공동 대응을 요구하면서, 기존의 핵심 전산망 중심 보안뿐 아니라 외부에 노출된 보조 업무시스템까지 포함한 공격 표면 관리가 금융권의 주요 대응 과제로 부상했다.[3]
2026년 10월 22일 기준 다음 사항은 금융당국·경찰 및 각 금융회사의 최종 조사 결과가 공개되지 않아 확정되지 않았다.[3][36][2][9][39]
- 각 금융회사 공격의 정확한 최초 침입 경로와 이용된 취약점
- ARTEX가 각 공격 과정의 어느 단계에서 어떤 기능을 수행했는지
- KB국민은행·하나은행·BNK부산은행 등 개별 금융회사 공격에서 ARTEX가 사용된 구체적인 범위
- 각 사고가 동일한 공격자 또는 공격 조직에 의해 수행됐는지 여부
- 확인된 공통 공격 인프라가 하나의 공격 캠페인에 속하는지 여부
- 공격자의 국적·소속·동기 및 Claude Code 기록에서 발견된 신원 단서의 진위
- 추가로 유출된 정보 또는 아직 발견되지 않은 피해의 존재 여부
- 경찰 수사를 통한 공격자 특정 및 공격 인프라·배후 조직 규명 여부
- 침해된 업무지원시스템의 전자금융거래법상 전자금융기반시설 해당 여부
- 금융당국의 법규 위반 여부 판단과 향후 제재 또는 제도 개선 내용
- 은행장 등 경영진에 대한 책임 추궁 범위와 징계 수위
- KB국민은행 내부 회의에서 로그 삭제가 언급됐다는 의혹의 사실 여부와 2차 공격 유출 인원(81명)의 산정 관계
- 16개사 각각의 유출 규모와 회사별 공격 방식
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 금융위원회, 「금융권 침해사고 재발방지를 위해 금융보안 관리체계를 전면 강화하겠습니다」, 2026년 10월 14일, https://www.fsc.go.kr/no010101/87927.
- ↑ 2.00 2.01 2.02 2.03 2.04 2.05 2.06 2.07 2.08 2.09 2.10 2.11 2.12 2.13 2.14 2.15 2.16 2.17 2.18 2.19 헤럴드경제, 「[단독] 은행 연쇄 해킹 도구는 중국 ‘아르텍스 AI’…해커가 사용했다」, 2026년 10월 3일, https://v.daum.net/v/20261003123315260.
- ↑ 3.00 3.01 3.02 3.03 3.04 3.05 3.06 3.07 3.08 3.09 3.10 금융위원회, 「최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다. - 금융위원회 사무처장 주재 「긴급 상황대응 회의」 개최」, 2026년 10월 2일, https://www.fsc.go.kr/po010101/87869.
- ↑ 4.0 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 국민일보, 「신한보다 먼저 해킹 공격받은 KB국민은행, 보안 대응 ‘시험대’」, 2026년 10월 3일, https://v.daum.net/v/20261003060343705.
- ↑ 5.00 5.01 5.02 5.03 5.04 5.05 5.06 5.07 5.08 5.09 5.10 5.11 동아일보, 「[단독]신한銀 해킹, 30시간 파상 공격으로 2만5729명 정보 빼갔다」, 2026년 10월 2일, https://www.donga.com/news/Economy/article/all/20261002/134776431/1.
- ↑ 6.0 6.1 6.2 6.3 6.4 6.5 국민일보, 「[단독] 하나은행 해킹 10시간 넘게 이어져… 해당 IP 긴급 차단」, 2026년 10월 4일, https://v.daum.net/v/20261004111612117.
- ↑ 7.0 7.1 7.2 7.3 7.4 7.5 7.6 7.7 7.8 연합뉴스, 「하나은행도 AI 해킹 뚫렸다…89명 개인정보 유출(종합)」, 2026년 10월 2일, https://www.yna.co.kr/view/AKR20261002160251002.
- ↑ 8.0 8.1 8.2 8.3 8.4 8.5 8.6 8.7 8.8 뉴스핌, 「BNK부산은행 외주 개발직원 11명 개인정보 유출」, 2026년 10월 2일, https://www.newspim.com/news/view/20261002001276.
