# MS "中 연계 해커, 아르텍스 AI 도구로 글로벌기업 수백곳 공격"

> URL: https://www.cityhorror.wiki/MS-%E4%B8%AD-%EC%97%B0%EA%B3%84-%ED%95%B4%EC%BB%A4-%EC%95%84%EB%A5%B4%ED%85%8D%EC%8A%A4-AI-%EB%8F%84%EA%B5%AC%EB%A1%9C-%EA%B8%80%EB%A1%9C%EB%B2%8C%EA%B8%B0%EC%97%85-%EC%88%98%EB%B0%B1%EA%B3%B3-%EA%B3%B5%EA%B2%A9
> 추정 발생 시기: 2026년 10월
> 마지막 수정: 2026-10-23
> English: https://www.cityhorror.wiki/en/MS-%E4%B8%AD-%EC%97%B0%EA%B3%84-%ED%95%B4%EC%BB%A4-%EC%95%84%EB%A5%B4%ED%85%8D%EC%8A%A4-AI-%EB%8F%84%EA%B5%AC%EB%A1%9C-%EA%B8%80%EB%A1%9C%EB%B2%8C%EA%B8%B0%EC%97%85-%EC%88%98%EB%B0%B1%EA%B3%B3-%EA%B3%B5%EA%B2%A9

## 개요

2026년 10월 21일(현지시간) 마이크로소프트(MS)는 중국과 연계된 해킹 그룹이 인공지능(AI) 기반 모의침투 도구로 전 세계 수백 개 조직을 노렸다고 발표했다. MS가 '스톰-0940'이라고 이름 붙인 이 그룹은 중국산 오픈소스 도구 '아르텍스(ARTEX)'를 앞세워, 미국 IT 서비스업체 커넥트와이즈를 침해하는 방식으로 캠페인을 벌였다고 한다.

MS는 이 발표에서 아르텍스가 한국 금융사 개인정보 유출 사건에도 쓰였다는 보고를 함께 언급했다. 이달 초부터 한국 내 16곳 이상의 금융회사에서 10만 건 이상의 정보가 유출된 것으로 집계됐다. 일본 공동통신이 이를 속보로 전했고, 연합뉴스TV는 일본에서도 같은 도구를 쓴 공격이 있었다고 보도했다.

## MS의 발표와 공격 수법

연합뉴스가 로이터 통신을 인용해 전한 바에 따르면, MS는 스톰-0940이 아르텍스를 이용해 전 세계 수백 개 조직을 겨냥한 캠페인의 일환으로 커넥트와이즈를 공격했다고 설명했다. 아르텍스는 시스템 취약점을 진단하는 프레임워크로, 어떤 AI 모델이든 활용해 작업을 자동화하고 정찰이나 데이터 유출 같은 작업을 자율적으로 수행하도록 구성할 수 있다. MS는 이 그룹이 이르면 9월부터 아르텍스를 사용했다고 밝혔다.

커넥트와이즈는 중소기업의 IT 운영을 대행하는 관리형 서비스 제공업체(MSP)다. 해커 조직은 개별 기업을 일일이 뚫는 대신 신뢰받는 앱 신원을 통해 여러 테넌트(가입 조직 단위)에 접근하려 한 것으로 추정된다. MS에 따르면 공격자는 커넥트와이즈 앱의 신뢰받는 신원을 이용해 대화형 로그인 없이 인증을 통과했다. 이달 10~14일에는 8개 조직의 계정 327개에 비밀번호 대입 공격을 시도해 15만 1천 건이 넘는 로그인 실패를 일으켰지만, 이 시도로 인증에 성공하지는 못했다.

표적은 항공우주, 방위, 자동차, 화학, 에너지, 금융, 정부, 법률, 반도체, 소프트웨어, 싱크탱크 등 광범위했다. MS는 대부분의 공격이 성공하지 못했다고 밝히면서도, 스톰-0940이 단시간에 여러 조직에서 '권한 있는 클라우드 지속성'을 확보했다고 설명했다. 일부 사례에서는 최초 표적화 후 3시간 이내에 권한 있는 접근을 얻었다. 뉴스1은 부제에서 이를 "AI로 해킹작업 자동화…일부 공격대상서 관리자급 클라우드 접근권한 확보"라고 정리했다.

한편 커넥트와이즈는 16일 성명에서 "클라우드 백업 환경과 관련한 최근의 무단 접근 시도를 조사하고 있다"고 밝혔다.

## 한국 금융권 사건과의 연결

MS는 아르텍스가 한국 금융기관을 대상으로 한 개인정보 유출 사건과 같은 공격에 쓰였다는 보고도 언급했다. 한국 금융당국은 이달 초부터 16개 이상의 금융회사에서 10만 건 이상의 정보가 유출됐다고 밝힌 바 있다. 미국 보안업체 레코디드퓨처와 크라우드스트라이크는 이 사건의 배후로 아르텍스와 여러 AI 모델을 함께 쓴 중국어 사용 행위자를 지목했다.

