[업데이트] 한국 금융권 공격에 쓰인 Artex AI…800여 개가 비밀번호 없이 노출됐다

인공지능이 스스로 시스템을 살펴보고 취약점을 찾는 시대가 열리면서 보안 담당자뿐 아니라 공격자도 AI 도구를 활용하고 있습니다. 인터넷 노출 장비를 조사하는 보안업체 Censys는 자율형 침투시험 도구 Artex의 관리 화면이 대규모로 공개돼 있었다고 2026년 11월 5일 발표했습니다. 전체 1,465개 호스트 가운데 같은 방식으로 구성된 서버를 제외하면 약 815개의 서로 다른 배포본으로 보이며, 비밀번호 없이 접속 가능한 사례가 포함됐습니다.

Artex는 원래 보안 전문가가 허가받은 시스템을 검사하는 데 사용할 수 있는 도구입니다. 모든 설치자가 범죄자라는 뜻은 아닙니다. 문제는 강력한 공격 도구의 관리 화면과 내부 자료가 공개 인터넷에 놓여 누구나 접근하거나 악용할 가능성이 커졌다는 점입니다. 컴친 학생분들에게도 중요한 이유는 이번 조사에서 확인된 공격 방식 상당수가 복잡한 비밀 기술보다 약한 비밀번호와 다중 인증 부재 같은 기본 실수를 이용했기 때문입니다.

Artex는 무엇을 자동으로 하나

Microsoft는 Artex 같은 에이전트형 도구가 목표 탐색, 취약점 확인, 침입, 자료 반출까지 여러 단계를 적은 사람의 개입으로 이어갈 수 있다고 설명합니다. 사람이 한 서버씩 살펴보던 일을 AI 에이전트가 빠르게 반복하므로 방어팀이 대응할 시간이 짧아집니다. 공개형 도구라서 연구자와 기업 보안팀도 사용할 수 있지만, 공격자가 내려받아 자신의 서버에서 실행할 수도 있습니다.

Censys는 공개된 Artex 서버 일부에서 다른 공격 도구와 명령제어 프로그램도 함께 발견했습니다. 조사 대상의 10.6%인 155개 호스트가 Censys가 추적하는 다른 위협 가운데 하나 이상을 함께 실행하고 있었습니다. 관리 콘솔을 인터넷에 공개할 필요가 없는데도 노출되어 있었다는 점은 공격 도구 운영자조차 기본 설정을 잘못할 수 있음을 보여 줍니다.

한국 금융권 사건과 어떤 관계인가

보안업체 CrowdStrike는 2026년 9월 말부터 10월 초까지 한국 금융기관을 겨냥한 공격에서 Artex가 사용됐다고 분석했습니다. 은행의 대출 조회 관련 서비스와 직원용 모바일 시스템이 침해됐고 자료가 반출된 것으로 알려졌습니다. Censys는 해당 공격과 연결된 Artex 서버의 공개 디렉터리를 보안 보고서가 나오기 약 7주 전부터 관찰했다고 밝혔습니다.

이는 eChingoo가 앞서 다룬 한국 금융사 연쇄 해킹 사건 이후 나온 중요한 후속 정보입니다. 당시 공격 사실에서 한 걸음 더 나아가 사용 도구가 어떻게 공개돼 있었는지, 비슷한 서버가 얼마나 많이 노출됐는지가 새로 확인됐습니다. 다만 중국어 사용 공격자가 관찰됐다는 분석과 중국 정부가 지시했다는 주장은 같은 말이 아닙니다. 확인된 기술적 사실과 배후 추정은 구분해야 합니다.

일반 이용자가 직접 Artex를 찾을 필요는 없다

개인이 인터넷에서 Artex 서버를 검색하거나 접속해 보려 해서는 안 됩니다. 허가 없이 다른 시스템을 조사하거나 조작하면 법적 문제가 생기고 악성 파일에 노출될 수 있습니다. 일반 이용자의 가장 효과적인 대응은 공격 도구를 추적하는 것이 아니라 자신의 계정과 기기가 쉽게 뚫리지 않도록 기본 방어를 강화하는 것입니다.

은행·이메일·클라우드 계정에는 서로 다른 긴 비밀번호를 사용하고, 가능한 모든 계정에서 인증 앱이나 보안키 방식의 다중 인증을 켜세요. 문자 인증도 없는 것보다 낫지만 번호 탈취 위험이 있으므로 인증 앱을 지원하면 그 방식을 우선합니다. 모르는 로그인 알림이 오면 알림 속 링크를 누르지 말고 공식 앱을 직접 열어 접속 기록을 확인하세요.

소규모 사업장과 웹사이트 운영자의 점검

원격 데스크톱, NAS, 공유기, 카메라, 웹 관리 화면을 인터넷에 그대로 공개하지 않았는지 확인합니다. 기본 관리자 이름과 비밀번호를 바꾸고, 직원이 퇴사했을 때 계정을 즉시 비활성화하세요. 방화벽에서 필요한 주소만 허용하고 관리자 접속에는 VPN과 다중 인증을 사용합니다. 오래된 플러그인과 운영체제는 자동 업데이트만 믿지 말고 매달 지원 상태를 확인해야 합니다.

로그인 실패가 갑자기 늘거나 새 관리자 계정, 알 수 없는 API 키, 낯선 전달 규칙이 생겼다면 단순 오류로 넘기지 마세요. 먼저 증거를 보존하고 호스팅업체나 보안 전문가에게 연락해야 합니다. DreamHost 침해 후 점검법과 AI 비서에 은행 비밀번호를 주면 안 되는 이유도 함께 참고할 수 있습니다.

AI 보안 도구를 사용할 때의 원칙

보안 점검 도구는 반드시 자신이 소유하거나 명시적 허가를 받은 시스템에서만 사용해야 합니다. 테스트 서버와 실제 고객 서버를 분리하고, 콘솔은 외부에 공개하지 않으며, 생성된 보고서와 비밀키도 암호화해야 합니다. AI가 제안한 공격 코드를 검토 없이 실행하면 정상 서비스를 망가뜨릴 수 있으므로 사람이 범위와 결과를 확인해야 합니다.

출처

Censys 조사: ARTEX Agentic Asbestos, 2026년 11월 5일
TechCrunch: 공개 인터넷에서 발견된 Artex AI 도구

컴친 한줄 정리: 강력한 AI 해킹 도구보다 더 흔한 약점은 공개된 관리 화면·약한 비밀번호·다중 인증 부재이므로, 내 계정과 사업장부터 기본 보안을 다시 점검하세요.