- ↑ 9.00 9.01 9.02 9.03 9.04 9.05 9.06 9.07 9.08 9.09 9.10 9.11 9.12 9.13 9.14 9.15 9.16 9.17 9.18 9.19 9.20 9.21 9.22 9.23 연합뉴스, 「"금융사 해킹사고, 동일 공격 IP 여러 곳 발견…AI활용 추정"(종합)」, 2026년 10월 4일, https://www.yna.co.kr/view/AKR20261004027951002.
- ↑ 10.00 10.01 10.02 10.03 10.04 10.05 10.06 10.07 10.08 10.09 데일리안, 「금융권 해킹 피해 16개사로 확대…개인정보 10만건 유출」, 2026년 10월 14일, https://www.dailian.co.kr/news/view/1701491/.
- ↑ 11.0 11.1 11.2 11.3 11.4 11.5 파이낸셜뉴스, 「'고객정보 10만건 유출' 금융사 해킹 사고 16개사 확인..."보안관리 개편 추진"(종합)」, 2026년 10월 14일, https://www.fnnews.com/news/202610141843588283.
- ↑ 12.0 12.1 12.2 12.3 12.4 12.5 12.6 12.7 12.8 연합뉴스, 「신한은행서 2만5천명 고객정보 유출…금융당국 긴급 현장조사(종합)」, 2026년 10월 1일, https://www.yna.co.kr/view/AKR20261001065851002.
- ↑ 13.0 13.1 13.2 13.3 13.4 13.5 13.6 13.7 연합뉴스, 「신한 이어 KB국민은행도 해킹당해…119명 고객정보 유출(종합)」, 2026년 10월 2일, https://www.yna.co.kr/view/AKR20261002086351002.
- ↑ 14.0 14.1 연합뉴스, 「신한은행 해킹에 AI 동원됐나…서버서 '중국어 침투도구' 흔적(종합)」, 2026년 10월 2일, https://www.yna.co.kr/view/AKR20261002042351017.
- ↑ 15.0 15.1 15.2 뉴스토마토, 「국민은행, 해킹 80시간 지나 유출 확인…늑장 보고에 로그 삭제 의혹까지」, 2026년 10월 19일, https://newstomato.com/ReadNews.aspx?no=1317252.
- ↑ 16.0 16.1 16.2 16.3 16.4 뉴스핌, 「저축은행 79곳 해킹 전수점검…웰컴·예가람 외 추가 피해 없었다」, 2026년 10월 6일, https://www.newspim.com/news/view/20261006001075.
- ↑ 17.0 17.1 17.2 17.3 연합뉴스, 「AI로 상호금융까지 광범위 공격…"해킹 시도 훨씬 많을 수도"(종합)」, 2026년 10월 4일, https://www.yna.co.kr/view/AKR20261003042451002.
- ↑ 18.0 18.1 18.2 18.3 18.4 연합뉴스, 「금융감독원, ‘해킹 유출’ 예가람·웰컴저축은행 현장점검(종합)」, 2026년 10월 13일, https://www.yna.co.kr/view/AKR20261012175251002.
- ↑ 19.0 19.1 19.2 데일리안, 「해킹당하고도 몰랐다…웰컴저축은행·현대캐피탈, 닷새 뒤에야 인지」, 2026년 10월 7일, https://www.dailian.co.kr/news/view/1698564.
- ↑ 20.0 20.1 연합뉴스, 「웰컴저축銀 법인고객 정보 2천여건 유출…온투업 2곳도 정보유출(종합)」, 2026년 10월 4일, https://www.yna.co.kr/view/AKR20261004022451002.
- ↑ 21.0 21.1 중앙일보, 「[단독]현대캐피탈, 신한보다 먼저 털리고도 5일간 ‘깜깜이’…보안원 지적에 ‘첫 인지’」, 2026년 10월 6일, https://www.koreadaily.com/article/20261006012452200.
- ↑ 연합뉴스, 「온투업까지 손 뻗은 해킹…'보안 기본기'가 피해 여부 갈랐다」, 2026년 10월 5일, https://www.yna.co.kr/view/AKR20261004042700002.
