최근 은행권 개인정보 유출 사고와 관련해 피해자들의 집단소송 움직임이 나타나고 있는 가운데 7일 서울 시내에 주요 은행들의 현금인출기(ATM)가 설치돼 있다. 연합뉴스 한국 금융권 해킹 공격의 배후로 중국 광둥성에 거주하는 26세 해커가 지목됐다. 이 해커는 홍콩 소재 서버를 주 통제 인프라로 삼고 별도 서버에서 한국 공격을 수행한 것으로 알려졌다. 중국 인공지능(AI) 모델 ‘딥시크’를 주로 활용한 정황도 드러났다. 7일(현지시간) 글로벌 사이버보안 기업 크라우드스트라이크가 공개한 분석 보고서에 따르면 해커는 중국 광둥성에 거주하는 26세 인물일 가능성이 높다. 다만 이는 정황에 따른 추정이며 확정적 신원 특정은 아니다.
이번 단서는 해커가 생성형 인공지능(AI) 코딩 도구 ‘클로드 코드’를 사용하는 과정에서 노출됐다. 그는 클로드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했다. 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보가 함께 입력됐다고 한다.
해커는 탈취한 한국 금융 정보를 통상 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 클로드에 질문한 것으로 파악됐다.
보고서는 해당 텔레그램 계정이 다른 사이버 공격 사건에서도 동일하게 발견됐다고 설명했다.
크라우드스트라이크는 이 같은 교차 정황을 근거로 해당 해커가 한국 금융권 해킹을 저지른 인물과 동일 인물일 가능성을 제시했다. 다만 현재까지 확보된 정보만으로는 신원을 단정할 수 없다는 점도 분명히 했다.
앞서 크라우드스트라이크는 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌으며, 해커는 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 ‘아르텍스’(ARTEX)와 대규모언어모델(LLM)을 함께 활용했다고 분석한 바 있다.
해킹 사태는 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 잇따라 개인정보 침해 사고가 확인되면서 불거졌다.
금융당국에 따르면 시중은행과 저축은행·캐피탈사를 공격한 인터넷주소(IP)는 서로 달랐지만, 동일한 공격자가 IP를 바꿔가며 유사한 수법으로 여러 금융사를 공격한 정황이 드러났다.