은행권을 괴롭히는 일련의 해킹 사건은 단순한 사고가 아니라, 인공지능(AI)이 ‘도구’에서 스스로 판단하고 실행하는 ‘에이전트’로 진화함에 따라 예고된 위협의 현실화였다. 신한은행을 시작으로 국민·하나·우리·BNK부산은행까지 다양한 금융기관이 이상한 시기에 침해를 당하며, 이는 AI가 주도하는 새로운 해킹 전략의 무력을 보여주고 있다.

금융권 내부에서 지난달 30일 신한은행이 고객 약 2만5천명의 개인정보 유출 사건을 인지하자, 이어 KB국민은행과 하나은행, BNK부산은행 등에서도 비슷한 침해가 발견되었다. 이들 사고는 반복적이고 자동화된 외부 공격으로 특징지어졌으며, 그 결과 고객 및 직원의 개인정보가 노출됐다. KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출되었고, BNK부산은행에서는 외주 개발직원 11명의 정보가 노출됐다.

이러한 침해 사건들은 특정 은행의 보안 실패보다는 금융권 전체에 걸친 구조적 취약점을 드러내고 있다. 이번 사태를 둘러싼 주요 배경은 AI 기술이 발전하면서 ‘수행 주체’가 변화한 점에 있다. 과거의 생성형 AI는 사용자의 직접적인 지시 하에 작동했으나, 최신 AI는 스스로 목표를 세우고 여러 단계의 작업을 연쇄적으로 수행하는 ‘에이전트’ 형태로 진화했다. 이런 변화는 공격 기법 자체보다 주체가 AI로 전환된 것을 의미한다.

AI 에이전트는 목표만 지정되면 정보 수집과 취약점 탐색, 공격 실행 및 방법 수정까지 자율적으로 처리할 수 있게 되었다. 이에 따라 구글클라우드와 보안 자회사 맨디언트는 AI가 사이버 보안 분야에서 주요 위협 요소로 부상하고 있음을 경고했다. 그들의 ‘사이버보안 전망 2026’ 보고서에 따르면, 공격자들은 AI를 활용한 프롬프트 인젝션과 AI 기반 소셜엔지니어링을 통해 더 정교하게 침입할 것으로 예상된다.

AI 에이전트의 등장은 보안 방어 체계에도 급격한 변화를 요구한다. 전통적인 ‘경계형 보안’에서는 AI 주도 공격을 수동으로 대응하는 데 한계가 있음이 명확해졌다. 현재의 위협 환경에서는 침입 시점부터 핵심 자산까지 접근하지 못하도록 하는 ‘제로트러스트’ 원칙을 도입하여 내부망 흐름을 엄격히 통제해야 한다는 의견이 늘고 있다. 이와 함께 개별 취약점 점검보다는 조직 전체의 보안 체계를 포괄적으로 점검하는 방향으로 전환해야 할 필요성이 제기되고 있다.

금융당국은 이번 사건을 계기로 은행들의 보안 체계를 재정비하고, AI 기술 발전에 대응할 수 있는 포괄적인 방어 전략을 마련하는 데 나섰다. 이는 금융권 내에서 AI가 주도하는 새로운 위협에 대한 깊이 있는 이해와 대처를 요구하며, 보안 기술의 발전 속도와 은행들의 보안 인식 간격을 좁히는 계기가 될 것으로 예상된다.