[단독]은행 해킹 AI 도구 깔린 서버 52대 포착…80%가 미 LA 임대업체 서버

미국의 사이버 위협 분석업체 팀 킴루(Team Cymru)가 공개한 ARTEX 설치 서버 주소 목록. X 캡처

금융권 연쇄 해킹에 쓰인 것으로 추정되는 인공지능(AI) 자율 침투 도구 ‘아르텍스(ARTEX)’가 미국·홍콩·중국에 있는 서버 52대에 설치돼 있다는 해외 보안업체 분석 결과가 나왔다. 이 가운데 약 80%는 미국 로스앤젤레스(LA) 서버 임대업체의 것으로 확인됐다.

다만 해당 정보만으로 공격자의 국적을 특정하기는 어렵다는 평가다.

6일 보안업계에 따르면 미국의 사이버 위협 분석업체 팀 킴루(Team Cymru)는 지난 3일 소셜미디어 엑스(X)를 통해 “자사 관측 서비스 ‘토털 인사이츠’가 아르텍스가 설치돼 실행 중인 서버 52대를 확인했다”며 해당 IP 주소 목록을 공개했다.

공개된 52대 가운데 40대는 앞자리가 같은 두 묶음의 주소(38.11.173.x, 38.11.221.x)에 몰려 있었다.

경향신문이 IP 정보 조회서비스로 확인한 결과, 40대 서버 모두 미국 LA 에 위치한 서버 임대업체에 속해 있었다. 주소 끝자리가 1, 5, 10, 14, 19 식으로 일정한 간격을 두고 이어지는 점으로 미뤄 봤을 때 누군가 자동화된 방식으로 한꺼번에 개설했을 가능성에 무게가 실린다.

나머지는 미국 5대, 홍콩 5대, 중국 2대였다. 중국 2대는 베이징과 광저우에 있었다. 알리바바와 텐센트 등 대형 클라우드 사업자의 통신망에 속한 서버도 포함됐다.

미국·홍콩의 서버 2대에서는 아르텍스 외에 또 다른 AI 공격 자동화 도구인 ‘사이버스트라이크AI(CyberStrikeAI)’의 조종 장치도 함께 관측됐다. 팀 킴루는 이 2대를 우선 차단 대상으로 꼽았다.

이들 52대는 모두 ‘AI 중계소’ 역할도 겸하고 있었다. AI 중계소는 클로드·챗GPT·그록 같은 AI 서비스로 가는 요청을 중간에서 대신 전달해 주는 서버다. 아르텍스는 두뇌가 없는 ‘도구’로, 어디를 살펴보고 무엇을 시도할지는 외부 AI에 물어서 결정한다. 공격 도구와 두뇌로 향하는 통로가 한 서버에 나란히 놓여 있는 셈이다.

팀 킴루는 “같은 장비(서버)가 AI 모델 접속을 중계하면서 자율 공격 자동화도 돌리고 있었다”고 설명했다.

이것만으로 공격자의 국적이나 소재지를 특정하기는 어렵다. 해당 주소들은 누구나 비용을 내고 빌릴 수 있는 임대 서버다. 이 서버들의 운영 주체가 같은 사람인지도 현재로서는 미지수다.

한편 금융감독원은 금융회사 해킹에 쓰인 공격자 IP 19개를 특정한 것으로 6일 전해졌다. 이 IP는 미국·일본·홍콩 등 12개국에 걸쳐 있으며 미국이 5개로 가장 많고 국내 IP도 1개 포함됐다. 금감원은 이 목록을 전 금융권에 공유하고 8일까지 자체 점검을 마치도록 요청했다.