금융권 해커, 중국 광둥성 26세 추정…당사자 "번호 도용" 주장

1. 개요

2026년 9월 말부터 10월 초 사이 국내 금융사들을 잇따라 뚫은 해킹에 중국에서 개발된 오픈소스 AI 침투 테스트 도구 ARTEX와 여러 대규모언어모델(LLM)이 함께 쓰였고, 공격자가 AI 코딩 도구에 이력서를 쓰게 하다가 신원 단서를 흘렸다는 분석이 나왔다.

미국 보안업체 크라우드스트라이크는 2026년 10월 7일(현지시간) 보고서를 내고 공격자가 ARTEX에 DeepSeek 등 여러 LLM을 붙여 쓴 정황을 공개했다. 이어 공격자가 중국 광둥성에 사는 26세 인물일 가능성이 있다고 밝혔다. 다만 이는 정황에 따른 추정일 뿐 확정된 신원이 아니라고 스스로 선을 그었다. 지목된 인물은 자신의 번호가 도용됐다며 해킹과 무관하다고 부인했다.

2. 금융사 연쇄 침해 사고

사태는 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 침해 사고가 잇따라 확인되면서 불거졌다. 금융당국에 따르면 시중은행과 저축은행, 캐피탈사를 공격한 IP 주소는 서로 달랐다. 그러나 같은 공격자가 IP를 바꿔 가며 비슷한 수법으로 여러 금융사를 노린 정황이 포착됐고, 공격자가 AI 도구로 다수 금융사를 상대로 대량 자동화 공격을 벌인 것으로 분석됐다. 은행을 공격한 IP에서 ARTEX의 흔적이 확인돼 경찰청 사이버수사국이 조사에 나섰다.

피해 규모는 보도마다 다르게 전해진다. 에펨코리아 게시물이 옮긴 보도에서는 신한은행에서 약 2만 5천 명, 예가람저축은행에서 약 4만 명의 고객 정보가 유출됐다고 했다. KB국민은행에서는 고객 정보 100여 건이 외부 침입으로 유출된 사실이 확인됐다는 연합뉴스 보도가 있었다. 피해 은행 수도 금융당국이 확인한 7개사와 달리, 같은 게시물이 인용한 로이터 보도는 최소 9개 은행이 공격 대상이 됐거나 관련 피해를 입었다고 전했다.

3. 크라우드스트라이크의 분석

크라우드스트라이크는 공격이 지난달 말부터 이달 초 사이 이뤄졌고, 공격자가 ARTEX와 LLM을 함께 썼다고 분석했다. 공격자는 홍콩 소재 IP 주소를 주 통제 인프라로 삼아 공격 전반을 지휘했다. 한국 공격에 실제로 쓴 ARTEX 인스턴스는 별도의 IP 주소에서 돌리는 두 단계 구조였고, 여기에 9개의 프록시 IP 주소를 더해 접속 경로를 계속 바꾼 것으로 파악됐다.

ARTEX를 구동한 핵심 AI는 딥시크의 경량 모델 'v4.1-플래시'였다. 이 모델도 정식 경로가 아니라 제3의 재판매 업체를 거쳐 우회 접속한 것으로 분석됐다. 공격자는 클로드 코드 세션에서 즈푸AI의 'GLM-5.3'과 '그록 4.6' 같은 다른 LLM도 보조로 썼다. 이처럼 여러 모델과 서버를 용도에 따라 갈아 쓴 정황은 특정 모델이나 인프라에 기대지 않고 도구를 조합했다는 뜻으로 읽힌다. 공격자는 중국어 사용자로 추정되며, 금전적 동기로 움직였을 가능성이 중간 수준의 신뢰도로 평가됐다.

