레코디드 퓨처 “금융권 공격 연관 TAG-217, 8월부터 준비”…AI 활용 범위 확대

레코디드 퓨처 “금융권 공격 연관 TAG-217, 8월부터 준비”…AI 활용 범위 확대

가상자산 탈취 도구부터 모바일 취약점 시험까지 준비 정황 확인…AI의 공격 가속 효과는 입증되지 않아

국내 금융기관을 겨냥한 최근 사이버 공격과 연관된 위협 행위자가 사건이 알려지기 수주 전부터 공격 인프라를 시험하고 도구를 확보해 온 정황이 공개됐다. 인공지능(AI) 서비스를 활용해 다양한 환경의 취약점을 탐색한 흔적도 확인됐다.

레코디드 퓨처(Recorded Future)의 위협 연구 조직 인식트 그룹(Insikt Group)은 10월 16일 공개한 분석에서 해당 활동을 TAG-217로 추적하고 있다고 밝혔다. 연구진은 공격자가 외부에 노출한 디렉터리와 작업 기록 등을 통해 8월부터 이어진 준비 과정을 재구성했다.

다만 도구 확보와 시험 기록이 실제 침해 성공을 의미하는 것은 아니다. 연구진은 현재 증거만으로 AI가 이번 공격을 어느 정도 빠르게 만들었는지 입증할 수 없다고 설명했다.

핵심 내용

• TAG-217은 8월부터 인프라 시험과 공격 도구 확보를 진행한 것으로 분석됐다.
• ARTEX와 여러 AI 서비스의 활용 정황이 확인됐다.
• 가상자산·리눅스·모바일 관련 준비 기록도 발견됐지만, 모두 실제 공격에 사용됐다는 의미는 아니다.
• 대응 과제로 외부 노출 서비스 점검, 데이터 접근권한 검증, 이상행위 연계 분석이 제시됐다.

기관마다 다른 침해 대상…AI 도구 활용 정황에 주목

인식트 그룹에 따르면 최근 국내 금융권 공격은 피해 기관마다 침해된 시스템과 접근한 정보가 달랐다. 외주 개발자의 개인정보가 노출된 사례와 고객정보가 탈취된 사례 등이 보고됐다.

관련 공개 분석에서는 중국어 기반 오픈소스 AI 침투 테스트 프레임워크인 ARTEX의 활용이 거론됐다. Claude Code, DeepSeek, Grok, Zhipu AI 등 여러 AI 도구를 사용한 정황도 소개됐다.

연구진은 AI를 결합한 작업 방식이 다양한 시스템의 취약점을 폭넓게 시험하는 데 활용될 수 있다고 봤다. 특정 공격 경로에만 의존하기보다, 접근 가능한 지점을 반복적으로 탐색하는 데 도움이 될 수 있다는 분석이다.

피해 규모는 집계 시점에 주의해야 한다. 레코디드 퓨처 분석이 인용한 초기 공개 보도는 최소 7개 금융기관·6만8천명 이상의 개인정보 유출을 언급했다. 이후 10월 14일 연합뉴스 보도에서는 금융당국 집계를 기준으로 침해사고 발생 금융사 16곳·유출 약 10만건으로 전했다.

두 수치는 기준 시점과 집계 단위가 다르다. 또한 전체 금융권 사고 규모를 TAG-217에 대한 개별 행위자 분석과 동일한 범위로 해석해서는 안 된다.

8월부터 인프라 시험…공격 준비 범위는 금융권 밖으로

인식트 그룹은 TAG-217이 노출한 파일과 기록을 분석해 기존에 알려진 금융권 공격보다 앞선 활동을 확인했다. 준비한 도구에는 가상자산 탈취, 리눅스 권한 확대, 모바일 취약점 시험과 관련된 기능이 포함됐다.

공개 분석에 나타난 TAG-217의 주요 준비 정황

시점	확인된 정황	해석 시 유의점
8월 17~22일	원격 접속 유지용 인프라 시험과 인터넷 스캔	공격자 서버 사이의 시험 접속 기록이며, 해당 기록에서 피해 시스템 접속 성공은 확인되지 않음
8월 22일까지	YiiMP 기반 가상자산 채굴 환경 공격 도구와 리눅스 취약점 악용 도구 확보	도구 확보 자체가 실제 탈취나 침해 성공을 입증하지는 않음
9월 5일까지	아이폰 취약점 시험 및 안드로이드 시스템 소프트웨어 변형 작업 환경 구축	발견된 기록에서 모바일 기기 침해 성공은 입증되지 않음
9월 26일까지	정찰, 트래픽 중계, 페이로드 전달, 결제 처리 분석 관련 AI 도구와 기록 확인	모든 기능이 국내 금융기관 공격에 사용됐다고 단정할 수 없음

가상자산 관련 도구에는 기본 비밀번호를 시험하거나 지갑 설정·키 파일을 탈취하고, 자격 증명 확보 시 알림을 보내는 기능이 포함된 것으로 분석됐다. 리눅스 관련 도구는 알려진 취약점을 이용해 접근 권한을 확대하거나 보호된 비밀번호 정보를 추출하는 용도였다.

