ARTEX AI 금융권 해킹은 어떻게 뚫었나 — MFA·신뢰 기기·EDR 분석

Analysis · ARTEX · 2026.10

ARTEX AI는 금융권을 어떻게 뚫었나

2026년 9월 말부터 10월 초까지 신한 · KB국민 · 하나 · BNK부산은행과 저축은행 · 캐피탈사에서 고객 정보가 연달아 새어 나갔습니다. 공격에는 중국에서 공개된 AI 자율 침투 테스트 도구 ARTEX가 쓰인 흔적이 확인됐습니다. 공개된 조사 결과를 바탕으로 공격자가 어떤 길로 들어왔는지, MFA와 신뢰 기기(디바이스 트러스트)가 왜 결정적이었는지, 그리고 외곽 서버가 뚫린 다음 내부로 번지는 측면 이동을 EDR이 어떻게 막는지 정리했습니다.

작성 2026. 10. 07코레이즈 보안팀약 10분 분량

요약

공개된 조사 결과를 보면 ARTEX를 쓴 공격자는 은행의 핵심 거래 시스템이 아니라 직원 · 대출모집인 · 협력사가 쓰는 외부 노출 웹 · 모바일 업무 시스템을 노렸습니다. 노출된 화면을 찾고, 본인확인 · 세션 검증의 허점으로 인증을 우회하고, 고객번호 같은 입력값을 바꿔 가며 IP를 분산해 수십 시간 동안 조회했습니다. 금융당국과 보안업계는 다중인증(MFA) 적용 여부가 실제 침해를 가른 요인으로 꼽았습니다. 그 시스템에 회사가 관리하는 기기만 접속할 수 있었다면(신뢰 기기), 처음부터 인터넷에서 보이지 않았을 것입니다.

이번에 공개된 사고는 외곽 시스템에서 정보를 “조회해 가져간” 형태이고, 내부망으로 번진 측면 이동은 확인되지 않았습니다. 하지만 외곽 서버는 공격자가 내부로 들어오는 가장 흔한 발판입니다. 그 서버를 장악해 웹셸을 심고, 계정 정보를 모으고, 내부 서버로 옮겨 가는 다음 단계를 막는 것이 EDR입니다. 결론은 하나의 제품이 아니라 층입니다. MFA · 신뢰 기기로 문을 닫고, 인가 검증 · 조회 한도로 데이터를 지키고, EDR로 발판을 지웁니다.

공격 기간

9.27–10.1

2026년 공개 보도 기준

침투 지점

외곽 시스템

직원 · 모집인 · 협력사용

결정 요인

MFA

적용 여부가 침해를 가름

다음 단계

EDR

발판 서버 · 측면 이동 차단

01What happened

2026년 금융권 ARTEX 해킹, 무슨 일이 있었나요?

2026년 9월 27일부터 10월 1일 사이 여러 금융회사에서 외부 침입이 이어졌습니다. 금융보안원은 공격 로그에서 ARTEX 흔적을 확인했고, 여러 기관에서 같은 공격자로 추정되는 IP가 겹쳐 나왔습니다. 공개된 은행별 내용은 아래와 같습니다.

기관	침투 지점	지속 시간	유출 규모
신한은행	대출모집인용 모바일 서비스 — 본인확인 절차를 거치지 않고 접근, 고객번호를 무작위로 넣어 반복 조회	9.28 18:04 – 9.30 00:15 (약 30시간)	약 2만 5천 명 (이름 · 전화번호 · 연소득 · 대출한도 등)
KB국민은행	직원용 모바일 업무지원 시스템	9.27 – 9.29 (약 42시간)	119명 (고객 · 직원)
하나은행	DMZ 구간의 임직원용 영업지원시스템(ODS)	9.30 12:16 – 22:52 (10시간 36분)	89명 (주민등록번호 · 주소 · 연락처 · 직장명)
BNK부산은행	세션 검증이 충분하지 않았던 외부 웹 페이지	10.1 탐지	외부 협력사 11명

이 밖에 저축은행 · 캐피탈사에서도 대출모집인 조회 화면 등을 통한 유출이 보도됐습니다. 수치와 시각은 각 사 침해사고 보고서와 금융당국 발표를 인용한 언론 보도 기준이며, 조사 결과에 따라 바뀔 수 있습니다. 출처: 시사프리즘, 국민일보, 전자신문, France 24(AFP).

