5대 은행 해킹 피해는 보안 투자 비율이 낮은 순서로 쌓인다

이 문서는 자라는 중인 주장입니다. 아직 근거를 모으고 있으며, 내용이 바뀔 수 있습니다.

신한은행·KB국민은행에 이어 하나은행에서도 해킹으로 고객 정보가 유출됐어.¹ 이 세 이름을 은행별 정보보호 투자 순위표 옆에 놓으면 묘하게 겹쳐. 5대 시중은행을 순이익 대비 정보보호 예산 비율로 줄 세우면 NH농협은행(2.65%), 우리은행(1.62%), 하나은행(1.41%), KB국민은행(1.02%), 신한은행(0.84%) 순이거든.² 유출이 보도된 세 곳이 정확히 아래 세 자리야.

나는 이 겹침을 우연으로 넘기지 않으려고 해. 도구를 만든 쪽이 손을 떼도 이번 해킹은 은행을 옮겨 다닐 수 있고, 그 피해는 벌어들이는 돈에 비해 보안에 덜 쓰는 은행 쪽에 쌓인다는 게 내 잠정 주장이야. 이번 연쇄 해킹에 쓰인 것으로 알려진 도구는 개발이 멈췄지만, 이미 배포된 사본까지 회수할 수는 없거든.³

왜 지금

그 도구가 중국산 AI 침투테스트 도구 아르텍스(ARTEX)야. 최근 한국 금융권을 겨냥한 연쇄 해킹 공격에 활용된 것으로 알려졌는데, 공개 개발을 접었어.³ 개발자는 더 이상 업데이트하지 않고 비공개 소스로 돌리겠다고 했고, 깃허브의 아르텍스 페이지도 사라졌어.³

겉으로는 위협이 닫히는 장면이야. 그런데 중국 정보통신 전문가는 이 결정이 이미 다운로드된 사본을 지우거나, 그걸 쓰던 사람이 계속 쓰는 걸 막지는 못할 거라고 봤어.³ 아르텍스는 AI 에이전트가 공격 대상을 분석하고, 침투 경로를 계획하고, 보안 도구까지 실행하도록 설계된 자율형 침투테스트 프로그램이야.³ 사람 손이 덜 드는 공격 도구라면 한 은행에서 멈춰야 할 이유도 없어.

통념과 비대칭

보안은 돈을 많이 쓰는 큰 은행이 더 단단하다고 보기 쉬워. 실제로 액수만 보면 시중은행이 커. 지난해 정보보호에 KB국민은행 392억원, 신한은행 317억원, 하나은행 530억원, 우리은행 423억원, NH농협은행 481억원을 썼고,² 케이뱅크는 152억원, 토스뱅크는 138억원이었어.²

그런데 액수로 줄 세우면 피해 순서가 설명되지 않아. 다섯 곳 중 가장 많이 쓴 하나은행도 뚫렸거든. 순서를 맞히는 건 비율이야. 순이익에 비해 얼마나 쓰느냐로 보면 하나은행은 아래에서 셋째고, 신한은행은 최근 고객 개인정보 유출 규모가 가장 컸는데 정보보호 투자는 가장 적었어.²

벌어들인 돈에 비해 보안에 덜 쓴 아래 세 은행이 유출이 보도된 세 곳과 겹쳐.

그 비율은 업계 전체로도 내려가고 있어. 5대 시중은행의 순이익 대비 정보보호 집행 비율은 2025년 1.36%로, 2024년 1.45%보다 낮아졌어.² 같은 해 케이뱅크는 순이익의 13.5%, 토스뱅크는 14.2%를 보안에 썼어.² 김진수 정보보호산업협회 회장은 “한국은 보안을 투자가 아닌 비용으로 인식하는 경향이 있다”고 말했어.²

비대칭은 여기 있어. 통념은 절대액을 보지만, 이번 피해의 순서와 겹친 건 벌어들이는 돈에 비해 얼마나 쓰느냐였어. 이 비율이 한 해 사이 내려가는 동안, 공격에는 사람 손을 덜 타는 도구가 등장했어.

근거

첫째, 투자의 얇음. 신한은행, 정보 유출은 가장 컸는데 보안 투자는 가장 적었다에서 다룬 은행별 정보보호 투자 자료가 출발점이야. IT투자액 대비로 봐도 정보보호 비중이 10%를 넘는 은행은 하나도 없었어.²

둘째, 번지는 속도. 신한은행 개인정보 유출 사고에 중국어를 쓰는 AI 에이전트가 해킹 과정을 자동으로 수행했을 가능성이 제기되면서 금융권 전반에 해킹 공포가 퍼졌어.⁴ 하나은행에서는 89명의 개인정보가 빠져나갔어.¹ 이 흐름은 10월 3일 조간에 정리돼 있어.

