보안2026. 11. 5. 오전 9:50 UTC·2 분 소요

CERT-In, 인도 핀테크 겨냥 AI 해킹 'Crafty Falcon' 경보

인도 CERT-In은 AI를 활용한 해킹 캠페인 'Crafty Falcon'이 NBFC, 결제 대행사, 암호화폐 거래소를 겨냥해 확산 중이며 현재도 진행 중이라고 경고했습니다.

Digital padlock over a network of financial transaction data, symbolizing a cyber attack on fintech firms — 이미지: The Indian Express

인도 컴퓨터긴급대응팀(CERT-In)은 11월 4일(수) 인도 핀테크 기업을 노린 AI 기반 해킹 캠페인이 최근 며칠 사이 격화됐다는 새 권고문을 냈습니다. CERT-In은 "위협이 활성 상태이며 계속되고 있다"고 밝혔습니다. 피해 대상에는 비은행 금융회사(NBFC), 디지털 대출 플랫폼, 결제 대행사, 암호화폐 거래소가 포함됩니다.

금융 부문을 담당하는 CSIRT-Fin은 이 공격 주체를 'Crafty Falcon'으로 지정했습니다. 피해 기관이 보고한 사고를 분석한 결과, 공격자는 AI 도구로 표적을 조사한 뒤 피해 기업 자신의 결제·지급 API를 기계 속도로 호출하는 방식으로 공격했습니다.

불완전한 보안 조치를 노린 재공격

이번 권고는 10월 9일 경고에 이어 나왔습니다. 당시 CERT-In은 인터넷에 노출된 애플리케이션과 API, 탈취된 자격 증명의 취약점을 이용해 가짜 참조 ID를 붙인 부정 거래가 여러 은행의 대포 계좌로 흘러갔다고 밝혔습니다. CERT-In에 따르면 피해 기업들은 취약점을 패치했지만 조치가 불완전해 "의도적으로 다시 표적이 됐습니다". 공격자는 모니터링이 느슨하고 탐지·대응이 늦어지기 쉬운 축제 기간에 맞춰 움직인 것으로 보입니다.

사용된 도구는 공개된 AI 공격 도구인 ARTEX, PentAGI, Cairn과 'CyberStrikeAI' 프레임워크입니다. CERT-In은 이들이 공격 사슬 전체를 자율적으로 실행하고 표적의 반응에 따라 페이로드를 바꾼다고 설명했습니다. 공격 인프라의 IP 주소는 몇 시간에서 며칠 단위로 바뀝니다.

확인된 수법

공격자는 AWS와 Lambda 클라우드 환경을 노렸고, 테스트 사이트 같은 비운영 환경을 진입점으로 삼아 공유 자격 증명이나 토큰을 통해 운영 환경으로 이동했습니다. 앱 코드를 역설계해 변조한 앱 패키지로 무단 API 호출도 시도했습니다. CDN, 앱스토어 리뷰 도구 같은 신뢰 서비스를 거쳐 IP를 정상처럼 보이게 했습니다.

고액 거래에 앞서 1루피 시험 거래를 했고, 결제 대행사의 가맹점 정산 API를 악용해 자금을 옮겼습니다. 암호화폐 거래소는 탈취한 지갑 키로 공격받았습니다. Node.js와 PHP에서 최근 공개된 취약점도 빠르게 악용됐습니다.

CERT-In은 모든 BFSI 기관에 이 캠페인을 즉각적이고 지속적인 위협으로 간주하라고 강하게 권고했습니다. 탐지 규칙은 제한 배포 권고문으로 공유됐습니다.