2026년 9월 30일부터 10월 4일까지 닷새 동안 국내 금융사 7곳이 잇따라 해킹 피해를 신고했습니다. 고객과 임직원 약 6만 8천 명의 개인정보가 유출됐고, 공격 경로를 추적하는 과정에서 AI 침투 도구 ‘아르텍스(ARTEX)’를 쓴 정황이 나왔습니다.

보안 투자에 가장 적극적인 금융 업종에서 일어난 일이라 파장이 컸습니다. AI가 공격 속도를 바꾸고 있기에 모바일 앱으로 서비스를 운영하는 기업도 예외가 아닙니다. 이번 포스팅에서는 최근 해킹 사건에서 확인된 사실과 모바일 앱 운영사가 지금 점검해야 할 항목을 정리합니다.

이번 금융권 해킹에서 확인된 사항

2026년 11월, 현재 수사와 분석이 진행 중이지만 지금까지 드러난 내용은 크게 세 가지입니다.

  • 표적은 외부에 노출된 부가 시스템: 피해 기관 모두 핵심 시스템이 아니라 외부에서 접근할 수 있는 부가 서비스가 뚫렸습니다. 보안업계에서는 요청 파라미터를 바꿔 넣었을 때 서버가 권한을 제대로 확인하지 않은 점을 유력한 원인으로 보고 있습니다.
  • 여러 나라를 거친 우회 접속: 공격자는 12개국을 경유했고, 공격에 쓰인 IP 상당수는 추적을 피하기 위한 세탁 IP였습니다.
  • 은행 밖으로 번진 공격: 피해 기관에는 여신금융사인 캐피탈사도 포함됐습니다. 10월 말에는 증권사와 자산운용사에서도 해킹 사고가 이어졌습니다.

AI를 쓴 공격은 금융권에만 머물지 않았습니다. 10월에는 보험사, 병원, 학원 등 90개 업체에서 개인정보 820만 건을 빼낸 일당이 경찰에 적발됐는데, 이들도 AI로 취약점을 찾고 공격 방법을 얻었습니다. 이 일당은 IT와 무관한 예체능 전공자로 유튜브와 블로그로 해킹을 익히고 AI의 도움을 받은 것으로 알려졌습니다.

AI 해킹은 무엇이 다른가

가장 큰 차이는 속도입니다. 아르텍스 같은 AI 침투 도구는 계획을 세우는 에이전트와 이를 실행하는 에이전트가 나눠 일합니다. 대상 정찰, 취약점 탐색, 공격 경로 설계, 실제 요청 전송까지 사람이 하나씩 하던 작업을 상당 부분 자동으로 처리합니다.

그 결과 공격에 걸리는 시간이 크게 줄었습니다. 마이크로소프트가 공개한 사례에서는 공격 대상을 정한 뒤 클라우드 관리자 권한을 얻기까지 3시간이 채 걸리지 않았습니다. 방어하는 쪽 입장에서는 두 가지가 달라집니다. 작은 허점도 빨리 발견되고 발견에서 공격까지 대응할 시간이 짧아집니다. 그래서 공격자가 얻을 수 있는 정보 자체를 줄이는 것이 중요해졌습니다.

모바일 앱에는 서버로 가는 길이 포함돼 있다?

이번 사건의 침투 경로는 웹과 서버 쪽이었습니다. 그렇다면 모바일 앱 운영사는 왜 이 사건을 눈여겨봐야 할까요? 앱도 공격자가 서버를 알아내는 통로가 될 수 있기 때문입니다.

모바일 앱은 누구나 내려받을 수 있는 파일로 배포됩니다. 앱을 분석하면 그 앱이 호출하는 API 경로, 요청에 담기는 파라미터 구조, 코드 안에 남아 있는 키 같은 값이 드러납니다. 앱을 뜯지 않아도 앱과 서버가 주고받는 통신을 가로채면 상당 부분을 볼 수 있습니다.

이 정보가 있으면 공격자는 요청을 조작해 서버가 권한을 제대로 확인하는지 시험해 볼 수 있습니다. 이번 사건에서 유력하게 거론되는 수법과 같은 종류입니다. 앱이 담고 있는 것은 서버 전체가 아니라 앱이 쓰는 부분뿐이지만, 고객 정보와 거래를 다루는 앱이라면 그것만으로도 충분히 민감합니다.

