한국 은행 공격에 중국 개발 AI 도구 연루, CrowdStrike 보고서 귀인 공백

사이버보안 회사 CrowdStrike가 수요일에 발표한 보고서는 한국 은행을 겨냥한 한 공격 사건을 조명 아래에 끌어올렸다. 《뉴욕 타임스》 보도에 따르면, 보고서의 핵심 발견은 공격 과정에서 인공지능 기술을 사용한 증거가 나타났다는 점이며, 관련 도구는 중국 개발자가 개발한 것으로 추정된다.

그러나 귀인 연결고리는 여기서 끊어졌다. CrowdStrike는 공격자가 "중국어 사용자일 가능성이 높다"고 밝히고, 동기는 경제적 이익을 가리키며 — 이러한 조합은 일반적으로 국가급 사이버 첩보 작전이 아닌 금융 범죄를 의미한다. 그러나 보고서는 동시에 공격을 이름이 밝혀진 개인이나 조직 어느 것에 귀인하지 못했음을 분명히 인정했다.

이 구분은 결정적으로 중요하다. "중국어 사용자"는 언어적 특징에 기반한 추론이지 귀인 결론이 아니다; "중국에서 개발된 도구"는 공격자의 국적이나 소속 기관이 아닌 기술적 출처를 설명한다. "도구가 중국에서 개발됨"에서 "중국 행위자가 공격을 수행함"까지는 검증되지 않은 여러 단계가 존재한다.

CrowdStrike는 서방 주류 사이버보안 위협 정보 제공업체로서, 귀인 보고서를 통해 국제 여론을 실질적으로 형성하는 힘을 지닌다. 충분한 공개가 부족한 상황에서, 언어적 특징 추론과 기술적 출처 표기는 전파 과정에서 쉽게 정치적 귀인으로 읽힐 수 있다. 보고서는 서방 기관이 발표했고, 중국 도구를 가리키며, 동아시아 목표를 다루며 — 이러한 서사 구조 자체가 검토할 가치가 있다.

이번 공격에서 AI 도구의 구체적 기능 — 정보 수집, 피싱 콘텐츠 생성, 취약점 발견 — 역시 현재로서는 분명하지 않다. CrowdStrike는 "AI 기술 사용 증거가 존재한다"만 공개했으며, 이러한 포괄적 표현은 상당한 해석의 여지를 남긴다.

보고서는 공격자의 구체적 정체 정보를 제공하지 않았다. 이는 "중국 해커가 AI를 이용해 한국 은행을 공격했다"는 서사가 사실상 완성되지 않은 귀인 연결고리 위에 세워져 있음을 의미한다. 독자에게 있어 "CrowdStrike의 판단"과 "확인된 귀인 결론" 사이에는 본질적 차이가 존재한다. 이름이 밝혀진 행위자가 부재한 상황에서, 사건의 성격은 여전히 금융 사이버 범죄 범주 내에 머물러 있으며, 국가 행위자와의 연관성은 아직 확립되지 않았다.