애덤 마이어스 크라우드스트라이크 공격 대응 작전 총괄은 8일 국내 취재진과 화상 브리핑을 열어 분석 내용을 공유했다. 뉴스1은 이를 "韓 금융권 해킹, 수준 낮은 공격…AI 없었으면 불가능"이라는 제목으로 전했다. 매일경제는 "AI라 못막았다? 금융사 방치한 허점 노린것"이라는 제목으로 보고서를 소개했다. 두 제목을 함께 보면, 공격 수준은 높지 않았지만 AI 없이는 불가능했고 노린 곳은 금융사들이 방치한 허점이었다는 취지로 읽힌다.

4. 이력서에서 드러난 신원 단서

신원 단서는 공격자가 클로드 코드를 쓰는 과정에서 나왔다. 에펨코리아 게시물에 따르면 크라우드스트라이크 조사관들은 공격에 쓰인 서버를 추적하다가 외부에 공개된 디렉터리를 발견했다. 거기에는 클로드 코드의 대화 기록과 설정 파일이 그대로 남아 있었고, 덕분에 공격자가 AI에 어떤 명령을 내렸는지까지 확인할 수 있었다고 한다.

크라우드스트라이크에 따르면 공격자는 클로드에 자신의 침투 테스트 성과를 담은 보안 연구자 이력서를 써 달라고 요청했다. 이 과정에서 이름 이니셜, 텔레그램 계정, 학력, 거주지 같은 개인정보가 함께 입력됐다. 매일경제는 이를 "韓 금융사 턴 경력도 넣어줘"...中 20대, AI 이력서 쓰다 '해킹 정황' 흘렸다"라는 제목으로 보도했다. 공격자는 탈취한 한국 금융 정보를 보통 어디서 파느냐, 한국어 텔레그램 데이터 판매방은 어떻게 찾느냐고도 물은 것으로 드러났다.

보고서는 이 텔레그램 계정이 다른 사이버 공격 정황에서도 발견됐다고 전했다. 텔레그램 기반 NFT 선물 마켓플레이스의 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 노린 공격 정황에서도 같은 계정명이 쓰였다는 것이다. 크라우드스트라이크는 이를 근거로 동일 인물일 가능성을 제시하면서도, 지금까지 확보한 정보만으로는 신원을 단정할 수 없다고 덧붙였다. 해외에서도 한 레딧 게시물(r/TechNadu)이 공격 용의자가 ARTEX를 쓰면서 클로드 세션을 통해 개인 정보를 노출했을 수 있다고 이 보고서를 요약했다.

5. 지목된 인물의 반박과 수사

연합뉴스 취재에 따르면 공격자로 지목된 중국인 남성은 해킹과 무관하다고 주장했다. 그는 해커가 자신의 휴대전화 번호를 도용한 것으로 보인다고 했고, 자신을 공격자로 지목할 근거가 휴대전화 번호뿐이라고 반박했다. 각종 연락이 쏟아지자 번호를 바꿀 준비를 하고 있다고도 전했다.

경찰 관계자는 연합뉴스에 "모든 가능성을 열어두고 수사하고 있다"며 "경찰 수사는 증거를 기반으로 하는 것이고, 증거 확보를 위한 수사를 진행 중"이라고 말했다. 뉴스1 관련 기사 제목에 따르면 경찰은 금융기관 해킹 수사팀을 43명으로 확대했다. 연합뉴스 관련 기사 제목에는 ARTEX 한국어판이 등장해 탐지 규칙까지 공개됐다는 내용이 있고, 뉴스1 관련 기사 제목에는 이 도구의 개발자가 소스코드를 비공개로 돌렸다는 내용이 있다. 뉴스1 관련 기사 제목에 따르면 금융위 국정감사에서도 연쇄 해킹이 쟁점이 되어 이억원이 "보안 대응 미흡"이라고 했고, 여야 공방도 이어졌다.

6. 진위 논란

핵심 쟁점은 크라우드스트라이크가 제시한 이력서·텔레그램 계정 단서만으로 광둥성의 26세 인물을 이번 공격의 배후로 볼 수 있느냐다.

