AI 해킹 확산에 금융권 긴장…전문가들이 권하는 계정 보호 수칙

• 2026-10-03
• 경제
• 편집국

인공지능(AI)을 악용한 대규모 계정 탈취 공격이 신한은행, KB국민은행, 하나은행 등 국내 주요 시중은행의 방어망까지 위협하면서 이용자 개개인의 보안 대응이 중요해지고 있다. 기업 차원의 침해 사고를 개인이 사전에 막을 수는 없지만, 한 번 유출된 계정 정보가 다른 금융·쇼핑 계정으로 번지는 2차 피해는 이용자의 대응 방식에 따라 상당 부분 줄일 수 있다는 것이 보안업계의 설명이다. 전문가들은 사이트마다 다른 비밀번호를 사용하고 다중인증(MFA)을 활성화하는 것만으로도 계정 탈취 위험을 크게 낮출 수 있다고 조언한다.

포털 뚫리면 은행 계좌도 위험

유출 사고 발생 시 가장 먼저 닥치는 위협은 '크리덴셜 스터핑'(Credential Stuffing)이다. 한 서비스에서 빼낸 아이디와 비밀번호 목록을 자동화 도구에 입력해 은행, 오픈마켓, 포털, 사회관계망서비스(SNS) 등 여러 곳에 무더기로 로그인을 시도하는 수법이다. 여러 사이트에 같은 계정 정보를 쓰는 이용자가 많다는 점을 노린다. 최근에는 생성형 AI와 정교해진 자동화 스크립트가 결합하면서 공격 규모와 정밀도가 함께 높아졌다. 짧은 시간에 대량의 로그인 시도를 쏟아붓는 것은 물론, 흩어진 개인 데이터를 엮어 공격 대상을 선별하기도 한다.

비밀번호 돌려쓰기 금지

전문가들이 첫 번째 방어책으로 꼽는 것은 비밀번호 '돌려쓰기'를 하지 않는 것이다. 안랩은 서비스마다 완전히 다른 비밀번호를 만들 것을 권고했다. 기존 비밀번호 끝에 숫자나 특수문자 한두 개를 덧붙이는 수준의 변형은 공격 도구가 쉽게 알아내는 만큼 피해야 한다는 설명이다. 가장 신경 써야 할 곳은 이메일 계정이다. 이메일은 대부분의 웹서비스에서 본인 확인과 비밀번호 재설정 통로로 활용되기 때문에, 이메일 하나가 넘어가면 여기에 연결된 은행·쇼핑몰 계정이 연달아 뚫릴 수 있다. 특정 사이트에서 개인정보 유출 통지를 받았다면 해당 사이트 비밀번호만 바꿔서는 부족하다. 같은 비밀번호를 쓰던 다른 사이트까지 모두 찾아 하나씩 변경해야 피해 확산을 막을 수 있다.

MFA 설정하고 수상한 로그인 확인을

비밀번호 다음 방어선은 MFA, 즉 2단계 인증이다. 아이디와 비밀번호가 공격자 손에 들어가더라도 생체 인증이나 인증 앱(OTP) 같은 추가 관문을 통과해야 하므로 무단 접속 가능성이 크게 줄어든다. 로그인한 적이 없는데 스마트폰으로 인증번호나 승인 요청 알림이 왔다면 절대 승인하지 말고 즉시 비밀번호를 바꾸는 것이 안전하다.

개인정보 유출 사고 직후 쏟아지는 피싱·스미싱 문자도 경계 대상이다. 공격자들은 '개인정보 유출 확인', '피해 보상금 지급', '계정 보호 신청' 같은 문구로 악성 링크 클릭을 유도한다. 실제 유출된 이름이나 전화번호 등을 활용해 금융사 공식 안내처럼 위장하는 경우가 많아 무심코 누르기 쉽다. 출처가 불분명한 문자나 메일 속 링크는 눌러서는 안 되며, 금융사 공식 앱을 직접 실행하거나 브라우저 주소창에 주소를 입력해 접속하는 습관이 필요하다. 로그인 기록을 수시로 확인하는 것도 도움이 된다.

낯선 지역이나 처음 보는 기기에서 접속한 흔적이 있거나 요청한 적 없는 비밀번호 변경 안내를 받았다면 '모든 기기에서 로그아웃'을 누른 뒤 비밀번호를 새로 설정해야 한다. 계정 복구용 전화번호나 보조 이메일이 타인 것으로 바뀌어 있지 않은지도 함께 확인할 필요가 있다. 여러 사람이 함께 쓰는 공용 PC에서는 브라우저의 자동 로그인과 비밀번호 저장 기능을 쓰지 말고 사용을 마치면 반드시 로그아웃해야 한다. 개인 PC와 스마트폰도 백신으로 주기적으로 검사하고 운영체제(OS)를 최신 버전으로 유지해야 브라우저에 저장된 계정 정보를 빼가는 악성코드 감염을 막을 수 있다.

기업도 API·내부망 통제 강화해야

개인이 아무리 조심해도 사이버 범죄를 모두 막을 수는 없기 때문에 고객 데이터를 직접 다루는 기업이 보안 체계에 더 신경을 써야 한다. 안랩은 기업들이 응용프로그램 인터페이스(API) 인증과 접근 통제를 더 엄격히 하고, 비정상적인 반복 호출이나 대량 조회를 실시간으로 잡아낼 수 있는 감시 체계를 갖춰야 한다고 지적했다. 감시 범위도 고객용 웹과 앱에 그치지 말고 내부 관리자망과 외주·협력사 연계 시스템까지 넓혀야 한다고 강조했다. 평소 보관하는 고객 개인정보 자체를 최소화하는 데이터 관리 원칙도 주문했다.

안랩 관계자는 "계정 자격 증명이 한번 유출되면 공격자는 이를 발판 삼아 연쇄 공격을 전개한다"며 "이용자는 사이트별 비밀번호 분리와 다중인증 적용 등 기본 수칙을 지키고, 기업은 비정상 로그인 탐지 체계를 고도화하는 등 입체적인 방어망을 가동해야 한다"고 강조했다. 이번 사안은 우리은행과 NH농협은행도 유사한 해킹 시도를 겪었으나 시스템 차단으로 현재까지 파악된 정보 유출은 없는 것으로 전해지는 가운데 나왔다. 금융권에서는 AI를 활용한 공격이 갈수록 정교해지는 만큼, 이용자의 기본 보안 수칙 준수와 금융사의 탐지·차단 체계 고도화가 함께 이뤄져야 피해를 줄일 수 있다는 목소리가 커지고 있다.