금융권 연쇄 해킹, 20대 中 해커 소행 정황…유출 정보 팔 곳도 AI에 물었다

[서울=뉴시스]윤정민 기자 = 글로벌 보안기업이 최근 국내 금융권 연쇄 해킹을 추적해 20대 중국계 해커 소행 가능성을 시사하는 정황을 발견했다. 유출 정보를 어디서 팔 수 있는지 AI에 물은 기록도 확인했다.

크라우드스트라이크는 7일(현지 시간) 한국 금융기관을 겨냥한 AI 기반 침투 도구 '아르텍스(ARTEX)' 활용 공격 분석 보고서를 공개하며 이같이 밝혔다.

크라우드스트라이크는 최근 국내 금융기관 여러 곳에서 정보 유출이 발생했다는 업계 동향을 주목했다. 공격 관련 서버에서 아르텍스 문구가 발견됐다는 보도에 이어 서버에 공개된 파일을 분석해 AI 활용 정황을 추적했다.

회사는 아르텍스가 설치된 공격 관련 서버에서 AI에 침투 테스트 수행 방법을 지시하는 중국어 문서를 발견했다. 문서에 등장한 홍콩 소재 서버를 추가 분석해 외부에서 열람할 수 있는 파일 보관 경로에서 '클로드 코드' 대화 이력과 아르텍스 설정 파일, AI가 참고하는 메모리 파일 등을 확보했다.

회사에 따르면 이 기록에는 지난달 말부터 이달 초까지 아르텍스와 거대언어모델(LLM)을 활용해 한국 금융기관을 겨냥한 활동이 담겼다.

공격자 신원을 추정할 단서는 AI에 이력서 작성을 요청한 대화에서 나왔다. 해당 사용자는 아르텍스 관련 활동 성과를 담은 보안 연구자 이력서를 만들어 달라고 요청하면서 나이를 26세로, 거주지를 중국 광둥성 마오밍시로 입력했다. 학력으로 화남이공대를 제시했으며 연락처와 텔레그램 계정 정보도 포함했다.

해당 텔레그램 계정 정보의 경우 중국 결제 플랫폼으로 추정되는 서비스를 겨냥한 신원 미상 공격자가 사용한 사용자명과 일치했다.

하지만 이 공격자가 처음 입력한 생년월일은 2007년 9월 22일이었다. 보고서 공개 시점 기준 만 19세에 해당해 이후 제시한 26세와 맞지 않았다.

크라우드스트라이크는 해당 정보가 아르텍스 관련 활동을 수행한 공격자 정보일 가능성은 있지만 현재 확보한 자료만으로는 확정할 수 없다고 설명했다.

회사는 중국에서 개발된 아르텍스 사용과 중국어 지시문 등을 근거로 공격자가 중국어를 사용하며 금전적 이익을 노렸을 가능성이 있다고 분석했다. 다만 이를 확신할 수준은 아니라고 평가했다.

확보한 기록에서는 공격에 활용된 서버 구성과 AI 모델도 확인됐다. 홍콩 소재 서버가 공격자의 주된 작업 기반으로 쓰였고 다른 서버에서는 아르텍스가 실행된 것으로 나타났다. 회사는 이 서버의 아르텍스가 한국 금융기관 공격에 사용됐을 가능성이 있다고 분석했다.

아르텍스에 연결된 주 AI 모델은 '딥시크 V4.1 플래시'였다. AI 코딩 도구인 '클로드 코드'의 추가 작업에는 'GLM-5.3'과 '그록 4.6'도 사용됐다.

크라우드스트라이크는 공격 관련 활동에 쓰인 프록시 IP 주소 9개도 공개했다. 프록시는 다른 서버를 거쳐 요청을 보내는 방식으로 공격자가 실제 접속 위치를 숨기는 데 활용할 수 있다.

AI 활용은 유출 정보 판매처를 찾는 작업으로도 이어졌다. 공격자는 AI에 한국 유출 정보가 통상 어디에서 거래되는지 물었으며 한국 데이터를 판매하는 텔레그램 그룹을 찾는 일도 도와달라고 요청했다.

크라우드스트라이크는 이번 활동이 금전적 이익을 노리는 공격자가 AI 도구를 활용해 짧은 기간에 여러 침입을 수행할 수 있음을 보여준다고 평가했다.

또 앞으로도 공격자들이 공격 속도와 능력을 높이기 위해 AI 도구를 접목하는 실험을 이어갈 가능성이 높다고 전망했다.


◎공감언론 뉴시스 [email protected]