02How ARTEX works

ARTEX는 무엇이고, 어떻게 뚫었나요?

ARTEX는 2026년 7월 오픈소스로 공개된 AI 자율 침투 테스트 도구입니다. 그 자체가 AI 모델은 아니고, 여러 대형 언어 모델을 불러와 작업을 나눠 맡기는 멀티 에이전트 구조로 정찰 · 취약점 탐색 · 공격 · 검증을 사람의 지시 없이 이어 갑니다. 원래 방어를 위한 점검 도구지만, 누구나 내려받아 고칠 수 있어 공격에 쓰였습니다. 공격 서버에서는 “AI 자율 침투 테스트” 콘솔을 뜻하는 중국어 문구가 발견됐습니다.

FIG. 01ARTEX 공격 흐름 4단계와 각 단계를 끊는 통제 — 4단계까지는 공개 보도로 확인된 흐름이고, 점선으로 표시한 측면 이동은 이번 사고에서 확인되지 않은 “다음 단계”입니다.

01외부 노출 화면 탐색

AI가 수백 개의 외부 접점을 빠르게 훑어, 핵심 거래 시스템보다 감시가 느슨한 직원 · 모집인 · 협력사용 화면을 찾습니다.

02인증 우회

본인확인 절차를 건너뛰거나 세션 검증이 약한 지점을 찾아, 정상 로그인 없이 조회 기능에 닿습니다.

03입력값 대입

고객번호 · 접수번호 같은 값을 바꿔 넣어, 원래 볼 권한이 없는 다른 사람의 정보를 조회합니다.

04IP 분산 반복 조회

여러 나라의 IP로 나눠 수십 시간 동안 조용히 반복 조회해, 한 IP 기준의 차단 · 탐지를 피합니다.

공격 흐름 4단계는 보안업계 분석을 인용한 보도(서플, 데일리시큐 CISO 칼럼) 기준입니다.

03The side door

왜 “중요하지 않은 시스템”이 뚫렸고, 그게 왜 문제였나요?

은행은 계좌 · 이체를 처리하는 핵심망을 겹겹이 지킵니다. 그런데 공격자가 들어온 곳은 업무 편의를 위해 밖에서 접속하게 열어 둔 부가 시스템이었습니다. 이 시스템들은 “중요하지 않은 서버”로 분류되기 쉽지만, 업무상 고객 정보 DB와 연결돼 있었습니다. 외곽의 약한 문이 안쪽 데이터로 가는 통로였던 셈입니다.

빠져 있던 통제	이번 사고에서 드러난 모습	있었다면
MFA (다중인증)	직원 · 모집인용 화면이 아이디 · 암호나 단순 본인확인만으로 열리거나 우회됨	암호를 알거나 우회해도 두 번째 인증에서 막힘
신뢰 기기 (디바이스 트러스트)	직원용 시스템이 인터넷의 아무 기기에서나 접속 가능	회사가 등록 · 관리하는 기기가 아니면 화면 자체가 보이지 않음
세션 · 인가 검증	입력값만 바꾸면 다른 고객 정보가 조회됨	로그인한 사람의 권한 범위 밖 데이터는 거부
조회 한도 · 이상 탐지	수십 시간 동안 대량 조회가 이어지고, 차단은 공격이 끝난 뒤	짧은 시간 대량 조회를 즉시 차단 · 경보
외부 노출 자산 관리	보안 담당이 존재를 잘 모르는 외곽 시스템이 열려 있음	외부에 열린 시스템 목록을 상시 관리 · 점검

MFA가 침해를 갈랐습니다. 같은 공격자가 여러 금융사를 두드렸지만 모두 뚫리지는 않았습니다. 보도에 따르면 금융당국 안팎에서는 다중인증과 사전 취약점 조치 여부가 실제 침해 여부를 가른 요인으로 봤습니다. AI가 공격을 빠르게 만들었을 뿐, 열린 문은 기본 통제의 공백이었습니다.

