무신사의 29CM, 강남언니, 신한은행에서 잇따라 고객 개인정보 유출 사고가 발생했습니다. 공격자는 서버에 몰래 침입하는 대신, 정상적으로 열려 있는 웹서비스나 API(앱과 서버가 정보를 주고받는 통로)에 접근해서 조회 조건값을 바꿔가며 다른 사람의 정보를 빼간 것으로 보입니다. 금융보안원은 이 공격들 뒤에 중국어 기반 오픈소스 AI 자율 침투 도구 'ARTEX'가 사용된 정황을 확인했고, 다수의 국내 금융회사를 대상으로 자동화된 공격이 광범위하게 진행 중이라며 모니터링 강화를 권고했습니다. 로그인했다는 사실(인증)과 그 정보를 볼 권한이 있다는 사실(인가)은 다르며, 이번 사고들은 서버가 이 권한 확인을 제대로 하지 않아 발생한 것으로 분석됩니다. 공격자가 IP를 계속 바꿔가며 공격하기 때문에 IP 차단만으로는 근본적인 방어가 어려워, 기업들은 API 접근 로그를 다시 점검해야 한다는 경고가 나옵니다.
29CM, 강남언니, 신한은행에서 외부인이 개인정보 조회 API에 비정상 접근해 각각 수만~수십만 건의 고객정보를 유출했으며, 금융보안원은 AI 자율 침투 도구 ARTEX를 이용한 광범위한 금융권 공격 정황을 확인했다.
29CM 약 16만 건, 강남언니 약 22만 건, 신한은행 약 2만5천 명의 개인정보가 유출됐고, 여러 금융회사가 동일한 공격자의 탐색 대상이 됐을 가능성이 있다.
서버가 사용자의 로그인 여부(인증)만 확인하고, 조회 요청값(고객번호·주문번호 등)에 대한 접근 권한(인가)을 제대로 검증하지 않아 요청값을 바꾸면 다른 사람의 정보까지 조회할 수 있었다. 신한은행의 경우 본인확인 절차 우회와 파라미터 변조가 함께 사용됐다.
각 기업은 사고 인지 후 접근 경로를 차단하고 KISA에 신고했으며, 금융 당국은 공격 IP가 확인된 기관에 통보하고 금융권 전체에 모니터링 강화를 권고했다.
IP 차단은 임시조치일 뿐이며, 모든 외부 노출 API에서 요청값별 접근 권한 검증(인가)을 강화하고, 반복적인 식별자 변경·대량 조회·이상 호출 패턴이 있었는지 과거 로그를 재점검해야 한다.
본문
무신사 29CM와 강남언니에 이어 신한은행에서도 고객정보 유출 사고가 발생한 가운데, 금융보안원이 10월 2일 국내 금융회사를 대상으로 AI 자율 침투 도구를 이용한 광범위한 공격이 실제 진행되고 있다며 모니터링 강화를 권고했다.
최근 잇따른 정보유출 사고를 단순히 개별 기업의 보안사고로 보기 어려운 이유다.
오늘, 금융 당국이 금융권 정보보안 책임자들에게 전달한 '금융권 대상 정보유출 사고 발생에 따른 모니터링 강화 권고'에 따르면, 미상의 공격자는 지난 9월 28일 특정 금융회사를 대상으로 취약점 공격과 정보탈취를 시도했다.
주요 공격 IP를 추적한 결과 해당 인프라에서 중국어 기반 오픈소스 AI 자율 침투 도구 ARTEX가 구동된 정황이 확인됐으며, 동일 공격 IP의 접근 이력을 분석한 결과 다수 국내 금융회사를 상대로 침입 공격을 시도한 사실도 확인됐다.
금융 관계 기관은 관련 접속 이력이 확인된 기관에는 통보를 완료했으며, 금융보안원의 보안관제 범위 밖에 있는 시스템은 각 금융회사가 별도로 점검하도록 권고했다.
특히 최근 29CM와 강남언니, 신한은행에서 발생한 개인정보 유출 사고까지 함께 놓고 보면 공통적인 공격 흐름이 보인다.
과거처럼 핵심 서버에 직접 침입해 데이터베이스(DB)를 통째로 탈취하는 방식보다, 외부에 정상적으로 열려 있는 웹서비스와 API의 취약점을 찾아 정상 요청처럼 접근한 뒤 권한검증 허점을 이용해 데이터를 빼내는 공격이 현실적인 위협으로 부상하고 있는 것이다.
29CM·강남언니, 개인정보 조회 API가 공격 경로로
무신사가 운영하는 29CM에서는 지난 8월 27일 주문정보를 조회하는 API에 외부의 비정상적인 접근이 발생해 총 15만9,852건의 고객 개인정보가 유출됐다.
이 가운데 13만8,841건은 이름, 2만1,011건은 이름과 이메일 주소, 휴대전화번호, 배송정보 등이 포함됐다. 29CM는 사고를 인지한 뒤 해당 접근 경로를 차단하고 한국인터넷진흥원(KISA)에 신고했다.
