최근 국내 금융권을 겨냥한 대규모 해킹 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 제기됐다. 해커가 인공지능(AI)에 이력서 작성을 요청하는 과정에서 자신의 신원으로 추정되는 정보를 남긴 것이다. 특히 해커가 탈취한 한국 개인정보를 판매할 수 있는 경로까지 AI에 문의한 것으로 드러나면서 금전적 이익을 노린 공격일 가능성이 커졌다. 유출된 개인정보가 보이스피싱 등 추가 범죄에 악용되는 2차 피해 우려도 높아지고 있다.
8일 금융권에 따르면 미국 사이버보안업체 크라우드스트라이크는 전날 공개한 '신원 미상의 공격자가 AI 기반 아르텍스(ARTEX)를 이용해 한국 금융권을 공격했다'는 제목의 보고서에서 해커의 신원을 추정할 수 있는 구체적인 단서를 발견했다.
크라우드스트라이크는 해커가 사용한 서버에 남아 있던 AI 코딩 도구 '클로드 코드(Claude Code)'의 작업 기록을 분석하는 과정에서 이 같은 정보를 확인했다. 해커는 클로드 코드에 보안 연구원 이력서 작성을 요청하면서 ARTEX를 활용한 침투테스트 성과를 포함하도록 지시했다.
이 과정에서 해커는 자신의 이름을 'YY', 나이를 26세로 기재했다. 학력은 중국 화남이공대학, 거주지는 중국 광둥성 마오밍으로 입력했다. 중국 전화번호와 텔레그램 계정 '@YY520CN'도 함께 남겼다. 다만 처음 입력한 생년월일은 2007년 9월22일로, 26세라는 나이와 일치하지 않았다.
중국에서 개발된 ARTEX를 사용하고 중국어로 AI에 명령을 내린 점 등을 고려해 중국어 사용자일 가능성도 제기했다. 다만 크라우드스트라이크는 현재 확보된 자료만으로 특정 국가나 해킹 조직의 소행, 신원을 확정할 수는 없다고 설명했다.
해당 텔레그램 계정은 다른 사이버 공격 정황에서도 발견됐다. 크라우드스트라이크에 따르면 텔레그램 기반 대체불가토큰(NFT) 선물 거래 플랫폼의 취약점을 조사한 클로드 코드 작업 기록에서도 동일한 계정명이 사용됐다. 중국의 한 결제 플랫폼을 겨냥한 것으로 추정되는 공격에서도 같은 계정이 확인됐다.
아울러 크라우드스트라이크는 이번 공격자가 금전적 동기에 따라 움직였을 가능성이 높다고 평가했다. 크라우드스트라이크가 확보한 클로드 코드 작업 기록에는 해커가 한국에서 유출된 개인정보를 통상 어디에서 판매하는지 질문한 내용이 담겼다. 한국 개인정보를 거래하는 텔레그램 그룹을 찾아달라는 요청도 있었다. 실제 개인정보 판매가 이뤄졌는지는 확인되지는 않았다.
금융권 보안 관련 고위관계자는 "크라우드스트라이크의 보고서 내용 자체는 정확할 가능성이 높다"라면서도 "다만 해커가 거짓으로 기록했으면 틀린 내용일 수도 있다"고 말했다. 이어 그는 "문제는 이런 공격이 더 많이 일어나는 것이고, 금전적 동기가 크므로 2차 피해가능성이 높다는 점이다"라고 덧붙였다.