대신증권 해킹으로 고객 3만 8,490명 정보 유출

감독당국, 빗썸과 대신증권에 현지 조사팀 파견

한국 금융감독당국이 수요일, 암호화폐 거래소 빗썸을 포함해 세 금융기관에서 해킹 피해가 확인됐다며 국내 증권·가상자산 부문에 현지 조사팀을 투입했다. 금융감독원은 10월 28일 빗썸과 대신증권, 미래에셋자산운용의 침해 사실을 파악했고, 같은 날 대신증권과 빗썸에 조사 인력을 보냈다. 조사에서 법 위반이 적발되면 사건은 검찰 수사 의뢰 절차로 전환된다.

피해가 가장 무겁게 확인된 곳은 대신증권이다. 이 회사는 수요일 오전 배포한 보도자료에서 고객 3만 8,490명의 개인정보와 신용정보가 유출됐다고 밝혔다. 회사 측은 10월 17일 비대면 투자 계좌 개설용 서버에 외부 주체의 비정상 접근이 있었음을 탐지하고 즉시 당국에 신고했으며, 이후 내부 조사를 통해 고객 데이터 유출을 확인했다고 설명했다.

거래대금 기준 국내 최대 규모의 가상자산 거래소 중 하나인 빗썸은 당국에 10월 27일 화요일 사내 모바일 그룹웨어 시스템에 무단 접근이 확인됐다고 통보했다. 현재까지 유출이 확정된 것은 직원 정보뿐이며, 회원 정보가 포함됐는지는 분석이 진행 중이다. 빗썸은 감독기관 제출 자료에서 지갑 주소처럼 부정 결제나 암호화폐 전송에 쓰일 수 있는 정보는 노출되지 않았다고 밝혔다. 미래에셋자산운용은 일부 웹 시스템에 외부 IP 주소에서 비정상 접근이 있었음을 발견해 해당 경로를 차단하고 비상 대응체계를 가동했으며, 고유 식별정보·민감정보·개인 신용정보는 유출되지 않았고 투자자 데이터도 영향을 받지 않았다고 말했다.

금융위원회는 수요일 오후 유영준 디지털금융기획관 주재로 가상자산 부문 긴급 점검회의를 열었고, 금융감독원과 금융보안원, 거래소 합동협의체 DAXA, 빗썸이 참석했다. 이창진 금융감독원장은 은행지주회사 이사회 의장들에게 인공지능이 해킹 도구로 쓰이면 취약점이 더 빨리 발견되고 조직화된 공격이 상시화될 것이라고 경고했다. 위원회는 다음 주 금융당국, 유관부처, 협회, 국내 5대 상업은행장이 참여하는 인공지능 해킹 대응 회의를 준비하고, 전자금융거래법 적용을 받지 않는 부문에도 보안 요건을 확대 적용할 계획이다.

경찰, 앞서 은행 해킹 사건과의 연계 추적

경찰청은 수요일 오전 이번 사건들을 국내 은행을 노린 인공지능 기반 공격 사태를 수사 중인 같은 전담 부서에 배당하고, 수법을 비교해 동일 출신 여부를 확인하는 작업을 시작했다. 앞선 사태로는 10월 14일까지 16개 금융사에서 약 10만 건의 정보가 유출됐는데, 이는 한국 정부 정책 자료에 기록된 수치다. 경찰 관계자는 “은행 해킹 사건의 배후와 동일 인물의 공격일 가능성을 배제하지 않고 있다”고 말했다.

이전 사태는 ARTEX라는 침투 테스트 도구와 연결된다. 중국에서 개발된 이 오픈소스 에이전트형 도구는 Anthropic이 만든 Claude Code 같은 대형 언어 모델과 함께 동작한다. 보안업체 CrowdStrike는 노출된 서버 디렉터리에서 공격자의 Claude Code 세션 기록과 ARTEX 설정 파일, 메모리 파일을 확보했다고 밝혔고, 금전적 동기를 가진 중국어 사용 공격자의 소행이라고 중간 수준의 신뢰도로 판단했다. 공격자 스스로의 실수도 있었다. 같은 도구로 이력서를 작성한 바람에 연락처가 흘러나왔고, CrowdStrike는 이 정보가 광둥성 마오밍에 사는 26세 인물을 가리킬 수 있다고 보면서도 식별 정보가 완전히 신뢰할 수 있는 수준은 아니라고 인정했다. 국내 전문가들은 여전히 회의적이다. 고려대 정보보호 교수는 ARTEX가 유일한 도구였는지조차 확인되지 않았다고 지적했다.

은행 측 피해자 수는 계속 늘어나고 있다. KB국민은행은 이번 주 초 상세 재검토를 거쳐 확정 피해자를 119명에서 2,210명으로 상향 조정했다. 자산운용사와는 별개 법인인 미래에셋생명도 자체 침해를 탐지한 뒤 금융감독원의 긴급 현지 조사를 받았다. 금융위의 555개 금융사 점검에서는 보안 패치 누락, 실시간 모니터링 부재 등 취약점이 130곳에서 적발됐다. 빗썸은 유출된 데이터가 피싱과 원격 접속 사기에 재사용되고 있다며 고객 경보 캠페인을 진행 중이다.

COINOTAG의 판단은 이렇다. 며칠 사이에 은행에서 증권사, 그리고 거래소로 공격이 옮겨 간 것은 세 건의 우연한 사고가 아니라 아직 확장 중인 단일 캠페인의 흔적으로 본다. 금융위가 전자금융거래법 바깥의 부문에 대형 은행 수준의 보안 기준을 강제하겠다는 계획은 빗썸 같은 거래소에 직접 적용될 것이다. 결정적 시험대는 다음 주 회의다. 적발된 130곳의 취약점을 실제 시정으로 이어가는지, 경찰이 ARTEX 연계를 확인하는지에 따라 이번 사태가 거래소 보안의 구조적 강화로 남을지, 일회성 대응으로 끝날지가 갈린다.