6.1. 단서가 충분히 구체적이라는 쪽

크라우드스트라이크가 근거로 든 것은 이력서에 한꺼번에 입력된 이름 이니셜, 학력, 거주지, 텔레그램 계정이다. 같은 계정명이 NFT 마켓 취약점 조사 세션과 중국 결제 플랫폼 공격 정황에서도 발견됐다는 점도 근거다. 크라우드스트라이크는 이 교차 정황을 바탕으로 동일 인물일 가능성을 제시했다.

이력서 작성 과정에서 공격자는 한국 금융 정보를 어디서 파느냐고 물었다. 크라우드스트라이크는 공격자가 금전적 동기로 움직였을 가능성을 중간 수준의 신뢰도로 평가했다. 또 이 기록은 공격에 쓰인 서버의 공개된 디렉터리에 남아 있던 클로드 코드 대화 기록과 설정 파일에서 확인됐다고 한다.

6.2. 신원을 단정하기엔 이르다는 쪽

크라우드스트라이크 스스로 이번 결과를 정황에 따른 추정이라고 선을 그었고, 현재까지 확보된 정보만으로는 신원을 단정할 수 없다고 덧붙였다. 지목된 남성은 자신의 번호가 도용됐다고 주장하며, 자신을 가리킬 근거는 휴대전화 번호뿐이라고 반박했다. 경찰도 모든 가능성을 열어 두고 증거를 확보하는 중이라고 말했다.

이 공격자는 홍콩 서버와 9개의 프록시 IP, 제3의 재판매 업체까지 거치며 접속 경로를 바꾼 것으로 파악됐다.

공격자의 신원은 아직 확정되지 않았다.

7. 여담

에펨코리아에 올라온 게시물은 ARTEX의 관리 화면으로 보이는 캡처를 함께 올렸다. 화면에는 LLM 토큰 사용량을 보여 주는 대시보드가 있었다. 게시물은 해커가 자기 서버 보안을 제대로 해 놓지 않았다고 지적했다.
매일경제의 제목대로라면 공격자는 AI에 이력서를 쓰게 하면서 "韓 금융사 턴 경력"까지 넣어 달라고 했다. 공격 도구로 쓰던 AI에게 공격 실적을 자기 경력으로 정리하게 한 셈이다.

8. 출처 및 관련 링크

AI가 교차 확인한 내용

추정 발생 시기2026년 9월 ~ 2026년 10월

해킹 공격 시기는 연합뉴스 보도가 '지난달 말부터 이달 초 사이'라고 했고, 이 기사가 2026년 10월 8일자이므로 2026년 9월 말~10월 초다. 크라우드스트라이크 보고서는 2026년 10월 7일 공개됐고, 로이터·연합뉴스·뉴스1 등의 보도와 한국 내 크라우드스트라이크 브리핑은 10월 8일에 이뤄졌다. 매일경제 기사는 10월 9일자다. 이 사건의 핵심 시기는 2026년 9월 말~10월 초 해킹 발생이다. 에펨코리아 게시물은 날짜를 직접 밝히지 않지만, 캡처된 로이터 기사 날짜가 2026년 10월 8일이다.

연대표

시기 ▲	사건
2026년 9월	한국 금융기관을 겨냥한 연쇄 해킹 공격이 지난달 말(9월 말)부터 시작됐다.
2026년 10월	10월 초까지 신한은행·KB국민은행 등 7개 금융사의 침해 사고가 확인됐고, 10월 2일 KB국민은행 고객 정보 100여 건 유출 사실이 알려졌다.
2026년 10월	크라우드스트라이크가 10월 7일 보고서를 공개했고, 10월 8일 로이터와 연합뉴스 등이 공격자가 광둥성 26세로 추정된다고 보도했으며, 지목된 남성은 번호 도용을 주장했다.

