AI 해킹 주장, 당국 문서에는 'AI' 표현 자체가 없다

조선비즈는 5대 은행이 모두 해킹을 받았다는 제목으로 사건을 보도했습니다. 경향신문 역시 AI 수법 여부에 대해 "아직 확인되지 않았다"고 전했습니다. 금융위원회와 금융감독원의 공식 문서에는 'AI'라는 표현이 없고, "공격 유형과 수법을 면밀 분석하는 단계"로만 기술되어 있습니다. 즉 'AI 해킹'이라는 표현은 보안업계의 정황 추정이지, 당국이 인정한 수법은 아닙니다.

실제 수법은 '새로운 기법'이 아니라 크리덴셜 스터핑

연합뉴스 AI프리즘은 실제 공격 수법인 크리덴셜 스터핑이 그 자체로 새로운 공격 기법은 아니라고 지적했습니다. 연합뉴스는 ARTEX AI라는 LLM 침투 도구 문자열이 확인됐지만, 실제 공격에 사용됐는지는 금융당국이나 신한은행 등 공식 기관을 통해 확인되지 않았다고 보도했습니다. 하나은행의 경우 89명의 개인정보가 유출된 것으로 알려졌습니다.

'비상' 태세 자체는 AI 여부와 무관하게 사실로 발생

통념과 어긋나는 지점은 공격의 '새로움'보다 대응의 규모입니다. 금융당국은 긴급 회의를 열었고 경찰은 내사에 착수했는데, 이런 태세는 AI 사용 여부와 무관하게 실제로 이뤄졌습니다. 다만 신한은행의 공지 원본 페이지와 일부 은행 뉴스룸 주소는 접속되지 않아 은행 측 직접 확인은 이뤄지지 않았습니다. 유출 규모와 공격 주체, 국가 배경으로 추정되는 중국어 흔적 역시 당국 분석이 진행 중인 상태로 아직 확정되지 않았습니다.

사건은 발생 당일 기준 진행 중이며, 개인정보보호위원회의 공식 발표는 아직 확인되지 않았습니다. 공격에 AI가 실제로 쓰였는지는 당국의 수법 분석 결과가 나와야 가려질 것입니다. 지금까지의 자료는 '5대 은행 공격과 금융권 비상 태세'라는 골격이 대체로 사실임을 보여주지만, AI 수법이라는 수식어는 아직 검증 전 단계에 머물러 있습니다.