ARTEX AI 국내 은행 공격 분석, 확인된 증거와 보안팀의 대응 지점

CrowdStrike의 공개 분석과 폐쇄형 전환 보도를 구분해 읽고, 지표 대조·권한·실행 기록을 점검하기

서로 다른 실행 기록과 조사 노트를 대조하는 보안 분석 담당자 — 공개 분석을 읽을 때는 도구의 존재, 실제 행동, 피해 범위를 각각 다른 증거로 확인해야 한다.AI 생성 이미지 · 설명용 연출, 실제 사건·제품 화면 아님

침투 테스트용 에이전트가 공격에 사용됐다는 소식은 도구의 목적과 실제 사용을 나누어 보게 한다. 보안팀의 질문은 AI가 포함됐는지에 머물지 않는다. 어떤 계정이 어떤 시스템에 접근했고, 어떤 작업이 실행됐으며, 무엇이 밖으로 이동했는지를 확인할 수 있어야 한다. 이번 분석을 읽는 기준도 증거의 종류와 확인 범위를 구분하는 데 있다.

CrowdStrike ARTEX 분석에서 확보했다고 밝힌 자료

CrowdStrike는 2026년 10월 7일 한국 금융기관 대상 활동과 관련된 인프라에서 ARTEX 구성파일, Claude Code 세션 기록, Claude 메모리 파일을 분석했다고 밝혔다. 활동 시기는 9월 말부터 10월 초로 제시했다. [1]

Claude 공격 악용이라는 표현은 이 보고서에서 확인한 사용 정황의 범위로 읽어야 한다. 보고서는 여러 LLM의 활용을 설명하며, ARTEX 자체를 독립 모델로 설명하지 않는다. 특정 모델 하나가 모든 단계를 자율 수행했거나 해당 기업이 공격을 지시했다는 결론으로 바꾸면 안 된다.

AI 에이전트 해킹을 검토할 때 구성파일과 실행 기록은 다른 증거다. 설정에는 의도한 경로가, 실행 기록에는 시도한 행동이 남을 수 있다. 보안팀은 도구 존재 여부와 실제 침해 행위를 별도로 연결해 확인하는 것이 좋다.

국내 은행 해킹과 데이터 유출, 확정 범위를 넘지 않기

보고서는 데이터 유출이 발생한 캠페인을 설명하지만, 작성 시점의 피해기관 수는 확인되지 않았다고 명시했다. 중국어 사용자이며 금전적 동기일 가능성은 중간 신뢰도 평가이고, 알려진 특정 공격집단으로 귀속하지 않았다. 개인 신상과 행위자의 연결도 확정하지 않았다. [1]

은행 데이터 유출을 설명할 때는 표적이 된 기관, 침해가 확인된 기관, 유출 범위가 확인된 기관을 같은 숫자로 합쳐서는 안 된다. 이 기사는 개별 피해기관 이름·최종 인원·수사 결론을 확정하지 않는다.

금융권 사이버공격 보도를 운영 판단에 사용할 때는 최초 기술 분석과 피해기관의 후속 공지를 구분해서 읽자. 분석 회사의 행위자 평가는 조사 결론을 대신하지 않는다. 팀이 가진 로그와 직접 대조할 수 있는 자료부터 검토하는 편이 실용적이다.

ARTEX 폐쇄형 전환, 공개 중단과 위협 종료는 다르다

10월 9일 Reuters 재전송 보도는 개발자가 10월 8일 오남용을 이유로 ARTEX를 폐쇄형으로 전환하고 공개 버전·유지보수 지원을 중단한다고 알렸다고 전했다. [2]

공개 배포의 중단은 앞으로 제공될 자료의 범위를 바꾸는 조치다. 이를 이미 진행된 공격의 해결이나 기존 사본의 소멸로 해석하면 안 된다. AI 해킹 대응에서도 도구의 공개 상태와 우리 시스템에 남은 영향은 서로 다른 확인 항목이다.

현재 저장소의 상태를 보고 과거 실행 여부를 판정하지 말자. 사고 대응에서는 보존한 로그·파일·접속 기록을 기준으로 조사하고, 새 공지는 후속 검토 자료로 관리하는 방식이 좋다.

ARTEX 탐지 방법과 IOC, 원출처 대조부터

CrowdStrike 원문에는 ARTEX IOC 표가 있으며, 프록시 주소와 행위자 통제 주소를 구분한다. 관찰 주소 하나만 일치한다고 같은 행위자의 침해를 확정할 수는 없다. [1]

방어 목적의 지표 대조에서는 원문의 역할 설명과 관찰 기간을 보존하고, 우리 환경의 네트워크·프록시·인증 기록에서 같은 시기의 접속을 확인하자. 일치가 발견되면 실행 과정과 데이터 이동을 함께 조사해야 한다. 공개 주소에 직접 접속해 확인하는 방식은 이 점검안에 포함하지 않는다.

지표 확인 뒤 이어질 방어 점검
확인 대상	연결할 기록
외부 접속	시각·출발 시스템·관련 계정
프로세스 실행	실행 주체·부모/자식 관계·승인된 업무
데이터 이동	접근한 자료·전송 경로·업무 목적
대응 조치	격리·권한 조정·증거 보존의 담당자

이것은 ARTEX만을 확정 탐지하는 제품 규칙이 아니라, 공개 지표를 내부 조사에 연결하는 운영 기준이다. 단일 IP 목록을 복사하는 것보다 어떤 증거와 결합해 판단할지 정하는 것이 중요하다.