공격자는 접속 출처를 숨기기 위해 일반 가정용 인터넷 회선을 경유하는 프록시도 준비했다. 서버 간 연결을 유지하고 AI 작업 기록을 복사하는 기능 역시 확인됐다.

이러한 정황은 공격자가 여러 환경을 대상으로 활동할 수 있는 도구를 준비했음을 보여준다. 그러나 준비한 역량과 실제 실행된 공격, 최종적으로 성공한 침해는 구분해야 한다.

AI 역량 확대와 기본적인 보안 실수가 공존

이번 분석의 단서는 공격자가 자신의 인프라에 남긴 노출 정보였다. 공격 준비에 AI를 활용했지만, 서버 디렉터리와 작업 기록을 외부에 노출하는 운영상 실수까지 막지는 못했다.

인식트 그룹은 이를 AI 역량의 불균일성을 설명하는 ‘Jagged Edge’와 연결했다. 일부 작업에서 높은 성능을 보이더라도 다른 영역에서는 기본적인 실패가 나타날 수 있다는 의미다.

AI는 공격 대상 탐색과 여러 작업의 수행을 지원할 수 있다. 동시에 공격자가 남긴 파일과 인프라 흔적은 방어자가 활동을 연결하고 대응하는 단서가 될 수 있다.

연구진은 확보한 증거가 AI 활용 범위는 보여주지만 공격 속도의 개선 정도까지 입증하지는 않는다고 강조했다. 따라서 이번 사건을 AI가 모든 과정을 자율적으로 수행한 공격으로 단정하기보다, 기존 기법과 AI 서비스를 결합한 활동으로 이해할 필요가 있다.

대응의 출발점은 외부 노출 서비스와 데이터 접근권한

인식트 그룹은 민감정보에 접근할 수 있는 인터넷 노출 서비스에 우선적으로 주의를 기울여야 한다고 권고했다. 고객 대상 서비스뿐 아니라 직원과 협력업체가 사용하는 애플리케이션도 점검 범위에 포함된다.

로그인 확인을 넘어 데이터별 권한 검증

인증에 성공한 사용자라도 모든 고객정보에 접근할 권한을 갖는 것은 아니다. 고객정보를 제공하는 API와 업무 시스템은 요청한 사용자가 해당 데이터에 접근할 수 있는지 서버에서 검증해야 한다.

점검 우선순위는 외부 노출 정도와 접근 가능한 정보의 민감도, 침해 시 영향을 함께 고려해 정할 필요가 있다. 알려진 취약점과 취약한 인증정보 역시 공격의 진입점이 될 수 있다.

IP가 바뀌어도 이상행위를 연결해 분석

가정용 회선을 경유하는 프록시나 반복적인 IP 변경을 사용하는 공격은 출발지 주소만으로 추적하기 어렵다. 비정상 로그인, 여러 고객의 정보에 대한 반복 요청, 예상하지 못한 원격 접속과 데이터 전송을 함께 살펴야 한다.

보안관제에서는 공격 인프라 정보에 내부의 계정·접근·전송 기록을 결합해 개별 이벤트 사이의 관계를 분석하는 방식이 중요해진다.

위협정보 연계와 자동 대응에는 명확한 조건 필요

연구진은 지속적으로 갱신되는 위협 인텔리전스를 모니터링과 대응 시스템에 연결할 것을 제안했다. 신규 정보를 경보에 보강하거나 과거 활동을 검색하고, 충분한 신뢰도가 확보된 경우 보호 조치에 반영하는 방식이다.

다만 공유 프록시 주소 차단처럼 정상 고객에게 영향을 줄 수 있는 조치는 추가 검토가 필요하다. 확인된 악성 세션 종료 등 사전 승인할 수 있는 대응과, 증거가 불확실해 검토가 필요한 대응을 구분해야 한다.

금융당국도 외부접점·인증·접근통제 점검 강조

금융위원회는 10월 6일 금융위·금감원 합동 전 금융권 긴급 점검회의를 통해 외부접점과 인증·접근통제 등 보안체계 전반에 대한 점검을 강조했다. 공격 IP와 공격수법 등 위협정보를 신속히 공유하고 금융권 공동 대응을 강화하는 방안도 제시했다.

TAG-217 분석이 보여주는 운영상의 과제도 이와 맞닿아 있다. AI가 탐색 가능한 대상과 작업 범위를 넓히더라도 실제 진입점은 방치된 취약점, 약한 인증정보, 부실한 데이터 접근권한일 수 있다.

금융기관은 AI 활용 여부를 살피는 동시에 외부 노출 자산을 파악하고, 접근권한을 검증하며, 이상행위를 추적할 수 있는 기록을 확보해야 한다. 공격 준비 정황을 실제 침해와 구분해 해석하면서 기존 보안 공백을 줄이는 대응이 요구된다.

원문 및 참고 자료

• Recorded Future — TAG-217 Targets South Korean Financial Services with ARTEX
• 금융위원회 — 전 금융권 긴급 점검회의 및 침해위협 대응 방안
• 연합뉴스 — 10월 14일 금융권 침해사고 규모 후속 보도