- ↑ 23.0 23.1 23.2 연합뉴스, 「토뱅 이어 카뱅·케뱅에도 서버 접근…시중은행 해킹 IP와 동일(종합)」, 2026년 10월 6일, https://www.yna.co.kr/view/AKR20261006087751002.
- ↑ 24.0 24.1 24.2 24.3 24.4 연합뉴스, 「새마을금고, 400명대 고객정보 유출…"피해발생시 전액보상"(종합)」, 2026년 10월 13일, https://www.yna.co.kr/view/AKR20261013155951002.
- ↑ 25.0 25.1 머니투데이, 「새마을금고도 AI 해킹 피해… 공제회원 400명대 신용정보 유출」, 2026년 10월 13일, https://www.mt.co.kr/finance/2026/10/13/2026101317052415718.
- ↑ 26.0 26.1 CEO스코어데일리, 「OK저축은행 "고객 250명 개인정보 유출…관련 피해접수·상담 지원 예정"」, 2026년 10월 15일, https://m.ceoscoredaily.com/page/view/2026101509584324695.
- ↑ 27.0 27.1 27.2 27.3 SBS Biz, 「OK저축은행 "해킹 정보 유출 최종 518명"…2배 이상 증가」, 2026년 10월 16일, https://biz.sbs.co.kr/amp/article/20000340489.
- ↑ 28.0 28.1 28.2 SBS Biz, 「OK저축은행 나흘 만에 또 해킹…금감원 현장점검 착수」, 2026년 10월 18일, https://biz.sbs.co.kr/amp/article/20000340584.
- ↑ 29.0 29.1 29.2 바이라인네트워크, 「고팍스, 일부 계정 비정상 접근…“자산 피해 없어”」, 2026년 10월 14일, https://byline.network/2026/10/1014-5/.
- ↑ 30.0 30.1 머니투데이방송, 「금융사 해킹 가상자산거래소로 확산…고팍스·프라뱅도 포함」, 2026년 10월 14일, https://news.mtn.co.kr/article/2026101423081739211.
- ↑ 31.0 31.1 31.2 뉴스토마토, 「보험·증권도 AI 활용 침투 흔적…금융권 해킹 위협 확산」, 2026년 10월 5일, https://www.newstomato.com/ReadNews.aspx?no=1315669.
- ↑ 32.0 32.1 32.2 32.3 뉴스1, 「"8개국 IP까지 동원"…은행 4곳 덮친 무차별 해킹 전말[AI 해킹 쇼크]①」, 2026년 10월 5일, https://www.news1.kr/finance/general-finance/6310460.
- ↑ 33.0 33.1 연합뉴스, 「경찰, '은행권 전방위 AI 해킹사건' 즉각 내사 착수」, 2026년 10월 2일, https://www.yna.co.kr/view/AKR20261002176000004.
- ↑ 34.0 34.1 34.2 34.3 34.4 34.5 PLURA, 「[1보] 금융권 해킹 공격 IOC: ARTEX AI 관련 공개 지표와 즉시 점검 항목」, 2026년 10월 3일, https://blog.plura.io/ko/respond/financial-sector-hacking-ioc-artex-1st-report/, 확인일: 2026-10-22.
- ↑ 35.0 35.1 35.2 연합뉴스, 「금감원 "금융권 해킹 공격 주소 28개 전파…국가 정보도 공유"(종합)」, 2026년 10월 6일, https://www.yna.co.kr/view/AKR20261006071451002.
- ↑ 36.0 36.1 36.2 36.3 36.4 연합뉴스, 「경찰, 금융기관 해킹 정식수사로 전환…중수청 통보 검토(종합)」, 2026년 10월 6일, https://www.yna.co.kr/view/AKR20261006022251004.
- ↑ 37.0 37.1 뉴스핌, 「금감원, 신한은행 개인정보 유출 현장 검사 전환」, 2026년 10월 6일, https://www.newspim.com/news/view/20261006001443.
- ↑ 38.0 38.1 SBS Biz, 「금감원, '2.5만명 정보 유출' 신한은행 검사 전환…20일까지 진행」, 2026년 10월 6일, https://biz.sbs.co.kr/amp/article/20000338583.
