보안2026. 11. 4. 오후 8:00 UTC·2 분 소요

인도 I4C, AI 에이전트 악용 금융 사기 경보 발령

인도 I4C가 은행과 NBFC, 핀테크 기업에 AI 에이전트를 악용한 공격이 결제 시스템을 뚫고 자금을 빠르게 빼돌리고 있다고 경고했습니다.

A bank security analyst monitors a dashboard of payment transactions flagged for suspicious AI-driven activity. — 이미지: mint

인도 사이버범죄조정센터(I4C)가 은행과 비은행금융회사(NBFC), 핀테크 기업에 AI 에이전트를 이용한 금전 목적의 사이버 공격이 늘고 있다고 경고했습니다. 공격자가 시스템을 장악하고 부정 거래를 "머신 속도"로 실행할 수 있다는 설명입니다.

내무부 산하 I4C의 국가사이버범죄위협분석단(NCTAU)은 전자정보기술부 산하 인도 컴퓨터긴급대응팀(CERT-In)과 함께 금융기관에 권고문을 보냈습니다. 공격자가 기록을 삭제하고 흔적을 숨기려 해 수사가 더욱 복잡해진다고도 지적했습니다.

공격 방식

권고문에 따르면 공격자는 패치되지 않은 소프트웨어와 잘못 설정된 인터넷 연결 서버를 통해 금융기관 인프라에 침투합니다. 고객 접점이나 민원 처리 인터페이스도 표적이 될 수 있습니다. 내부에 들어오면 자동 자금 지급 시스템이나 결제·송금에 쓰이는 API를 노리며, 에이전틱 AI 프레임워크가 공격을 기계 속도로 가능하게 한다고 합니다.

자금은 여러 은행의 대포 계좌로 보내진 뒤 IMPS와 NEFT를 통해 빠르게 이동되거나 인출됩니다. 이후 기록을 지워 추적을 어렵게 만듭니다. 일부 사례에서는 수억 루피 규모(multi-crore)의 무단 거래가 확인됐지만, 구체적인 사건은 공개되지 않았습니다.

요구되는 조치

금융기관은 CERT-In의 최고 심각도 권고에 담긴 조치를 즉시 시행하고, 2026년 5월 CERT-In 청사진 및 소관 규제기관의 사이버보안 체계에 맞춰 통제를 정비해야 합니다. 결제 관련 API 목록을 빠짐없이 관리하고, 쓰이지 않는 구형·테스트용 인터페이스는 비활성화하라는 권고도 포함됐습니다. 최고정보보안책임자(CISO) 팀, 거래 모니터링팀, IT 부서 간 협력도 강화해야 합니다.

사고는 탐지 후 6시간 이내에 CERT-In에 신고해야 하며, 은행과 NBFC는 같은 시간 안에 인도준비은행(RBI)의 DAKSH 포털에도 보고해야 합니다.

내무부 자료에 따르면 2023-24 회계연도부터 2025-26 회계연도까지 NCRP에 접수된 사이버 사기 민원은 530만 건이 넘고, 등록된 FIR은 18만 1,271건 이상, 신고 금액은 5만 6,087크로르 루피를 넘었습니다.