한국 보도 가운데 연합뉴스와 생생비즈플러스는 제목부터 한국 은행 공격과 같은 도구라는 점을 앞세웠다. Arirang News의 한 유튜브 영상에서도 같은 도구가 한국 금융권 침해에서 확인됐다는 취지로 소개했다.

## 일본으로 번진 피해

연합뉴스TV는 이튿날 베이징 특파원 보도로, 같은 중국산 AI 도구 아르텍스가 일본 기업을 노린 해킹에도 쓰였다고 전했다. 금융·보험·물류 등 일본 기업 80여 곳이 표적이 됐고, 공격 서버 6대에서 사용 흔적이 발견됐다. 공격 대상 가운데 8개 기업은 정보가 유출됐다고 밝혔다.

일본 정부는 잇따른 사이버 공격에 외국 세력이 개입했을 가능성까지 조사하고 있다고 한다. 오노다 기미 일본 경제안보 담당 장관은 13일 "민간기업 등을 겨냥한 사이버 공격으로 개인정보 유출이 잇따르고 있습니다"라며 관계 부처가 협력해 기업들에 주의를 촉구하고 있다고 말했다. 연합뉴스TV는 대만 문제로 중일 관계가 냉각된 상황에서 사이버 공격까지 새로운 갈등 요인으로 등장했다고 전했다.

## 진위 논란

핵심 쟁점은 한국·일본 등에서 벌어진 개별 해킹 사고와 MS가 말한 스톰-0940의 캠페인을 하나의 중국 연계 세력이 벌인 일로 볼 수 있느냐다. 보도마다 "중국 정부 계열"과 "중국과 연계된"이라는 표현이 엇갈리는 만큼, 배후가 정부 차원의 조직인지도 함께 따져볼 문제다.

### 하나의 세력이 벌인 연쇄 공격이라는 쪽

이쪽은 같은 도구가 여러 지역에서 반복해서 확인됐다는 점을 가장 먼저 든다. MS는 한국 금융기관 공격에 아르텍스가 쓰였다는 보고를 직접 언급했고, 일본에서도 공격 서버 6대에서 같은 도구의 흔적이 나왔다. 서로 다른 나라에서 같은 AI 도구가 포착됐다면 연관성을 의심할 만하다는 논리다.

두 보안업체의 지목도 근거로 꼽힌다. 레코디드퓨처와 크라우드스트라이크는 한국 사건의 배후를 아르텍스와 여러 AI 모델을 함께 쓴 중국어 사용 행위자로 지목했다. 일본 공동통신은 이를 "중국 정부 계열"이라는 표현으로 속보 처리했다. 표적 업종이 항공우주·방위·반도체·정부·싱크탱크까지 넓었고, MSP를 통해 여러 테넌트에 접근하려 한 것으로 추정된다는 점도 MS의 설명에 나온다.

### 단정하기는 이르다는 쪽

반대편은 먼저 아르텍스가 공개된 오픈소스 도구라는 점을 짚는다. 누구나 쓸 수 있는 도구가 여러 사건에서 발견됐다는 사실만으로는 같은 조직의 소행이라고 보기 어렵다는 것이다. MS 자신도 한국 사건과의 관계를 "아르텍스가 쓰였다는 보고"라는 형태로 언급했을 뿐이고, 한국 사건의 배후로 지목된 것도 스톰-0940이 아니라 "중국어 사용 행위자"다. 이 둘이 같은 집단이라는 점이 보도에서 확인된 것은 아니다.

피해 규모에 대한 시각도 갈린다. MS는 대부분의 공격이 성공하지 못했다고 밝혔고, 비밀번호 대입 시도 역시 인증에 성공하지 못했다. 보도된 커넥트와이즈 성명은 무단 접근 "시도"를 조사 중이라는 내용이다. "중국 정부 계열"이라는 표현을 쓴 곳은 일본 공동통신 속보인데, 연합뉴스 등 한국 보도는 "중국과 연계된"이라고 쓰고 있다. 정부 차원의 개입을 뒷받침하는 구체적 근거는 지금까지 확인된 보도에 나와 있지 않다.

두 쪽의 주장이 모두 아직 확정된 사실로 굳지는 않았다. 한국과 일본의 사건이 하나의 작전인지, 정부 개입이 있었는지는 추가 조사 결과를 기다려야 한다.

## 여담

- 에펨코리아에는 일본 매체 47NEWS가 X에 올린 "【속보】 중국 정부계가 AI로 공격, MS가 발표" 게시물 캡처가 올라왔다. 이 게시물은 22일 밤 10시 29분 기준 약 26만 6천 조회를 기록했다. 공동통신 원문 속보는 22일 22시 28분에 송고된 것으로 표시돼 있다.
- 생생비즈플러스의 관련 기사 목록에는 "금융사 해킹 실체 드러날까...크라우드스트라이크 "中 광둥성 거주하는 26세 YY 추정""이라는 제목의 기사도 올라 있다. 다만 이 기사의 본문 내용은 확인되지 않는다.