셋째, 회수할 수 없는 도구. CrowdStrike는 9월 말부터 10월 초 사이 한국 금융기관을 겨냥한 공격을 분석했고, 공격자가 아르텍스와 LLM을 함께 활용했다고 봤어.³ 개발 중단 뒤의 이야기는 아르텍스 개발을 멈추면, 이미 퍼진 사본도 사라질까에 정리돼 있어.

세 갈래를 겹치면 이렇게 읽혀. 은행들은 보안을 벌이에 비해 얇게 유지했고, 공격은 한 은행에서 다른 은행으로 번졌고, 그 공격에 쓰인 것으로 알려진 도구는 회수되지 않아. 셋 중 어느 하나도 혼자서는 피해가 어디에 쌓일지 말해 주지 않지만, 겹쳐 놓으면 다음 피해가 어디서 나올지에 대한 가설이 생겨.

이 주장이 틀리는 조건

가장 큰 약점은 표본이야. 은행은 다섯 곳뿐이고, 세 곳이 겹친 건 우연일 수 있어.

잣대를 바꾸면 순서도 흔들려. IT투자액 대비 정보보호 비중으로 보면 NH농협은행(9.4%), 하나은행(9.0%), 우리은행(8.7%), KB국민은행(8.2%), 신한은행(8.0%) 순이라,² 하나은행이 위에서 둘째로 올라가. 이 잣대로는 유출과 순위가 깔끔하게 겹치지 않아.

공격 경로도 아직 열려 있어. 신한은행 사고의 AI 연루는 가능성이 제기된 단계고,⁴ 세 은행의 피해가 모두 같은 도구에서 나왔다는 확인은 아직 없어. 피해가 같은 공격자가 고른 순서였다면, 투자 비율은 결과를 설명하는 변수가 아니라 우연히 겹친 숫자일 수 있어.

다음 확인 지표

• 다음 해 집행 비율. 2025년 1.36%로 내려간 순이익 대비 정보보호 집행 비율이² 2027년 말까지 나올 다음 해 자료에서 반등하는지 봐. 5대 은행이 비율을 눈에 띄게 끌어올리면 ‘보안을 비용으로 묶어 둔다’는 전제가 약해져.
• 추가 피해의 위치. 2026년 말까지 새로 보도되는 은행 유출이 비율이 높은 NH농협은행·우리은행 쪽에서 먼저 나오면 이 주장은 무너지고, 비율 하위 은행에서 반복되면 강해져.
• 도구 연관성 확정. 2026년 말까지 금융권 조사 결과가 신한·KB국민·하나은행의 피해를 아르텍스 한 갈래로 묶으면 ‘번진다’는 쪽이 강해지고, 서로 다른 공격으로 갈리면 비율과 피해의 겹침은 우연 쪽으로 기운다.

남은 질문들

• 정보보호 예산 비율과 실제 방어력 사이에는 무엇이 있나. 인력, 외주, 집행 시점 중 무엇이 차이를 만드는지 아직 숫자가 없어.
• 유출 한 건이 은행 이익에 남기는 비용은 얼마인가. 보상과 제재 비용이 정보보호 예산보다 큰지가, 보안을 비용으로 보는 계산이 맞는지 판정해.
• 순이익의 13~14%를 보안에 쓰는 인터넷은행은 이번 공격을 실제로 피했나.

각주

1. 연합뉴스, 「하나은행도 AI 해킹 뚫렸다…89명 개인정보 유출(종합)」(2026-10-02) 원문 ↩︎ ↩︎²

2. 전자신문, 「수조원 버는 5대 시중은행, 정보보호 투자는 2% 안팎」(2026-10-06) 원문 ↩︎ ↩︎² ↩︎³ ↩︎⁴ ↩︎⁵ ↩︎⁶ ↩︎⁷ ↩︎⁸ ↩︎⁹ ↩︎¹⁰

3. 연합뉴스, 박상현, 「한국 금융권 해킹에 등장한 ‘아르텍스’ 결국 공개 중단」(2026-10-10) 기사 ↩︎ ↩︎² ↩︎³ ↩︎⁴ ↩︎⁵ ↩︎⁶

4. 연합뉴스, 「신한은행에 ‘중국어 AI 침투’ 흔적…해킹 공포 금융권 확산(종합2보)」(2026-10-02) 원문 ↩︎ ↩︎²