04MFA · Trusted device

MFA와 신뢰 기기는 ARTEX를 어떻게 막나요?

01신뢰 기기 — 문을 인터넷에서 치웁니다

직원 · 모집인용 시스템을 인터넷에 직접 열지 않고 ZTNA(제로트러스트 네트워크 접속) 뒤에 둡니다. MDM에 등록되고 암호화 · 최신 OS · EDR 정상인 회사 기기만 조건부 액세스를 통과해 접속하므로, AI가 외부 접점을 아무리 훑어도 화면이 보이지 않습니다. 1단계 탐색부터 끊깁니다.

02MFA — 우회해도 두 번째 문이 남습니다

직원 · 협력사 계정에 Okta · Entra ID 같은 IdP로 MFA를 겁니다. 피싱에 강한 방식(FIDO2 · 패스키, 번호 맞추기 푸시)을 쓰면 암호 대입이나 탈취로도 들어오지 못합니다. 2단계 인증 우회가 막힙니다.

03인가 검증 — 내 권한의 데이터만

서버가 요청마다 “이 사람이 이 고객 정보를 볼 권한이 있나”를 확인하면 고객번호를 바꿔 넣어도 다른 사람 정보가 나오지 않습니다. 3단계 입력값 대입이 막힙니다.

04조회 한도 · 탐지 — 수십 시간이 아니라 몇 분

계정 · 세션 · 기기 단위로 조회 한도를 두고 FDS · SIEM으로 이상 조회를 잡으면, IP를 바꿔도 같은 계정 · 세션의 대량 조회가 드러납니다. 4단계가 짧게 끝납니다.

신뢰 기기와 조건부 액세스는 MDM 가이드, MFA는 Okta SSO · MFA 가이드, ZTNA는 SASE 업체 선택 가이드에서 자세히 볼 수 있습니다.

05Where EDR fits

외곽 서버가 뚫린 뒤의 측면 이동은 왜 EDR로 막을 수 있나요?

이번 사고는 웹 화면을 통해 정보를 조회해 간 형태라, 서버에 악성 프로그램이 실행된 흔적은 공개되지 않았습니다. 이런 “정상 기능 악용형” 조회는 EDR보다 MFA · 인가 검증 · 조회 한도가 먼저 막는 영역입니다. 하지만 공격자가 같은 외곽 서버에서 한 걸음만 더 나가면 이야기가 달라집니다. 외곽 서버를 발판으로 삼아 내부로 옮겨 가는 순간, 공격은 서버 안에서 프로세스 · 파일 · 계정 · 네트워크 행위를 남기고, 그것이 EDR이 보는 영역입니다.

측면 이동 단계	서버 안에서 남는 행위	EDR이 하는 일
발판 확보	웹 서버 프로세스가 명령 셸을 실행, 웹 디렉터리에 웹셸 파일 생성	“웹 서버가 셸을 띄움” 같은 비정상 부모 · 자식 프로세스를 탐지하고 프로세스 종료
계정 정보 수집	설정 파일의 DB 계정 읽기, 메모리에서 자격 증명 추출 시도	자격 증명 덤프 · 민감 파일 접근 행위 탐지
내부 정찰	내부 대역 스캔, AD · DB 서버 탐색	평소와 다른 내부 연결 패턴을 같은 공격 흐름으로 묶어 경보
측면 이동	수집한 계정으로 SMB · RDP · SSH 원격 접속, 원격 실행 도구 사용	원격 실행 · 계정 오용을 탐지하고 감염 서버를 네트워크에서 자동 격리
목표 실행	DB 대량 반출, 랜섬웨어 암호화	프로세스 종료 · 격리, 지원 환경에서는 암호화 전 상태로 롤백

EDR 공격 흐름(Storyline) 화면 예시 — 웹 서버 취약점 공격에서 시작해 웹셸 생성, 계정 정보 수집, 내부 파일 서버 원격 접속, 대량 파일 암호화 시도까지 6단계를 하나의 흐름으로 묶고 자동으로 격리·종료·롤백한 예시 — FIG. 02외곽 웹 서버에서 시작한 측면 이동을 EDR이 하나의 공격 흐름으로 묶어 자동 격리한 예시 화면 — 실제 콘솔 화면과 다를 수 있습니다.

