“AI 해킹엔 AI로 맞선다”…KB금융, 금융권 보안 전쟁 판 키운다

생성형 AI 확산으로 금융권 보안 위협이 급격히 커지는 가운데, KB금융그룹이 AI 기반 보안 체계를 전면 강화하고 나섰다. 단순한 보안 시스템 업그레이드 수준이 아니라 “AI 공격에는 AI로 대응한다”는 전략을 공식화했다는 점에서 업계 관심이 집중되고 있다.

KB금융은 26일 그룹 차원의 AI 보안 역량 강화 방안을 공개하며, AI 에이전트를 활용한 보안 점검 자동화와 제로 트러스트 체계 확대, 그룹 사이버보안센터 출범 등을 추진 중이라고 밝혔다.

최근 금융권이 AI 보안에 민감하게 반응하는 이유는 명확하다. 생성형 AI 기술이 발전하면서 사이버 공격 방식도 이전보다 훨씬 정교해지고 있기 때문이다. 과거 단순 악성코드 중심 공격에서 벗어나 AI를 활용한 피싱, 딥페이크, 자동화 해킹 시도가 늘어나고 있다는 게 업계 설명이다.

특히 금융사는 개인정보와 자금이 집중돼 있는 만큼 AI 기반 해킹의 주요 표적이 되고 있다. 실제 글로벌 금융업계에서는 생성형 AI를 이용해 이메일 문체를 정교하게 흉내 내거나, 음성을 복제해 금융 사기를 시도하는 사례도 빠르게 증가하는 추세다.

이런 분위기 속에서 KB금융은 올해 정보보호 실태점검 과정에 AI 기술을 본격 도입했다. 기존 화이트해커 중심의 시나리오 기반 점검 방식에 더해 자체 개발한 모의해킹 AI 에이전트와 외부 전문기관 AI 시스템까지 함께 활용하고 있다.

쉽게 말해 사람만 해킹 테스트를 하는 것이 아니라 AI가 직접 공격 시나리오를 만들고 취약점을 찾아내는 방식이다. KB금융은 이를 통해 실제 초고성능 AI 기반 공격 상황에 가까운 실전형 점검 체계를 구축했다고 설명했다.

금융권에서는 이런 변화가 앞으로 보안 시장 전체 흐름을 바꿀 수 있다는 전망도 나온다. 과거 보안이 사람이 직접 대응하는 영역이었다면 이제는 AI 대 AI 경쟁 구조로 재편되고 있다는 것이다.

KB금융은 AI 에이전트와 업무자동화 기술(RPA)을 결합한 24시간 보안 모니터링 체계도 구축했다. 최신 금융보안 위협과 취약점 정보를 실시간으로 수집·분석하고, 이를 자동으로 전달하는 시스템이다.

최근 금융사들이 가장 경계하는 악성메일 대응 훈련에도 AI를 적용했다. AI가 최신 피싱 유형을 분석해 실제와 유사한 공격 시나리오를 자동 생성하고 임직원 훈련에 활용하는 방식이다. 업계에서는 생성형 AI 등장 이후 피싱 메일 수준이 사람 눈으로 구분하기 어려울 정도로 정교해졌다는 평가가 나온다.

KB금융이 강조하는 또 다른 핵심은 ‘제로 트러스트(Zero Trust)’ 전략이다. 제로 트러스트는 “아무도 기본적으로 신뢰하지 않는다”는 보안 원칙으로, 최근 글로벌 IT·금융 업계의 핵심 보안 개념으로 자리 잡고 있다.

과거에는 내부망 사용자를 상대적으로 안전하다고 봤지만, 이제는 내부 계정조차 언제든 침해될 수 있다는 가정 아래 모든 접근을 검증하는 방향으로 보안 체계가 바뀌고 있다.

KB금융은 그룹 클라우드 환경에 대한 제로 트러스트 3단계 구축을 완료했다고 밝혔다. 금융권에서는 비교적 선제적인 사례로 평가받는다.

AI 서비스 자체에 대한 통제도 강화하고 있다. 지난해 3월 수립한 AI 거버넌스를 바탕으로 AI 서비스 전 과정에서 31개 위험 항목에 대한 통제 활동을 진행 중이다. 주요 AI 서비스에 대해서는 자체 화이트해커와 금융보안원의 AI 레드티밍을 통해 취약점을 사전에 점검하는 체계도 운영하고 있다.

특히 눈길을 끄는 부분은 금융권 최초로 ‘모의침투 기반 그룹 사이버보안센터’를 출범시켰다는 점이다.

이 센터는 공격자 관점에서 취약점을 찾는 레드팀과, 실시간 위협 탐지·차단 역할을 맡는 블루팀 체계를 함께 운영하는 방식으로 알려졌다. 쉽게 말해 내부에서 직접 해커 역할을 수행하며 시스템 약점을 끊임없이 시험하는 구조다.

업계에서는 KB금융의 이번 움직임이 단순 개별 기업 차원을 넘어 국내 금융권 전체 보안 투자 확대 흐름으로 이어질 가능성에 주목하고 있다.

최근 금융당국 역시 AI 확산에 따른 보안 리스크 관리 강화를 강조하고 있다. 특히 AI 기반 금융서비스가 늘어나면서 개인정보 유출과 알고리즘 악용 가능성에 대한 우려도 함께 커지는 상황이다.

실제로 생성형 AI가 금융권 업무에 빠르게 도입되는 만큼, 보안 사고 발생 시 파급력도 과거보다 훨씬 커질 수 있다는 분석이 나온다. 단순 서버 해킹이 아니라 AI 시스템 자체가 공격당하거나 조작될 가능성까지 대비해야 하기 때문이다.

시장에서는 앞으로 금융권 경쟁력이 단순 금리나 플랫폼 서비스가 아니라 ‘AI 보안 역량’에서도 갈릴 수 있다는 전망도 나온다. AI 기술 활용 속도가 빨라질수록, 이를 얼마나 안전하게 운영할 수 있느냐가 핵심 경쟁 요소가 될 수 있다는 의미다.

결국 KB금융의 이번 전략은 AI 시대 금융권이 맞닥뜨린 현실을 보여주는 사례로 해석된다. AI가 금융 혁신의 핵심 엔진이 되는 동시에, 가장 큰 보안 리스크로도 떠오르는 시대가 시작되고 있는 셈이다.