금융권에서 잇따른 해킹으로 촉발된 개인정보 유출 사태가 공기업과 대학, 대형 교회로까지 확산하고 있다. 유출된 정보도 은행 대출 고객의 신용정보부터 공기업 직원 연락처, 대학 구성원의 학적 정보, 교회 성도 명단까지 다양하다. 기관 간 피해 중복 여부는 확인되지 않았지만, 공개된 피해 규모를 단순 합산하면 100만명분을 넘는다.특히 주목되는 것은 피해 기관의 자체 전산망이 아닌 외부 협력업체를 통한 정보 유출이다. 온라인 교육 플랫폼 업체 맑은소프트 한 곳이 공격받으면서 이 회사에 교육 관련 개인정보 관리를 맡긴 20여개 기관·단체가 동시에 피해를 봤다. 금융권 해킹 과정에서 인공지능(AI) 도구가 활용된 정황은 이 같은 사태가 얼마든지 재발될 수 있다는 우려를 키운다. AI가 공격의 속도와 범위를 확대하는 상황에서 상대적으로 보안이 취약한 주변 업무 시스템이나 외부 협력업체가 '약한 고리'가 돼, 연쇄적인 정보 유출의 통로가 될 수 있다는 지적이다. 전문가들은 공격 기법이 정교해지는 것과는 별개로, 기본기부터 다시 점검해야 한다고 입을 모은다.11일 금융권과 보안업계 등에 따르면 지난달 말부터 이달 초까지 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 금융회사 7곳에서 해킹에 따른 정보 유출이 확인됐다. 금융권을 넘어 공기업과 대학에서도 개인정보 유출이 잇따랐다. 한국전력에서는 직원 2만4000여명의 이름과 소속, 전화번호 등이 외부 웹페이지에 노출됐다. 서울사이버대학교에서도 재학생과 졸업생, 교직원 등의 개인정보가 외부로 유출됐다. 대형 교회에서도 성도 관련 정보가 외부로 유출됐을 가능성이 제기됐다. 사이버 위협 인텔리전스 기업 오아시스시큐리티는 해외 공격자 서버에서 여의도순복음교회와 사랑의교회 관련 자료를 발견했다고 밝혔다. 여의도순복음교회는 자체 분석 결과 성도 85만명의 이름과 생년월일 등이 유출됐을 가능성이 있다고 전했다.이번 사태에서 두드러지는 또 다른 특징은 맑은소프트를 통한 개인정보의 연쇄 유출이다. 개별 기관이 자체 보안 체계를 갖추고 있더라도 개인정보 관리를 맡긴 외부 업체가 침해당하면 피해를 피하기 어렵다는 사실이 드러났다. 맑은소프트는 기업과 공공기관 등에 온라인 학습관리시스템(LMS)을 공급하고, 여러 기관의 교육 관련 개인정보를 위탁받아 관리해 온 업체다.국가청렴권익교육원이 운영하는 청렴권익배움터에서는 이용자 10만여명의 개인정보가 유출됐다. 한국교육시설안전원의 온라인 교육시스템에서도 이용자 약 4만명의 정보가 빠져나갔다. 두 곳에서 유출된 정보에는 성명과 소속기관, 생년월일, 주소, 이메일, 아이디 등이 포함됐다. 기아 광명공장 노조에서도 조합원 약 5000명의 이름과 사번, 전화번호가 유출됐다. 중복 여부는 확인이 필요하지만 이들 세 곳이 공개한 피해 인원만 합쳐도 약 14만5000명에 이른다.금융권 해킹에서 AI를 활용해 공격 속도를 높인 정황은 주목할 대목이다. 국내 보안업체 지니언스 시큐리티센터는 이번 금융기관 대상 사이버공격에 중국어 기반 오픈소스 에이전틱 침투테스트 도구 '아르텍스'(ARTEX)가 사용된 정황을 제기했다. 미국 사이버보안 기업 크라우드스트라이크도 공격자 서버의 공개 디렉터리에서 아르텍스 설정 파일과 AI 코딩 도구 대화 기록 등을 발견했다. 이를 토대로 공격자가 아르텍스와 여러 AI 모델을 연계해 국내 금융기관 여러 곳을 상대로 침투 속도를 높인 것으로 분석했다.