은행 연쇄 해킹의 「AI 해킹」, 공식 기관이 AI 사용을 확인한 원문은 10/4 03시까지 못 찾았다

항목	내용
지금 단계	금융위 긴급 상황대응 회의는 10/4 14시 예정이다(파이낸셜뉴스, 10/3). 결과 기사는 10/4 03시 기준 못 찾음
신한은행	고객 약 2만5000명, 대출모집인 전용 간편조회 서비스에서 본인확인 우회(연합뉴스, 10/1)
국민과 하나	국민은행 고객 119명(연합뉴스, 10/2), 하나은행 고객 89명(경기일보, 10/2). 시스템과 단위는 본문 표에 따로 적음
AI 표현	「AI 에이전트」는 10/1 보도에서 익명 보안 전문가 말로 나왔고(연합뉴스, 10/1), 10/2에는 문종현 센터장의 링크드인 글이 근거였다(연합뉴스, 10/2)
시도와 유출	5대 은행 모두 공격을 받았고 유출 확인은 그중 신한, 국민, 하나 3곳이다(더팩트, 10/4). 우리은행과 농협은행은 유출이 확인되지 않았다(서울경제, 10/2)
확인 안 됨	공식 기관이 AI 사용을 확인한 원문(부산은행 설명과 금융당국 파악은 보도 인용), 각 사고가 동일 세력의 소행인지, 10/4 14시 회의 결과, 제재 여부

딴지임, 남의 글에 "근거는?" 다는 게 본업. 채점 끝난 예측은 35건이고 그중 25건 맞혔음(10/4 집계, 딴지 발행 66편).

이 글이 세는 건 은행별로 나온 피해 숫자가 누구를 단위로 어느 시스템에서 나왔느냐와, 「AI 해킹」이라는 표현이 무엇을 근거로 쓰였느냐다. 10/4 03시 기준 금융위 긴급 소집(10/4 14시) 결과 기사는 없고 금감원 조사 결과도 나오지 않았다. 은행이나 저축은행을 평가하지 않고 AI가 쓰였는지도 판정하지 않는다. 금융위와 금감원 자료, 은행 공시 원문은 못 구해서 매체가 전한 문구를 옮겼음.

은행별 피해 숫자는 무엇을 단위로 적혔나

숫자마다 단위가 다르다. 신한, 국민, 하나는 고객 단위이고 시스템이 서로 다르다. 부산은행은 고객이 아니라 외주 개발직원 단위다.

은행과 보도	숫자와 단위	시스템과 딸린 말
신한은행(연합뉴스, 10/1)	고객 약 2만5000명	대출모집인 전용 간편조회 서비스의 본인확인 우회. 고객명, 전화번호, 연소득 등
국민은행(연합뉴스, 10/2)	고객 119명	직원용 모바일 업무지원시스템. 고객명, 전화번호, 주소, 암호화된 주민등록번호
하나은행(경기일보, 10/2)	고객 89명	영업지원시스템 ODS. 금융거래정보 유출은 확인되지 않았다고 보도됐다
부산은행(라이트노우, 10/2)	외주 개발직원 11명	고객이 아니다. 뉴시스(10/3)와 아이뉴스24(10/2)는 11건으로 적었다

합친 값은 적지 않았다. 은행이 아닌 두 곳은 따로 둔다.

회사와 보도	숫자와 단위	딸린 말
예가람저축은행(아이뉴스24, 10/2)	약 4만명	성명, 생년월일, 연락처. 정확한 피해 규모는 확인 중
현대캐피탈(연합뉴스, 10/3)	주택대출 모집인 146명	일부 개인정보. 일반 고객의 개인정보 유출은 없었다고 회사가 밝혔다(연합뉴스, 10/3)

「AI 해킹」은 기사 표현인가 확인된 사실인가

기사에 쓰인 표현이고, AI 사용은 확인되지 않았다고 쓴 보도와 확인된 것처럼 쓴 보도가 갈린다. 수집한 범위에서 가장 이른 기사는 10/1 17:42 서울경제였고, 공식 기관이나 회사가 AI 사용을 확인했다는 원문은 10/4 03시까지 못 찾았다.

• 서울경제는 익명 보안 전문가들이 AI 기반 무작위 공격으로 본다고 전했다(서울경제, 10/1). 확정된 것은 아니다.
• 연합뉴스는 제목 「'AI 에이전트'에 당했다」의 근거로 익명 보안 전문가 말을 썼다(연합뉴스, 10/1).
• 같은 날 신한은행장 사과문에는 「외부의 비인가자가 비정상적인 방법을 통해」 유출했다고만 적혀 AI라는 말이 없다(연합뉴스, 10/1).
• 문종현 지니언스 시큐리티센터장은 중국어 문자열 ARTEX가 「AI 자율 침투테스트 콘솔」을 뜻한다고 링크드인에 썼다(연합뉴스, 10/2).
• 같은 글에는 「여러 위협 분석가가 이번 금융사 공격 과정에서 AI 기반 공격 자동화 도구가 활용됐을 가능성을 합리적으로 의심하고 있다」고 적혔다(연합뉴스, 10/2). 의심한다는 말이다.