강남언니에서도 비슷한 사고가 발생했다.
운영사 힐링페이퍼는 9월 4일 상담내역을 조회하는 API에서 비정상적인 접근을 확인했으며, 약 22만명의 개인정보가 유출됐다. 상담·시술과 관련한 정보까지 포함돼 일반적인 연락처 유출보다 피해 민감도가 큰 사고였다.
두 사고의 상세 취약점이 모두 공개된 것은 아니지만 공통점은 분명하다.
외부 서비스에서 정상적으로 데이터를 제공하기 위해 만들어놓은 API가 개인정보 유출의 통로가 됐다.
신한은행, 대출모집인 조회 서비스 파라미터 변조
신한은행 사고에서는 공격 과정이 보다 구체적으로 드러났다.
신한은행 대출모집인들은 모바일 홈페이지 'M 신한'을 통해 자신이 접수한 고객의 대출 처리 현황을 조회할 수 있다.
은행 측 설명에 따르면 외부 비인가자는 이 경로에서 정상적인 본인확인 절차를 거치지 않고 접근했다. 이후 모집인 전용 서비스에서 서버와 주고받는 통신 전문 구조를 파악하고 조회 입력값을 변경하면서 정보를 호출한 것으로 알려졌다.
쉽게 말해 파라미터 변조(Parameter Tampering) 방식이다.
정상적인 모집인은 자신이 담당하는 고객번호로 대출 진행 상황을 조회해야 한다. 그러나 공격자가 고객번호나 조회값을 다른 값으로 반복해서 변경했을 때 서버가 요청자의 권한을 다시 확인하지 않는다면 다른 고객의 데이터까지 반환될 수 있다.
신한은행에서는 약 2만5천명의 고객정보가 유출된 것으로 파악되고 있으며 금융당국과 금융보안원이 사고 원인을 조사하고 있다. 공격 추정 서버에서는 ARTEX와 관련된 정황도 확인됐지만 실제 공격 과정에서 해당 도구가 어느 단계까지 사용됐는지는 추가 확인이 필요한 상태다.
'로그인했다'와 '그 정보를 볼 권한이 있다'는 다르다
최근 사고의 핵심은 단순한 로그인 여부가 아니다.
서버는 이용자가 정상적으로 로그인했다고 해서 모든 정보 조회를 허용해서는 안 된다.
고객번호나 주문번호, 상담번호가 변경될 때마다 현재 접속한 사용자가 해당 정보를 실제로 조회할 권한이 있는지를 서버에서 확인해야 한다.
보안에서는 사용자가 누구인지 확인하는 것을 '인증(Authentication)', 인증된 사람이 어떤 정보까지 접근할 수 있는지 확인하는 것을 '인가(Authorization)'라고 한다.
인증을 통과했더라도 인가 검증이 부족하면 공격자는 요청값만 변경해 다른 이용자의 정보를 가져갈 수 있다.
신한은행 사고에서는 정상적인 본인확인 절차를 우회한 정황에 이어 파라미터를 변경해 다른 고객정보에 접근한 것으로 알려져 있어 인증 우회와 권한검증 문제를 함께 살펴봐야 할 사고다.
이러한 공격이 특히 위험한 이유는 기존 보안관제에서는 정상 접속처럼 보일 수 있기 때문이다.
금융권 내부를 잘 아는 한 레드팀 관계자는 "서버에 악성코드를 설치하거나 비정상 명령을 실행하는 공격과 달리 정상적으로 열려 있는 서비스로 들어와 요청값만 변경할 경우 네트워크 관제에서는 정상 접속처럼 보일 수 있다"고 설명했다.
결국 방화벽에서 모든 것을 해결할 수 있는 문제가 아니다.
'이 사용자가 이 데이터를 볼 권한이 있는가'라는 판단은 애플리케이션 서버에서 해야 한다.
"ARTEX 이용해 여러 금융회사 자동 공격"
이번 금융 당국 권고에서 가장 주목할 부분은 이러한 공격이 더 이상 사람이 한 곳씩 수작업으로 찾는 수준에 머물지 않는다는 점이다.
기관 분석에 따르면 공격자는 공개 오픈소스 AI 자율 침투 도구 ARTEX와 LLM API 프록시인 CLIProxyAPI를 연동해 다수 기관을 대상으로 취약점 탐색과 공격 시도를 자동화한 것으로 판단됐다.
ARTEX는 실제 공개된 오픈소스 프로젝트다.
프로젝트 설명에 따르면 ARTEX는 LLM 기반 다중 에이전트를 이용해 목표를 분석하고 작업을 계획한 뒤 여러 작업 에이전트가 탐색을 수행하는 자율 침투테스트 시스템이다. LLM 연결 기능과 자산 탐색, 트래픽 분석, 취약점 확인 등의 기능을 갖추고 있다.