01서명이 아니라 행위를 봅니다

AI가 만든 공격 도구는 매번 모양이 바뀌어 백신(EPP)의 패턴으로 잡기 어렵습니다. EDR은 “무엇을 하느냐”를 보므로 처음 보는 도구도 웹셸 생성 · 자격 증명 수집 · 원격 실행 같은 행위에서 걸립니다.

02AI의 속도에 자동으로 맞섭니다

취약점 발견부터 공격까지가 몇십 분 · 몇 시간으로 줄었습니다. 담당자가 경보를 보고 판단하는 사이 측면 이동이 끝납니다. EDR은 위험 판정과 동시에 프로세스 종료 · 네트워크 격리를 자동으로 실행합니다.

03외곽 서버까지 같은 눈으로

“중요하지 않은 서버”에도 에이전트를 깔아야 합니다. DMZ의 Linux · Windows 웹 서버, 협력사 접속 서버가 발판이 되기 때문입니다. 서버와 직원 PC를 한 콘솔에서 보면 외곽에서 시작한 공격이 내부 어디까지 왔는지 한 흐름으로 보입니다.

04신뢰 기기 판정의 근거가 됩니다

EDR이 “위험”이라 판정한 직원 기기는 MDM 규정 준수에서 빠지고, 조건부 액세스가 업무 시스템 접속을 막습니다. 감염된 회사 기기가 MFA를 통과해도 들어오지 못하게 하는 연결 고리입니다.

EDR만으로는 부족하고, EDR 없이도 부족합니다. 이번처럼 웹 기능을 악용한 조회는 MFA · 신뢰 기기 · 인가 검증이 막고, 그 문을 넘어 서버를 장악하려는 다음 단계는 EDR이 막습니다. EDR과 백신(EPP)의 차이, SentinelOne의 특징은 EDR vs EPP 가이드에 정리했습니다.

06Checklist

우리 회사가 지금 점검할 7가지

01외부에 열린 시스템 목록

직원 · 협력사 · 모집인용 웹 · 모바일 화면, 테스트 · 구버전 시스템까지 인터넷에 열린 것을 전부 찾습니다.

02그 시스템의 데이터 연결

“중요하지 않은” 외곽 시스템이 고객 · 인사 DB를 조회할 수 있는지 확인합니다.

03MFA 적용 범위

직원 · 협력사 계정 전체에 MFA가 걸려 있는지, 예외 계정과 단순 본인확인만 쓰는 화면이 없는지 봅니다.

04신뢰 기기 접속 제한

직원용 시스템을 관리 기기만 접속하도록 ZTNA · 조건부 액세스 뒤로 옮길 수 있는지 검토합니다.

05인가 검증과 조회 한도

입력값을 바꿨을 때 다른 사람 정보가 나오지 않는지, 계정 · 세션별 조회 한도가 있는지 시험합니다.

06외곽 서버의 EDR

DMZ 웹 서버 · 협력사 접속 서버 · 직원 PC에 EDR이 깔려 있고 자동 격리 정책이 켜져 있는지 확인합니다.

07탐지 후 대응 시간

이상 조회나 EDR 경보가 났을 때 몇 분 안에 차단되는지, 야간 · 주말에도 누가 보는지 정합니다.

07Why CORAISE

코레이즈와 함께 층을 쌓아야 하는 이유

1. 문 — MFA · IdP

Okta 공식 파트너로 Okta · Entra ID MFA와 조건부 액세스를 직원 · 협력사 계정 전체에 설계합니다.