AI 해킹 대응: 모바일 앱 운영사가 점검할 5가지

서버에서 시작해 앱과 통신, 접속 단계로 점검 범위를 넓혀야 합니다.

  1. 서버 측 권한 검증: 모든 API 요청에서 사용자가 해당 데이터에 접근할 권한이 있는지 서버가 직접 확인해야 합니다. 앱에서 보낸 값을 그대로 믿으면 안 됩니다. 다른 모든 조치의 전제입니다.
  2. 앱 난독화: 앱 코드를 읽기 어렵게 만들어, 앱에서 API 구조와 주요 로직을 뽑아내는 데 드는 시간과 비용을 높입니다.
  3. 위변조·후킹 탐지: 앱을 고쳐 다시 배포하거나, 실행 중인 앱에 끼어들어 값을 바꾸는 시도를 런타임에 탐지하고 차단합니다.
  4. 통신 가로채기 방지: 인증서 고정(Certificate Pinning) 등으로 앱과 서버 사이의 통신을 중간에서 보거나 조작하기 어렵게 합니다.
  5. 비정상 접속 탐지: 여러 나라를 거친 우회 접속은 해외 IP 차단만으로는 걸러지지 않습니다. VPN·프록시 사용 여부와 IP의 악성 이력까지 함께 봐야 합니다.

모바일 앱 보안 도브러너가 돕는 영역

도브러너는 위 체크리스트 중 앱과 접속 단계를 맡습니다.

  • 도브러너 모바일 앱 보안: 난독화와 위변조 방지, 런타임 앱 자기보호(RASP)로 앱 분석과 조작을 어렵게 만듭니다. Android는 앱 파일을 실링하는 방식으로 iOS는 SDK로 적용합니다.
  • Access Signals: 앱으로 들어오는 세션을 접속 시점에 평가합니다. VPN, 프록시, Tor, 레지덴셜 프록시, 악성 IP 여부를 확인하고 신호별로 차단할지 허용할지 정할 수 있습니다.

서버의 권한 검증은 각 서비스의 서버에서 챙겨야 합니다. 앱을 거치지 않고 웹서버를 직접 두드리는 공격도 앱 보안의 범위 밖입니다. 도브러너는 서버 보안을 대신하는 것이 아니라 앱이 공격의 시작점이 되는 것을 막는 역할입니다.

AI 해킹 관련 모바일 앱 보안과 관련해 자주 묻는 질문

1. AI 해킹이란 무엇인가요?

AI를 이용해 정찰, 취약점 탐색, 공격 실행을 자동화하는 공격입니다. 사람이 하던 작업을 AI 에이전트가 나눠 처리해 공격 속도와 규모가 커집니다.

2. 모바일 앱 보안 솔루션이 있으면 AI 해킹을 막을 수 있나요?

일부 단계를 막을 수 있습니다. 앱 보안은 앱을 통해 서버 정보를 얻거나 요청을 조작하는 것을 어렵게 만듭니다. 다만 서버의 권한 검증이나 웹서버 보안을 대신하지는 않으므로 함께 갖춰야 합니다.

3. 은행이 아닌 앱 서비스도 대응이 필요한가요?

필요합니다. 금융권에서는 캐피탈사와 증권사에서도 사고가 발생했고, AI를 쓴 다른 공격에서는 보험사, 병원 등 다양한 업계에서 피해를 입었습니다. 고객 정보를 다루는 앱이라면 업종과 관계없이 점검 대상입니다.

AI 해킹 시대, 점검을 미룰 수 없는 이유

제도도 바뀌었습니다. 2026년 9월 11일 시행된 개정 개인정보 보호법은 반복적이거나 중대한 유출에 전체 매출액의 최대 10%까지 과징금을 물릴 수 있게 했습니다. 유출 가능성만 알게 돼도 72시간 안에 정보주체에게 알려야 합니다. 반대로 개인정보 보호에 미리 투자한 기업은 과징금을 최대 40%까지 감경받을 수 있습니다.

아르텍스는 공개 개발이 중단됐지만, 비슷한 AI 침투 도구는 계속 나오고 있습니다. 서버와 함께 앱이 무엇을 드러내고 있는지 지금 점검해 보세요. 우리 앱의 보안 수준이 궁금하다면 도브러너의 보안 전문가에게 문의해 주세요.