## 출처

- 에펨코리아 게시물, [「[속보] 중국 정부 조직, AI 사용해, 전 세계 조직 공격 MS 발표」](https://m.fmkorea.com/best/10474107549)
- 연합뉴스, [「MS "中해커, 韓은행 공격 쓰인 AI도구로 전세계 수백곳 침해"」](https://www.yna.co.kr/view/AKR20261022040300009?input=1195m) (2026-10-22)
- 연합뉴스TV, [「한국 금융권 공격했던 中AI, 日기업도 해킹 시도」](http://www.yonhapnewstv.co.kr/news/MYH20261023005800Gvz) (2026-10-23)
- 뉴스1, [「MS "中 연계 해커, 아르텍스 AI 도구로 글로벌기업 수백곳 공격"」](https://www.news1.kr/world/international-economy/6328131) (2026-10-22)
- 생생비즈플러스, [「MS "中 해커, 韓은행 공격 쓰인 AI도구로 전 세계 수백곳 침해"」](https://www.livebiz.today/news/articleView.html?idxno=205818) (2026-10-22)
- Arirang News (YouTube), [「Microsoft says China-linked hackers used AI tool in global attacks」](https://www.youtube.com/watch?v=xbugdyHfdjU)

## 확인된 사실

- 마이크로소프트(MS)는 2026년 10월 21일(현지시간), 중국 정부 계열 또는 중국과 연계된 해킹 집단이 AI 기반 도구로 전 세계 수백 개 조직에 사이버 공격을 가했다고 발표했다. 이 사실은 연합뉴스, 뉴스1, 생생비즈플러스 보도와 공동통신 속보(에펨코리아 게시물에 캡처됨)에서 공통으로 확인된다.
- MS가 '스톰-0940'으로 명명한 이 그룹은 중국산 오픈소스 AI 모의침투 도구 '아르텍스(ARTEX)'를 이용해 미국 IT 서비스업체 커넥트와이즈를 침해했다. 연합뉴스와 생생비즈플러스 보도에서 확인되며, 뉴스1 제목도 아르텍스 AI 도구와 커넥트와이즈 침투를 언급한다.
- 아르텍스는 어떤 AI 모델이든 활용해 작업을 자동화하고 정찰·데이터 유출 같은 작업을 자율적으로 수행하도록 구성할 수 있는 프레임워크다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 이 도구는 한국 금융기관을 대상으로 한 개인정보 유출 사건에도 사용된 것으로 보고됐다. 연합뉴스, 생생비즈플러스, 연합뉴스TV 보도가 공통으로 전하며, 아리랑뉴스 유튜브 영상도 같은 도구가 한국 금융권 침해에서 확인됐다고 했다.
- 한국에서는 이달 초부터 16개 이상의 금융회사에서 10만 건 이상의 정보가 유출된 것으로 집계됐다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 미국 보안업체 레코디드퓨처와 크라우드스트라이크는 한국 금융권 사건의 배후로 아르텍스와 여러 AI 모델을 함께 쓴 중국어 사용 행위자를 지목했다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- MS에 따르면 이 그룹은 이르면 9월부터 아르텍스를 사용했고, 10월 10~14일 8개 조직의 계정 327개를 상대로 비밀번호 대입을 시도해 15만 1천 건 넘는 로그인 실패를 일으켰으나 인증에는 성공하지 못했다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 공격자는 커넥트와이즈 앱의 신뢰받는 신원을 이용해 대화형 로그인 없이 인증을 통과했다. 커넥트와이즈는 중소기업 IT 운영을 대행하는 관리형 서비스 제공업체(MSP)다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 표적은 항공우주, 방위, 자동차, 화학, 에너지, 금융, 정부, 법률, 반도체, 소프트웨어, 싱크탱크 등 광범위했다. 대부분의 공격은 실패했지만 스톰-0940은 단시간에 다수 조직에서 '권한 있는 클라우드 지속성'을 확보했고, 일부 사례에서는 최초 표적화 후 3시간 이내에 권한 있는 접근을 얻었다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 커넥트와이즈는 16일 성명에서 클라우드 백업 환경과 관련한 최근의 무단 접근 시도를 조사하고 있다고 밝혔다. 연합뉴스와 생생비즈플러스 보도에서 확인된다.
- 연합뉴스TV 보도에 따르면 아르텍스는 일본 기업 80여 곳을 겨냥한 해킹에도 사용됐다. 공격 서버 6대에서 사용 흔적이 발견됐고 8개 기업은 정보가 유출됐다고 밝혔다. (단독 확인)

## 쟁점

- 공격 주체를 에펨코리아 게시물에 캡처된 공동통신 속보는 '중국 정부 계열 해커 집단'이라고 표현했다. 연합뉴스와 생생비즈플러스 보도는 '중국과 연계된 해킹 그룹'이라고 표현해 정부 소속 여부는 확정적으로 말하지 않는다.
- 공격 대상의 범위는 매체마다 다르게 전한다. MS 발표 관련 보도(연합뉴스, 생생비즈플러스 등)는 '전 세계 수백 개 조직'이라고 했고, 연합뉴스TV는 일본 기업 80곳이 표적이 됐다고 별도로 전했다. 이는 모순이라기보다 범위의 차이로 보인다.