한국 금융권을 타깃으로 한 해킹 공격의 배후가 중국 광둥성에 거주하는 20대 인물일 가능성이 있다는 분석이 나와 추이가 주목된다.
공격자가 중국 인공지능(AI) 모델 딥시크를 주로 활용한 정황도 일부 드러났다.
글로벌 사이버보안 기업 크라우드스트라이크는 현지시간 7일 공개한 분석 보고서를 통해 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 주장했다.
다만 이는 정황에 따른 추정으로, 신원이 특정된 건 아니다.
크라우드스트라이크에 따르면 이번 단서는 공격자가 생성형 인공지능(AI) 코딩 도구 클로드 코드 사용 과정에서 노출됐다.
공격자는 클로드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했는데 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보를 함께 입력했다.
공격자는 이 과정에서 클로드에 탈취한 한국 금융 정보를 통상 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 질문한 것으로 알려졌다.
앞서 크라우드스트라이크는 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌으며, 공격자가 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 아르텍스(ARTEX)와 대규모언어모델(LLM)을 함께 활용했다고 분석한 바 있다.
이번 크라우드스트라이크 분석에 따르면 공격자는 홍콩 소재 IP 주소를 주 통제인프라로 삼아 공격 전반을 지휘하고, 한국 공격에 실제 쓰인 아르텍스 인스턴스(서버)는 별도의 IP 주소에서 운용하는 두 단계 서버 구조를 사용했다.
이 밖에도 9개의 프록시(우회 경로) IP 주소를 추가로 활용하며 지속적으로 접속 경로를 바꿔간 것으로 파악됐다.
아르텍스를 구동하는 데 쓰인 핵심 AI는 딥시크의 경량 모델 v4.1-플래시였다.
이 역시 정식 경로가 아닌 제3의 재판매 업체를 통해 우회 접속한 것으로 분석됐다.
여기에 더해 공격자는 클로드 코드 세션에서 중국 즈푸AI의 GLM-5.3과 그록 4.6 등 다른 LLM도 보조적으로 활용한 것으로 나타났다.
복수의 LLM과 서버를 용도에 따라 교차 사용한 정황은 공격자가 특정 모델이나 인프라에 의존하지 않고 여러 도구를 상황에 맞게 조합해 활용했음을 시사한다.
중국어 사용자로 추정되는 이번 공격자는 금전적 동기에 따라 움직였을 가능성이 중간 수준의 신뢰도로 평가됐다.
한국 금융권을 겨냥한 이번 해킹 사태는 지난달 말부터 이달 초 사이 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개 금융사에서 잇따라 침해 사고가 확인되면서 불거졌다.
노성우 기자 sungcow@segye.com
