[단독] 금융권 덮친 AI 해킹…'1달러'면 가능했다

단독금융권 덮친 AI 해킹…'1달러'면 가능했다 에버스핀이 시연용 웹 애플리케이션에서 '아르텍스(ARTEX)'로 자동 조회 공격을 재현한 결과, 6라운드·22초 만에 약 4만4000토큰을 사용해 목표 작업을 완료했다. (출처=에버스핀) 국내 금융권 동시다발 해킹에 인공지능(AI)이 악용되면서 'AI발 해킹' 위협이 고조된 가운데 1달러도 안 되는 비용으로 AI 대량 자동화 공격이 가능한 것으로 확인됐다. 실제 이번 피해를 본 다수 금융사가 저비용 공격에 취약점을 노출하며 정보유출 사태를 겪었다. AI 도구를 악용한 사이버 공격이 대중화할 수 있는 만큼 기업·공공이 관련 대응력을 강화해야 한다는 지적이 제기된다. 5일 AI 보안기업 에버스핀이 복수의 금융사 공격에 활용된 AI 자율형 침투테스트 도구 '아르텍스(ARTEX)' 공격을 재현한 결과 22초 만에 목표 작업을 완료했으며, 사용한 토큰 비용은 약 0.88달러에 불과했다. 재현은 금융권 사이트와 유사한 시연용 샘플 웹앱을 구성해 이뤄졌다. 아르텍스는 사용자가 원하는 대규모언어모델(LLM)을 연결해 기업 시스템의 취약점을 자동 점검하는 도구다. 여러 AI 에이전트가 역할을 나눠 작업을 수행하는 멀티에이전트 구조를 갖췄다. 최근 발생한 금융권 연쇄 침해 사고 상당수가 아르텍스를 악용한 것으로 추정된다. 재현에 사용된 토큰은 약 4만4000개로 프런티어AI 모델인 오픈AI '챗GPT', 앤트로픽 '클로드'를 기준으로 비용을 추산해도 0.88달러 수준이다. 이같이 적은 비용으로 공격이 가능했던 배경에는 복잡한 우회 과정을 거치지 않고 조회 API를 직접 호출해 반복 요청할 수 있는 구조가 있었다. 에버스핀은 재현을 통해 아르텍스가 브라우저 없이 조회 API를 직접 호출해 반복 조회와 정보 확인까지 자동화할 수 있음을 확인했다. 실제 금융권 공격 속도도 빨랐다. 신한은행에서는 약 30시간만에 2만5727건의 정보가 유출됐다. 단순 평균하면 약 4초에 1건꼴이다. 공격세력은 접수번호 등을 무작위로 대입하고 여러 국가의 인터넷주소(IP)를 바꿔가며 반복 조회한 것으로 파악됐다. 저비용 AI 사이버 공격이 늘어날 경우를 대비한 방안 마련이 시급하다. 에버스핀은 저비용 AI 공격 대응의 핵심으로 '공격 비용 상승'을 제시했다. 현재 금융권은 외부 노출 서비스 최소화, 미인증 접근 경로 제거, 조회 횟수 제한, 공격 IP 차단 등으로 대응하지만 공격자는 AI를 악용해 이를 얼...