은행들은 이제 몇 분 안에 문제를 해결할 수 있게 되었으며, 항상 접속 가능한 금융 서비스가 바로 그러한 비용이 지속적인 것이 되는 이유입니다.

9월 초 바젤에서 나온 경고는 스릴러의 줄거리 같습니다. 국경 지역의 인공지능이…은행이 소프트웨어 결함을 수정하는 데 걸리는 시간을 몇 주에서 몇 분으로 단축시켰습니다.그리고 일상적인 패치 작업도 더 이상 적절한 속도로 진행되지 않습니다. 그 원인은 국제결제은행입니다. 이 은행은 “중앙은행들의 중앙은행”으로서, 금융 안정성 연구소를 통해 금융 부문에 대한 첨단 인공지능의 위협에 관한 보고서를 발표했습니다.자율적인 취약점 발견 및 악용AI가 은행업에 가져오는 가장 중요한 발전점입니다. 헤드라인에 나온 테러 위협은 실제로 존재하지만, 은행주를 보유하고 있는 사람들에게는 더 천천히, 그리고 더 지속적인 문제가 있다는 것을 의미합니다. 사이버 리스크는 점점 더 중요한 비용이 되고 있으며, 대부분의 은행의 평가에서는 이를 거의 고려하지 않는다.

먼저, 그 경고가 실제로 어떻게 작동하는지부터 알아보겠습니다. 결함이란 은행의 소프트웨어에 존재하는 버그로서, 공격자가 이를 이용해 접근 권한을 얻을 수 있는 것입니다. 오랫동안 은행들은 버그에 대해 알게 되는 것과 그 버그를 악용하는 것 사이에 몇 주 정도의 시간이 필요하다고 가정했습니다. 즉, 매달 한 번씩 패치가 이루어지고, 정기적인 유지보수가 이루어진다는 것이죠. 하지만 인공지능은 이러한 가정을 깨뜨립니다. 모델이 코드를 스캔하여 취약점을 찾고, 공격 방법을 만들어내며 여러 취약점을 하나의 공격으로 연결할 수 있다면, 공격자는 더 이상 기존 모델이 필요로 했던 시간이나 전문적인 기술도 필요하지 않습니다. BIS의 논문은 은행들에게 이에 대한 정보를 제공합니다.발견부터 악용까지 걸리는 시간이 몇 주에서 몇 분으로 줄어들었습니다.규제 기관들과 산업 단체들도 각자의 입장에서 같은 말을 하고 있습니다.영국의 크로스 마켓 운영 회복력 그룹은 수리 기간이 몇 주에서 며칠, 그리고 일부 경우에는 몇 시간으로 단축될 것으로 예상합니다.한편, 국제금융연구소는 은행들이 예정된 시간 외에 더 빠르게 문제를 해결하도록 촉구하며, 긴급 수리를 위해 계획된 작업 중단도 받아들여야 한다고 말합니다.

마지막 문장이 바로 투자 내용이 숨겨져 있는 곳입니다. 계획된 중단 시간을 받아들이는 것은 아무런 문제가 없어 보이지만, 은행에게는 그 중단 시간이 바로 은행이 받은 대금으로 해야 할 일을 하지 않는 순간입니다. 즉, 돈을 처리하거나 수표를 확인하거나 대출을 제공하지 않는 상황입니다. 매년 은행은 공격자들로부터 자신을 방어하고 그 방어를 위해 필요한 중단 시간을 감내하는 데 많은 비용을 지출합니다. 그러니 비용의 기준을 살펴보세요.재정 서비스업이 2026년에 인터넷상에서 가장 많이 공격받는 산업으로 등장했다.그리고 IBM의 침해 비용 분석 결과에 따르면, 평균 금융 서비스 분야의 침해 사례는2025년에는 5.56백만 달러로, 의료 분야에 이어 두 번째로 많았습니다.산업 전반적으로,가트너는 2026년에 전 세계적인 사이버보안 관련 지출이 약 2400억 달러에 이를 것으로 예상했습니다.지난 해에 비해 12% 이상 상승했습니다. 그리고 이 보고서에 나타난 불균형한 현상이 바로 이러한 추세가 지속되는 원인입니다.BIS 자체도, 인공지능은 방어 비용을 줄이는 것보다 더 많은 수준의 정교한 공격의 비용을 낮춘다고 주장했습니다.그래서 공격자는 비용을 줄일 수 있고, 방어자들은 더 많은 일을 해야 합니다.