- ↑ 39.00 39.01 39.02 39.03 39.04 39.05 39.06 39.07 39.08 39.09 CrowdStrike, 「Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance」, 2026년 10월 7일, https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/, 확인일: 2026-10-22.
- ↑ 40.0 40.1 40.2 40.3 40.4 40.5 40.6 PLURA, 「[2보] 금융권 해킹 공격 IOC: 공격자 IP 19개 · ARTEX User-Agent 3종」, 2026년 10월 7일, https://blog.plura.io/ko/respond/financial-sector-hacking-ioc-artex-2nd-report/, 확인일: 2026-10-22.
- ↑ 41.0 41.1 41.2 41.3 뉴데일리, 「SK쉴더스, 'Shadow IT' 노린 AI 공격 분석 … "기존 공격을 자동화·고도화한 사례"」, 2026년 10월 8일, https://biz.newdaily.co.kr/site/data/html/2026/10/08/2026100800047.html.
- ↑ 42.0 42.1 머니투데이방송, 「금융권 연쇄 해킹에…5대 은행장, 국감 증인대 선다」, 2026년 10월 8일, https://news.mtn.co.kr/article/2026100810402099779.
- ↑ 43.0 43.1 서울경제TV, 「금융권 해킹에 쓰인 AI 도구 '아르텍스', 공개 개발 중단」, 2026년 10월 10일, https://www.sentv.co.kr/article/view/sentv202610100020.
- ↑ 44.0 44.1 YTN, 「경찰, '금융권 해킹' 전담수사팀 규모 확대..."국제 공조 수사"」, 2026년 10월 9일, https://www.ytn.co.kr/_ln/0103_202610091157599915.
- ↑ 45.0 45.1 이코노미스트, 「금융권 연쇄 해킹에 포착 '아르텍스', 상용화 버전이 나온다니...」, 2026년 10월 16일, https://economist.co.kr/article/view/ecn202610160007.
- ↑ 46.0 46.1 46.2 머니투데이, 「'해킹사고' 국감장 불려나온 5대 은행장..이찬진 " CEO 책임 묻겠다" 징계 예고 '파장'」, 2026년 10월 19일, https://www.mt.co.kr/article/2026101916510465344.
- ↑ 한겨레, 「금융보안원 ‘보호망’ 문제?…서비스 받는 은행들 해킹당해」, 2026년 10월 6일, https://v.daum.net/v/20261006182703536.
- ↑ Autumn-27, 「ARTEX: AI 自主渗透测试系统」, GitHub, https://github.com/Autumn-27/ARTEX, 확인일: 2026-10-03.
- ↑ 지디넷코리아, 「은행권, AI 해킹 가시화…"AI 위협, 국가적으로 대비해야"」, 2026년 10월 3일, https://v.daum.net/v/20261003054700372.
- ↑ 연합뉴스, 「은행 해킹에 등장한 'ARTEX AI'…전세계 600개 IP서 확인」, 2026년 10월 6일, https://www.yna.co.kr/view/AKR20261006118100017.
- ↑ 51.0 51.1 연합뉴스, 「AI해킹 알고도 당한 금융권…사고 2주전에도 '노출자산' 경고」, 2026년 10월 11일, https://www.yna.co.kr/view/AKR20261010027300002.
- ↑ 한국일보, 「금융기관 해킹 IP 대부분은 '세탁용'… 경찰 '공격 IP' 추적에 수사 속도」, 2026년 10월 7일, https://www.hankookilbo.com/news/article/A2026100713370003237.
- ↑ 조선비즈, 「이억원 “해킹에 기본적으로 미흡...금융사별 추가 점검 보고 받을 것”」, 2026년 10월 8일, https://biz.chosun.com/stock/finance/2026/10/08/C64J2N5EN5ERVMJINAQG47WBIE/.
- ↑ 54.0 54.1 54.2 연합뉴스, 「'해킹사고' 2차 피해 소비자경보 발령…한 달간 특별 대응한다」, 2026년 10월 6일, https://www.yna.co.kr/view/AKR20261006148000002.