본래 보안 연구와 테스트 목적으로 개발된 도구라 하더라도 공격자가 이를 악용하면 상황이 달라진다.
과거에는 공격자가 웹사이트 하나를 분석하고 요청값을 변경하면서 반응을 확인해야 했다.
이제 AI 에이전트는 여러 시스템의 구조를 분석하고 API를 찾아낸 뒤 입력값을 변경하면서 결과를 비교하는 과정을 상당 부분 자동화할 수 있다.
공격자의 기술 수준이 높지 않아도 공격 대상을 대폭 늘릴 수 있다는 의미다.
'한 곳 공격' 아니라 금융권 전체를 훑었다
금융 당국이 이번에 공격 IP의 과거 접속 이력을 조사한 결과 여러 국내 금융회사에 대한 접근 이력이 확인됐다는 점도 중요하다.
이는 특정 금융회사 한 곳만 정밀하게 노린 공격이라기보다 여러 금융기관의 인터넷 노출 자산을 광범위하게 탐색하면서 취약한 시스템을 찾았을 가능성을 보여준다.
특히 공격 대상이 꼭 인터넷뱅킹이나 모바일뱅킹 같은 핵심 시스템일 필요도 없다.
금융 당국은 대외서비스가 아니더라도 외부에서 접근할 수 있는 취약한 자산을 가지고 있다면 언제든 공격 대상이 될 수 있다고 경고했다.
실제 신한은행 사고도 핵심 모바일뱅킹 시스템이 아니라 상대적으로 주변 업무시스템에 해당하는 대출모집인용 모바일 웹 서비스에서 발생했다.
공격자의 관점에서 중요한 것은 시스템의 내부 등급이 아니다.
보안이 약하면서 개인정보에 접근할 수 있는 시스템인가가 더 중요하다.
모바일뱅킹 시스템은 다중인증과 접근통제, 이상거래탐지 등 강한 보호조치가 적용돼 있는 반면 파트너 포털, 대출·상담 시스템, 협력사 서비스, 마케팅 플랫폼 등은 상대적으로 보안 수준이 낮을 수 있다.
공격자는 바로 이런 틈을 찾는다.
해외 프록시 계속 변경…IP 차단만으로 막기 어렵다
이번 공격은 기존 침해지표(IOC) 중심 대응의 한계도 보여준다.
금융 당국에 따르면, 공격자는 해외 임대 프록시 서버를 이용하며 공격 IP를 지속적으로 변경하는 구조를 사용했다.
특정 공격 IP를 확인해 차단하더라도 공격자가 새로운 프록시로 변경하면 동일한 공격을 다시 시도할 수 있다는 뜻이다.
금융권 레드팀 관계자도 "최근 정보유출 사고 이후 관련 공격 IP 차단 권고가 이뤄졌지만 각 회사의 방화벽 정책과 적용 시간이 다를 수 있고 IP가 바뀌면 근본적인 방어가 되지 않는다"고 말했다.
따라서 IP 차단은 긴급 대응 수단일 뿐이다.
취약한 API와 애플리케이션 로직을 그대로 둔 채 공격 IP만 막는 것은 입구 하나를 닫는 것과 다르지 않다.
공격자는 다른 입구를 찾으면 된다.
금융사 및 취약한 기업 여러곳 이미 공격 당했을 것
이번 금융 당국 분석은 최근 일련의 정보유출 사고를 바라보는 관점도 바꿀 필요가 있음을 보여준다.
29CM와 강남언니, 신한은행 사고가 각각 우연히 발생한 독립적인 사건인지, 동일하거나 유사한 자동화 공격 흐름 속에서 발생한 것인지는 아직 확인되지 않았다.
이를 동일 공격자의 소행이라고 단정할 근거도 현재로서는 없다.
그러나 다수의 금융회사를 대상으로 AI 에이전트를 이용한 취약점 탐색과 침입 시도가 실제 확인됐다는 사실 자체는 중요하다.
AI 자동화 공격자는 특정 기업 하나를 공격하고 멈출 이유가 없다.
여러 기업과 서비스를 동시에 탐색하고, 취약점이 발견되는 곳부터 공격할 수 있다.
따라서 현재까지 정보유출 사실이 확인되지 않은 기업과 금융회사도 안전하다고 단정하기 어렵다.
이미 공격자의 탐색 대상에 포함됐거나 실제 공격이 시도됐지만 아직 발견하지 못했을 가능성을 염두에 두고 과거 로그를 재점검해야 한다.
특히 외부에 노출된 API에서 ▲고객번호·주문번호·상담번호의 반복적인 변경 ▲짧은 시간 동안 대량 조회 ▲존재하지 않는 식별자에 대한 반복 요청 ▲사용자 접속 오류 급증 ▲평소와 다른 API 호출량 등이 있었는지 확인할 필요가 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