이것은 헤드라인에서 설명되지 않는 부분입니다. 그리고 이 부분은 구조적으로 고려해야 할 중요한 점입니다. “몇 분이 아니라 몇 주가 걸린다”는 현상 자체가 은행들이 항상 현금을 제공하도록 만들고 있습니다. 그리고 항상 현금은 중단될 수 없습니다. 같은 기간 동안, 은행들은 실시간 결제 시스템으로 전환하기 위해 노력해왔습니다. 즉시 결제, 토큰화된 예치금, 24/7 결제 시스템 등입니다. BIS도 이러한 추세를 촉진하는 주체입니다.프로젝트 아고라 – 7개의 중앙은행과 40개 이상의 금융기관들이 협력하여 진행하는 프로젝트입니다.– 토큰화된 대량 결제 시스템을 테스트 중이며, 2026년에는 프로토타입 단계를 넘어 실제 화폐 기반의 테스트가 시작될 예정입니다.TD는 실제 미국 달러를 변동시킵니다.그리고 하나JPMorgan, Citi, UBS가 참여하는 실제 국경 간 파일럿 프로젝트이 모든 것은 BIS의 경고가 조용히 훼손하는 한 가지 전제를 바탕으로 이루어집니다. 그 전제란, 합의가 지속적으로, 거의 실시간으로, 영원히 진행될 수 있다는 것입니다.

월별 패치 주기는, 배치 처리 방식으로 운영되는 시스템이 감당할 수 있는 타협점입니다. 일정한 간격으로 작동하는 시스템도, 일정한 시간에 중단될 수 있기 때문입니다. 고객들에게 약속된 실시간 결제 시스템은 24/7로 작동하지만, 새로운 취약점이 발견될 때마다 그 시스템을 즉시 끄는 것은 불가능합니다. 그냥 그 시스템을 계속 유지하고 위험을 감수하는 것인지, 아니면 그 시스템을 중단시키고 그 가치를 잃는 것인지 선택해야 합니다. 이는 진정한 긴장 상황이며, 단순한 말장난이 아닙니다. 이는 보고서에서 설명된 압력이 그 자리에 머물지 않는다는 것을 의미합니다. 돈이 항상 작동하는 인프라로 흘러가면서 이 압력은 더욱 커집니다. 패치가 불가능한 속도에 대해 경고하는 기관들은, 동시에 다운타임이 더 이상 선택이 되지 않는 인프라를 구축하고 있습니다.

소매 투자자에게 있어서 진실된 해석은 “누군가가 은행을 해킹할 수 있으니 은행을 팔아야 한다”는 것이 아닙니다. 여기서는 어떤 특정한 위협도 예상되지 않습니다. 이 해석은 은행의 가치와 자산 비율이 보여주지 않는 두 가지 요소를 다시 평가하는 것입니다. 첫째는 점점 증가하는 운영 비용이고, 둘째는 장벽이 더욱 강해질수록 발생할 가능성이 높은 리스크입니다. 이 두 가지는 구조적인 문제이며, 따라서 이러한 문제를 가장 잘 극복할 수 있는 은행들에게 이익이 됩니다. 현대적인 클라우드 기반 시스템을 사용하는 은행은 지속적으로 문제를 해결할 수 있고, 다운타임을 설계의 일부로 받아들일 수 있습니다. 하지만 수십 년 전의 구식 프로세서를 사용하는 은행은 지금도 보안 장비를 추가로 구축해야 하며, 이는 실제 다운타임과 고객 불만, 그리고 예금 및 수익의 감소를 의미합니다. 이 모든 것은 업계의 마진이 이미 압박받고 있는 순간에 발생합니다.

이 경고에서 가장 중요한 질문은, 귀하의 은행이 침해당할지 여부가 아니라, 그 은행이 어떤 종류의 은행인지입니다. 중단 없이 보안을 강화하기 위해 설계된 은행들은 비용을 마치 요새처럼 사용하게 됩니다. 반면, 그렇지 못한 은행들은 수요일 보고서에는 나타나지 않는 위험을 안고 있습니다. 돈이 결코 잠들지 않는 시스템 속으로 흘러 들어가는 상황에서는, 이러한 구분을 무시하는 것은 점점 더 어려워집니다.