2. 신뢰 기기 — MDM · ZTNA

Intune · Jamf MDM으로 회사 기기를 판정하고, Cloudflare 공식 파트너로 직원용 시스템을 ZTNA 뒤로 옮깁니다.

3. 발판 제거 — EDR

SentinelOne EDR을 서버 · 직원 PC에 배포하고 자동 격리 정책과 대응 절차를 함께 설계합니다.

4. 경계 — 방화벽 · 망 분리

FortiGate로 DMZ와 내부망 사이 접근을 최소화해 외곽 서버에서 내부로 가는 길을 좁힙니다.

5. 외부 노출 점검

외부에 열린 시스템과 계정 · 권한 현황을 진단해 “존재를 모르던 문”부터 찾습니다.

6. 운영까지

도입 후 정책 조정과 경보 대응, 정기 리포트까지 코레이즈 엔지니어가 함께 운영합니다.

3,000+

2013년부터 함께해 온 고객사

MFA + EDR

계정과 기기를 함께

Zero Trust

IdP · MDM · ZTNA · EDR

08How it works

ARTEX형 공격에 대비하는 5단계

STEP 1

외부 노출 진단

인터넷에 열린 시스템과 각 시스템이 닿는 데이터, 인증 방식을 목록으로 만듭니다.

진단

STEP 2

MFA 전면 적용

직원 · 협력사 · 모집인 계정 전체에 MFA를 걸고 예외 계정을 없앱니다.

계정

STEP 3

신뢰 기기 · ZTNA

직원용 시스템을 관리 기기만 접속하도록 조건부 액세스 · ZTNA 뒤로 옮깁니다.

기기

STEP 4

서버 · 단말 EDR

외곽 서버부터 직원 PC까지 EDR을 배포하고 자동 격리 정책을 켭니다.

EDR

STEP 5

탐지 · 대응 운영

조회 한도와 이상 탐지, EDR 경보를 묶어 몇 분 안에 차단하는 대응 절차를 운영합니다.

운영

09FAQ

ARTEX 금융권 해킹 자주 묻는 질문

ARTEX란 무엇인가요?

ARTEX는 2026년 7월 오픈소스로 공개된 중국산 AI 자율 침투 테스트 도구입니다. 여러 대형 언어 모델을 멀티 에이전트로 묶어 정찰 · 취약점 탐색 · 공격 · 검증을 자동으로 수행하며, 2026년 9~10월 국내 금융권 연쇄 해킹에서 사용 흔적이 확인됐습니다.

ARTEX는 금융권을 어떻게 뚫었나요?

공개 보도에 따르면 핵심 거래 시스템이 아니라 직원 · 대출모집인 · 협력사용 외부 노출 웹 · 모바일 시스템을 노렸습니다. 노출된 화면을 탐색하고, 본인확인 · 세션 검증 허점으로 인증을 우회하고, 고객번호 같은 입력값을 바꿔 가며 IP를 분산해 반복 조회하는 4단계였습니다.

어떤 금융회사가 피해를 입었나요?

보도 기준으로 신한은행(약 2만 5천 명), KB국민은행(119명), 하나은행(89명), BNK부산은행(외부 협력사 11명)과 일부 저축은행 · 캐피탈사에서 정보 유출이 확인됐습니다. 공격은 2026년 9월 27일부터 10월 1일 사이에 이어졌습니다.

MFA가 있었다면 막을 수 있었나요?

금융당국 안팎에서는 다중인증과 사전 취약점 조치 여부가 실제 침해를 가른 요인으로 봤습니다. 같은 공격자가 여러 금융사를 두드렸지만 모두 뚫리지는 않았습니다. 여기에 회사 관리 기기만 접속하게 하는 신뢰 기기 통제가 더해지면 외부에서 화면 자체가 보이지 않습니다.

신뢰 기기(디바이스 트러스트)란 무엇인가요?