- ↑ 연합뉴스, 「서천호 “방미통위가 '적합' 승인한 은행들, 정보 유출”」, 2026년 10월 12일, https://www.yna.co.kr/view/AKR20261012077200001.
- ↑ 토요경제, 「산은캐피탈·고팍스도 침해사고…금융사 130곳 보안관리 미흡」, 2026년 10월 15일, https://sateconomy.co.kr/news/view/1065565336962999.
- ↑ CEO스코어데일리, 「OK저축·새마을금고·고팍스까지 '뚫렸다'…금융권 연쇄 해킹 일파만파」, 2026년 10월 15일, https://ceoscoredaily.com/page/view/2026101515474424788.
- ↑ 58.0 58.1 파이낸셜뉴스, 「"연임 자격 있나"…5대 은행장, 국회서 해킹 피해 사과(종합)」, 2026년 10월 19일, https://www.fnnews.com/news/202610191931140502.
- ↑ 비즈워치, 「이찬진 "해킹 피해 원인, 기본 차이…공격 노출 표면 전수조사"」, 2026년 10월 19일, https://news.bizwatch.co.kr/article/finance/2026/10/19/0013.
- ↑ 60.0 60.1 스마트투데이, 「해킹에 국감 불려온 5대 시중은행장 "피해 재발 막겠다"」, 2026년 10월 19일, https://www.smarttoday.co.kr/ko-kr/articles/112891.
- ↑ 토요경제, 「[국감] 은행 해킹, CEO 책임 첫 시험대」, 2026년 10월 19일, https://sateconomy.co.kr/news/view/1065611256947428.
- ↑ 아이뉴스24 보도 전재(stockhub), 「[단독] 개보위, 신한은행·예가람저축은행 해킹 사건 '중요사건' 지정」, 2026년 10월 8일, https://stockhub.kr/news/news_be9d8734c94c.
- ↑ YTN, 「경찰, '금융권 해킹' 정식 수사...중수청 통보 검토」, 2026년 10월 6일, https://www.ytn.co.kr/_ln/0103_202610061445249108.
- ↑ 이코노미스트, 「'금융권 해킹 잡는다'는 경찰, 그동안 공격 주체 확인 단 2건」, 2026년 10월 9일, https://economist.co.kr/article/view/ecn202610090005.
- ↑ SBS, 「해킹 피해에 보이스피싱까지 우려…경찰, 대국민 주의 문자」, 2026년 10월 13일, https://news.sbs.co.kr/news/endPage.do?news_id=N1008794335.
- ↑ 파이낸셜뉴스, 「국내 금융사 턴 해커, 훔친 정보 판매처까지 찾아봤다」, 2026년 10월 8일, https://www.fnnews.com/news/202610081825391128.
- ↑ 데일리시큐, 「[단독] 한국 금융사 해킹 용의자 28개월간 행적 추적...공격대행·해커 커뮤니티 운영 정황 드러나」, 2026년 10월 9일, https://www.dailysecu.com/news/articleView.html?idxno=208807.
- ↑ 데일리시큐, 「[단독] 금융권 해킹 용의자 주변 인물 추적 결과...텔레그램·깃허브·악성코드 기록서 연결고리 발견」, 2026년 10월 10일, https://www.dailysecu.com/news/articleView.html?idxno=208814.
- ↑ 매일신문, 「'도용당했다'는 韓금융권 해킹 용의자 계정…中디도스 조직 '감독관' 활동 정황도」, 2026년 10월 9일, https://www.imaeil.com/page/view/2026100922382924196.
- ↑ 금융위원회, 「보다 다양한 금융회사들이 AI 보안위협에 철저히 대비할 수 있도록 제2차 망분리 규제 긴급 완화 조치를 추진합니다」, 2026년 9월 3일, https://fsc.go.kr/po010104/87646.
- ↑ 뉴시스, 「8월부터 금융권 해킹 경고 있었다…국가배후 조직 공격도 포착」, 2026년 10월 8일, https://www.newsis.com/view/NISX20261008_0003818311.
- ↑ 비즈중앙, 「신한은행, 해킹 사전 경고에도 정보유출…보안예산도 10% 축소」, 2026년 10월 12일, https://www.bizjoongang.co.kr/news/articleView.html?idxno=54875.