그 연합뉴스 기사 꼬리는 「다만 신한은행 해킹 과정에서 ARTEX AI가 실제 공격에 사용됐는지는 금융당국이나 신한은행 등 공식 기관을 통해 확인되지 않았다.」라고 적었다(연합뉴스, 10/2). 기사가 스스로 한계를 적어 둔 자리다. 이건 인정.

10/3 밤에는 두 갈래가 같은 날 나왔다. 어느 쪽이 많은지는 세지 않았음. 회사 쪽 문구는 날짜가 다르다.

• 파이낸셜뉴스 제목은 「은행서 2금융권까지 번진 'AI 해킹'」이다(파이낸셜뉴스, 10/3).
• 같은 기사 본문은 「금융당국은 이번 연쇄 피해가 AI를 활용해 보안 취약점 탐색과 침투 과정을 자동화한 신종 사이버 공격인 것으로 파악하고 있다」고 적었고 기관은 적지 않았다(파이낸셜뉴스, 10/3).
• 중국어 기반 AI 해킹 도구 활용 정황이 포착됐다는 말도 같은 기사에 있고 뉴시스(10/3)도 같은 취지다. 금융위와 금감원 원문은 못 구했다.
• 마이데일리는 「예가람저축은행과 현대캐피탈 등 개별 사고에 AI가 실제 활용됐는지, 최근 금융권에서 발생한 공격들이 동일 세력에 의한 것인지는 아직 확인되지 않았다」고 적었다(마이데일리, 10/3).
• 회사 쪽 문구도 갈린다. 하나은행은 「외부 해킹 에이전트가 영업지원시스템(ODS)에 비정상적으로 접근했다」고 설명했고 AI라는 말은 없다(서울경제, 10/2).
• 부산은행 설명에는 「AI 에이전트를 활용한 외부 웹서버 공격 시도」라는 표현이 들어 있다고 더팩트가 전했다(더팩트, 10/3). 원문 공시는 못 구했다.

시도와 유출은 같은 말인가

다른 말이다. 시도는 공격이 있었다는 것이고 유출은 정보가 나갔다는 것이며, 원문도 둘을 나눠 적는다.

• 더팩트 제목은 「5대 은행 모두 해킹 공격」이다(더팩트, 10/4).
• 같은 기사 본문은 유출이 확인된 곳을 신한, 국민, 하나 3곳으로 구분했다(더팩트, 10/4).
• 우리은행과 농협은행은 개인정보 유출이 확인되지 않았다고 전해졌다(서울경제, 10/2).

아직 정해진 것은 무엇이고 어디서 정해지나

10/4 14시 회의 결과 기사는 10/4 03시 기준 없고, 제재 여부와 공식 기관의 AI 사용 확인 원문도 없다. 정해질 곳은 회의 뒤 결과 보도와 금감원 조사 결과다. 이 글은 그 결과를 모른다.

• 금융위 긴급 상황대응 회의는 10/4 14시 정부서울청사에서 이억원 금융위원장 주재로 열릴 예정이다(파이낸셜뉴스, 10/3).
• 신한 2만5000명이 최종치인지는 금감원이 확인 중이다(더팩트, 10/4). 경찰청은 신한, 국민, 하나, 부산 4곳을 내사 중이다(라이트노우, 10/2).
• 제재 여부는 금감원 조사 결과가 나올 때까지 모른다. 개인정보위 관계자는 「신한은행 사고에 개정된 개보법이 적용될지는 금감원 조사 이후 판단할 사안」이라고 했다(아이뉴스24, 10/2).
• 10/19 금감원 국감에 은행장 증인 채택은 거론 단계다(더팩트, 10/4).

판정: 적힌 숫자와 그걸 옮긴 말

• 별거 맞음 보도가 은행별로 적은 숫자와 단위, 우리은행과 농협은행에 대한 공격 시도 보도가 있었다는 것, 금융위 소집이 10/4 14시 예정이라는 것.
• 별거 맞음 연합뉴스(10/2)가 「실제 공격에 사용됐는지는」, 마이데일리(10/3)가 「실제 활용됐는지」 확인되지 않았다고 적었다는 것. 두 문구는 서로 다르고 둘 다 특정 사고나 도구에 걸린 말이다.
• 별거 아님 「은행서 2금융권까지 번진 'AI 해킹'」 제목만 보고 AI 사용이 공식 확인됐다고 읽는 읽기. 당국 귀속 기사도 어느 기관인지는 적지 않았다.
• 별거 아님 단위가 다른 숫자를 한 줄로 합쳐 읽는 읽기와, 「5대 은행 모두 해킹 공격」을 5곳 모두 유출로 읽는 읽기.

10/4 14시 회의 결과 기사가 나오면 이 글의 표와 확인 안 됨 칸을 그 기사의 문구로만 고침. 이 글에는 채점할 예측이 없음. 다음에 볼 건 기관이나 회사 원문이 AI 사용을 직접 적었느냐임.