MDM에 등록되고 디스크 암호화 · 최신 OS · EDR 정상 같은 기준을 만족한 회사 기기만 업무 시스템에 접속하도록 하는 통제입니다. IdP의 조건부 액세스와 ZTNA로 구현하며, 계정 정보가 유출돼도 공격자의 기기로는 접속할 수 없게 합니다.

이번 사고에서 측면 이동이 있었나요?

공개된 조사 결과로는 핵심 시스템을 장악하거나 내부망으로 번진 측면 이동은 확인되지 않았고, 외곽 시스템에서 정보를 조회해 간 형태로 알려졌습니다. 다만 외곽 서버는 내부로 들어오는 대표적인 발판이므로, 측면 이동에 대한 대비는 별도로 필요합니다.

EDR로 측면 이동을 막을 수 있는 이유는 무엇인가요?

외곽 서버를 장악해 내부로 옮겨 가려면 웹셸 생성, 계정 정보 수집, 내부 스캔, 원격 접속 같은 행위를 서버 안에서 해야 합니다. EDR은 이런 행위를 패턴이 아니라 행동으로 탐지해 하나의 공격 흐름으로 묶고, 위험 판정과 동시에 프로세스 종료와 네트워크 격리를 자동으로 실행합니다.

EDR만 있으면 이번 같은 공격을 막을 수 있나요?

아닙니다. 웹 화면의 정상 기능을 악용한 조회는 서버에 악성 프로그램을 남기지 않아 EDR보다 MFA · 신뢰 기기 · 인가 검증 · 조회 한도가 먼저 막아야 합니다. EDR은 그 문을 넘어 서버를 장악하고 내부로 번지려는 다음 단계를 막는 층입니다.

AI 해킹 시대에 EDR이 더 중요해진 이유는 무엇인가요?

AI가 공격 도구를 빠르게 바꾸고 취약점 발견부터 공격까지의 시간을 몇십 분 · 몇 시간으로 줄였기 때문입니다. 패턴 기반 백신은 처음 보는 도구를 놓치기 쉽고, 사람이 경보를 판단하는 사이 측면 이동이 끝납니다. 행위 기반 탐지와 자동 격리가 그 속도를 따라갑니다.

우리 회사는 무엇부터 점검해야 하나요?

인터넷에 열린 직원 · 협력사용 시스템 목록과 그 시스템이 닿는 데이터를 먼저 파악하고, 해당 계정 전체에 MFA를 적용하세요. 이어서 관리 기기만 접속하게 하는 신뢰 기기 통제, 입력값 인가 검증과 조회 한도, 외곽 서버부터 직원 PC까지의 EDR 순으로 층을 쌓습니다.

코레이즈는 어떤 회사인가요?

코레이즈(CORAISE)는 서울 성수동의 기업 IT 인프라 · 보안 전문 기업으로, Okta 공식 파트너 · Cloudflare 공식 파트너로 MFA · 조건부 액세스 · ZTNA를 설계하고, Intune · Jamf MDM, SentinelOne EDR, FortiGate 방화벽을 구축 · 운영합니다. 문의는 1833-5805, sales@coraise.co.kr로 받습니다.

10Related

우리 회사의 “옆문”은 몇 개 열려 있을까요?

외부에 열린 시스템과 계정 · 기기 · 서버 보안 현황을 알려 주시면 MFA · 신뢰 기기 · EDR까지 층별로 무엇이 비어 있는지 진단해 드립니다.

보안 진단 상담 전화 상담 1833-5805

대표번호1833-5805보안 문의sales@coraise.co.kr평일 10:00–18:00

본 글의 사고 내용은 2026년 10월 7일까지 공개된 금융당국 발표와 각 사 침해사고 보고서를 인용한 언론 보도를 바탕으로 했으며, 조사 결과에 따라 달라질 수 있습니다. 측면 이동과 EDR 대응은 일반적인 공격 단계를 설명한 것으로, 이번 사고에서 해당 행위가 확인됐다는 뜻이 아닙니다. Okta, Microsoft Entra, Intune, Jamf, SentinelOne, Cloudflare, FortiGate는 각 사의 상표입니다.