확인된 사실

2026년 9월 말부터 10월 초 사이 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행, 웰컴저축은행, 현대캐피탈 등 7개 금융사에서 잇따라 침해 사고가 확인됐다. 이는 연합뉴스 보도와 에펨코리아 게시물 캡처에 나온 내용이다.
미국 보안업체 크라우드스트라이크는 2026년 10월 7일(현지시간) 분석 보고서를 공개했다. 보고서 제목은 'Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance'다. 이 내용은 크라우드스트라이크 블로그와 연합뉴스 보도에서 확인된다.
공격자는 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 '아르텍스(ARTEX)'와 여러 대규모언어모델(LLM)을 함께 활용한 것으로 분석됐다. 연합뉴스 보도와 에펨코리아 게시물이 이를 다뤘고, 크라우드스트라이크 보고서 제목과 뉴스1 보도도 AI 활용을 전제로 한다.
공격자는 중국 광둥성에 거주하는 26세 인물일 가능성이 있는 것으로 추정됐다. 이는 연합뉴스 보도, 뉴스1의 크라우드스트라이크 인터뷰, 에펨코리아 게시물에서 공통으로 확인된다. 연합뉴스는 이것이 확정적 신원 특정은 아니라고 전했다.
신원 단서는 공격자가 AI 코딩 도구 '클로드 코드'를 쓰는 과정에서 노출됐다. 공격자가 클로드에 보안 연구자용 이력서 작성을 요청하며 개인정보를 입력했다. 연합뉴스, 에펨코리아 게시물, 매일경제 기사 제목('韓 금융사 턴 경력도 넣어줘…AI 이력서 쓰다 해킹 정황 흘렸다')이 이를 다룬다. 한 레딧 게시물에서도 클로드 세션을 통해 개인정보가 노출됐을 수 있다고 했다.
크라우드스트라이크는 공격자가 중국어 사용자이고 금전적 동기를 가졌을 가능성이 있다고 봤다. 연합뉴스는 이를 중간 수준의 신뢰도로 평가했다고 전했고, 뉴스1의 크라우드스트라이크 브리핑 인터뷰에도 같은 내용이 있다.
연합뉴스 보도에 따르면 공격자는 딥시크(DeepSeek)를 주로 활용했고, 클로드 코드 세션에서는 GLM과 그록(Grok)도 보조적으로 썼다. 에펨코리아 게시물도 DeepSeek, GLM, Grok 등 여러 LLM을 연결해 활용했다고 전한다.
연합뉴스와 에펨코리아 게시물에 따르면 신한은행과 KB국민은행에서 고객 정보 유출이 있었다. 신한은행은 약 2만 5천 명, 예가람저축은행은 약 4만 명의 정보가 유출된 것으로 보도됐다는 내용은 에펨코리아 게시물에 나온다. KB국민은행은 고객 정보 100여 건이 유출된 사실이 확인됐다고 연합뉴스가 전했다.
한국 경찰이 이 사건을 수사 중이다. 연합뉴스는 경찰청 사이버수사국 조사와 경찰 관계자의 '모든 가능성을 열어두고 수사 중'이라는 발언을 전했고, 뉴스1 관련 기사 제목에는 수사팀이 43명으로 확대됐다고 나온다.

쟁점

피해 규모에 대한 표현이 다르다. 연합뉴스는 7개 금융사에서 침해 사고가 확인됐다고 했고, 에펨코리아 게시물은 로이터를 인용해 최소 9개 은행이 공격 대상이 됐거나 관련 피해가 발생했다고 했다.
지목된 인물이 공격자인지를 두고 의견이 갈린다. 크라우드스트라이크는 정황상 가능성만 제시하며 신원을 단정하지 않았다. 연합뉴스에 따르면 지목된 남성은 자신의 휴대전화 번호가 도용됐다며 해킹과 무관하다고 주장했다.
에펨코리아 게시물은 해커가 외부에 공개된 디렉터리를 방치해 클로드 코드 대화 기록과 설정 파일이 노출됐다고 했다. 연합뉴스는 이 부분을 다루지 않고 이력서 작성 과정의 개인정보 노출만 전했으므로, 이 점은 단독 확인이다.