금융권 노리는 AI 해킹…'ARTEX' 특징 공격 시도 포착

[2026-10-07 10:15:17]

에버스핀 고객사 서비스서 탐지…외부 노출 업무서비스 겨냥
기존 스크래핑·API 호출에 AI 자동화 결합한 공격 형태

(서울=연합뉴스) 오지은 기자 = 금융권을 겨냥한 인공지능(AI) 기반의 자동화 공격 우려가 커지는 가운데 보안기업 에버스핀이 자사 고객사 서비스에서 AI 자율형 침투테스트 도구 '아르텍스(ARTEX)'의 특징을 지닌 공격 시도를 탐지했다고 밝혔다.

에버스핀은 이번 사례와 별도 재현 실험을 통해 AI가 기존 스크래핑·API 직접 호출 등의 공격 방식을 빠르게 자동화할 수 있는 만큼, 단순 AI 봇 차단을 넘어 반복·우회 등 비정상 행위를 서버단에서 탐지하고 통제하는 방어체계가 중요해지고 있다고 강조했다.

에버스핀에 따르면 이번 공격 시도는 자사의 웹 보안 설루션 에버세이프 웹을 적용한 일부 고객사 서비스에서 포착됐으며, 설루션의 기존 방어체계를 통해 탐지됐다.

AI 기반 공격 도구가 이미 실제 금융 서비스 환경에서 악용되고 있으며, 기존 웹 방어체계로도 이에 대응할 수 있음을 확인했다는 설명이다.

에버스핀은 최근 공개된 금융권 침해사고를 분석하고, 별도의 샘플 웹 애플리케이션에서 ARTEX를 활용해 자동화 조회 방식을 검증한 '2026년 9~10월 금융권 침해사고 공격 경로 분석·재현·대응' 보고서를 금융권에 공유했다.

에버스핀의 분석에 따르면 최근 침해사고의 공격 흐름은 ▲ 외부 공개 사이트 및 조회 화면 탐색 ▲인증 우회 ▲ 접수번호 등 입력값 대입 ▲ IP 분산 및 반복 조회의 4단계로 이뤄졌다.

특히 핵심 인터넷·모바일뱅킹보다는 상대적으로 보안 관리가 취약할 수 있는 직원·대출모집인용 업무 시스템 등 외부에 노출된 보조 업무서비스가 주요 타깃이 됐다.

보안 설루션이 없는 시연용 샘플 환경에서 진행한 검증 결과 ARTEX는 사람이 브라우저를 직접 조작하지 않고도 조회 API를 직접 호출해 6라운드, 22초 만에 작업을 완료했다.

이 과정에서 약 4만4천개의 AI 토큰이 소모됐다.

에버스핀 관계자는 "22초라는 시간은 시연용 샘플 환경에서 특정 작업을 수행한 시간일 뿐 실제 금융사 시스템 해킹 소요 시간을 뜻하는 것은 아니다"라며 "AI 도구가 브라우저를 거치지 않고 API를 직접 호출해 반복 작업을 고속으로 자동화할 수 있음을 확인한 것"이라고 덧붙였다.

에버스핀은 이번 AI 해킹을 완전히 새로운 유형의 공격이라기보다는 스크래핑, API 직접 호출, 봇·매크로 등 기존 공격 기법에 AI의 고속 자동화가 결합된 형태로 진화한 것으로 정의했다.

이에 따라 단순 AI 봇 식별을 넘어 비정상 요청과 반복·우회 행위 전반을 서버단에서 검증·통제하는 체계가 필요하다고 강조했다.

핵심 방어 기술로는 전 세계 11개국에서 33개 특허를 등록한 'AI-MTD(무빙 타깃 방어)'가 적용됐다.

보안 코드와 구조를 지속적으로 변화시켜 공격자가 한 번 분석한 우회 방식을 재사용하지 못하도록 차단한다.

공격자가 우회를 시도할 때마다 브라우저 자동화와 AI 분석에 필요한 시간, 컴퓨팅 자원, 토큰 소모량이 급증해 공격의 경제성을 떨어뜨리는 구조다.

아울러 에버세이프 웹은 개발언어나 프레임워크 제약 없이 적용할 수 있어 인터넷뱅킹부터 외부 노출 보조 업무 시스템까지 다양한 기술 스택을 아우르는 일괄 보안 환경을 제공한다.

하영빈 에버스핀 대표는 "에버세이프 웹은 실제 아르텍스(ARTEX)를 이용한 해킹 공격에서 탁월한 성능을 입증받은 설루션으로, 공격자가 방식을 바꿀 때마다 시간·컴퓨팅·토큰 비용을 증가시켜 AI 대량 조회의 수지타산을 맞추지 못하게 만든다"며 "웹 환경은 매우 다양하므로 보안 솔루션 도입으로 서비스 품질이 훼손되지 않도록 수많은 금융 레퍼런스를 통해 검증된 기술로 정상 이용자의 서비스 품질까지 확실히 보장해야 한다"고 밝혔다.

built@yna.co.kr