금융보안원은 지난달 17일 세미나를 통해 딥시크 기반 AI 에이전트를 활용한 공격 사례와 대응 방향을 공유하고 상시 보안 점검의 필요성을 강조했습니다.
이후 유사한 수법으로 7개 금융기관이 연쇄 해킹 피해를 입었으며, 당시 세미나에 참석했던 금융사 상당수가 피해 명단에 포함된 것으로 나타났습니다.
에디터 분석
경고의 공유와 실제 방어 사이의 간극
보안 지침의 전달이 곧바로 시스템의 안전으로 직결되지 않는 이유는 공격의 대상과 방식이 끊임없이 변하기 때문이다. 이번 사건은 AI 에이전트라는 새로운 도구가 취약점을 찾는 속도를 높였고, 그 결과 기존의 정기 점검 주기보다 공격의 속도가 더 빨랐음을 보여준다.
보안 관리 체계가 특정 사례 중심의 대응에 머물면, 공격자가 대상만 살짝 바꾸어도 무용지물이 된다. 외부 솔루션의 취약점을 막는 것과 내부 운영 시스템의 구멍을 메우는 것은 관리 영역이 다르다. 결국 개별 사례의 공유보다 중요한 것은 어떤 경로로 공격이 들어오든 상시적으로 표면을 관리하는 자동화된 방어 체계의 구축이다.
사전 경고의 효용성과 기술적 한계 사이의 논쟁
노컷뉴스, SBS Biz, 데일리안은 모두 금융보안원이 해킹 발생 2주 전에 이미 AI 에이전트 공격 사례를 공유했다는 점에 주목했다. 경고를 받은 담당자들이 세미나에 참석했음에도 7개 금융기관이 연쇄 해킹을 당했다는 사실을 통해 금융권의 대응 부실이라는 프레임을 공통적으로 제시했다.
다만 경고의 실효성을 두고 시각이 갈린다. 노컷뉴스는 금융사의 관리 소홀을 부각하며 국정감사를 통한 책임 추궁에 무게를 뒀다. 반면 SBS Biz와 데일리안은 이전 경고 대상이었던 제3자 솔루션과 이번에 뚫린 직접 운영 시스템의 차이를 짚어냈다. 기술적 특성상 기존 관제 시스템으로는 탐지가 어려웠을 것이라는 분석을 덧붙여, 단순한 태만으로 보기 어렵다는 논리를 함께 제시했다.
보도들은 '알렸는데 왜 안 막았나'라는 결과론적 질문에 집중하고 있다. 하지만 정작 중요한 지점인 AI 기반 공격의 속도를 인간의 관리 체계가 따라잡을 수 있는 구조인지, 그리고 금융사가 직접 운영하는 시스템의 취약점 관리 프로세스가 어떻게 작동하고 있는지에 대한 심층적인 분석은 부족하다.
피해 금융사 담당자 5곳이 경고 세미나 참석했음이 확인되며 보안 권한 문제 부각
새로운 보도 1개 매체단순한 정보 전달 누락이 아니라, 정보를 인지한 상태에서도 방어가 실패했다는 구체적 정황이 드러났다. 한겨레는 피해 금융사 중 5곳의 담당자가 금융보안원의 AI 공격 경고 세미나에 실제로 참석했다는 사실을 짚어냈다. 경고를 듣고도 막지 못한 이유는 개별 담당자의 태만이 아니라, 보안 책임자가 실질적인 예산과 권한을 갖지 못한 의사결정 구조의 문제라는 분석을 더했다.
단순히 '알렸는데 왜 안 막았나'라는 결과론적 추궁에서 한 걸음 더 나아가, 보안 조직이 조직 내에서 갖는 위상과 실행력이라는 구조적 결함에 접근했다는 점에서 본질적인 질문에 다가간 보도다.
금융보안원이 제시한 3가지 대응 방향과 사고 발생 2주 전 세미나 참석 사실
새로운 보도 2개 매체단순히 세미나에 참석했다는 사실을 넘어, 금융보안원이 구체적으로 어떤 방어책을 요구했는지가 드러났다. 뉴시스는 금융보안원이 공격표면 관리, 패치 주기 단축, 사이버위협관리플랫폼 체계화라는 세 가지 대응 방향을 명시적으로 촉구했다는 점을 짚어냈다. 특히 AI 에이전트가 스캔부터 웹쉘 설치까지 단 하루 만에 수행한다는 속도적 특성을 경고했다는 사실은, 이번 사고가 정보의 부재가 아니라 실행의 속도 문제였음을 뒷받침한다.
동아일보는 사고 발생 2주 전이라는 시간적 선후 관계를 부각하며 이를 보안 점검 소홀로 인한 인재로 규정했다. 다만 이는 '알렸으니 막았어야 한다'는 결과론적 추궁에 머물러 있다. 뉴시스가 보도한 구체적인 대응 가이드라인의 존재는, 보안 조직이 조직 내에서 실질적인 실행력을 갖지 못했다는 구조적 결함 논의를 더욱 심화시키는 근거가 된다.
딥시크 기반 AI 공격 수법 사전 공유 확인과 은행장 국감 출석
새로운 보도 1개 매체경고의 내용이 막연한 위협 공유가 아니라 매우 구체적이었다는 사실이 드러났다. 경향신문은 금융보안원이 딥시크 기반 AI가 웹로직 자산을 스캔하고 웹셸을 설치하는 구체적인 수법을 세미나에서 소개했다는 점을 짚어냈다. 이는 단순한 정보 전달의 누락이나 판단 착오가 아니라, 명확한 공격 경로를 알고 있었음에도 방어에 실패했다는 점을 시사한다.
다만 경향신문의 보도는 구체적인 사실을 확인했음에도 분석의 방향은 다시 결과론적 추궁으로 돌아갔다. 보안 조직의 실행력이나 의사결정 구조라는 본질적 질문 대신, 거듭된 경고를 무시한 관리 소홀과 은행장들의 국정감사 출석이라는 책임 소재 규명에 초점을 맞췄다. 구체적 사실이 구조적 결함에 대한 논의를 심화시키는 대신, 정치적 책임 추궁의 근거로 소비되는 패턴을 보인다.
