[GK뉴스온]공격 IP 19개·12개 국가·지역…토스뱅크엔 1월부터 '노크'

 (GK뉴스온 디지털팀장 안재민 기자)

해킹 공격 의심 IP 19개가 12개 국가·지역에 흩어져 금융권을 두드렸다. 그중 일부는 올해 1월에 이미 토스뱅크 서버에 접속을 시도했다. 은행권 연쇄 유출이 터지기 8개월 전이다.

한성숙 국무총리는 6일 정부서울청사에서 '금융·공공기관 개인정보 유출 관련 회의'를 주재했다. 한 총리는 "기존의 보안체계와 점검 체계로는 대비하기 어려운 상황이니 전면적 개편을 서둘러야 한다"고 말했다. 같은 날 경찰청 국가수사본부는 이 사건을 정보통신망법 위반 혐의로 정식 수사하기로 하고 4개 팀 28명 규모의 전담수사팀을 꾸렸다. 금융권 밖에서는 이와 별개 공격으로 보이는 대형교회 2곳의 교인 정보 유출 정황도 나왔다.

○ 공격 의심 IP 19개, 12개 국가·지역에 흩어져

금융감독원 디지털리스크분석팀은 6일 이번 해킹에 쓰인 것으로 의심되는 공격자 IP 19개를 특정했다. 신한은행 등에서 고객정보를 빼낸 IP를 토대로 범위를 좁힌 결과다. 

미국 소재 IP가 5개로 가장 많고 일본·스웨덴·독일이 각 2개다. 홍콩(중국)·싱가포르·베트남·태국·말레이시아·스페인·라트비아가 각 1개이고, 국내 IP도 1개 포함됐다. 당국은 IP 소재지만 공유했을 뿐 특정 국가를 배후로 지목하지는 않았다. IP 소재지가 곧 공격자의 실제 위치를 뜻하는 것도 아니다.

 ▶ 전 금융권에 '12개 항목' 자체 점검령

금감원은 이 목록을 전 금융권에 배포하고 12개 항목을 자체 점검하도록 했다. 공격자 IP 차단 여부, 해당 IP를 통한 침해 시도와 피해 여부, 실시간 보안관제 가동 여부 등이다. 점검 마감은 은행·카드사가 6일, 증권·보험·저축은행·전자금융업자 등이 8일이다.

○ 토스뱅크엔 1월부터 '노크'

국회 정무위원회 소속 김형연 조국혁신당 의원이 5일 공개한 토스뱅크 제출 자료에 따르면 신한은행 공격에 쓰인 미국 IP 2개가 토스뱅크 서버에 모두 14차례 접속을 시도했다. 1월 24일에 3차례, 7~8월에 11차례다.

토스뱅크는 이를 모두 차단해 피해는 없었다. 토스뱅크는 IP가 같다는 사실만으로 같은 공격자라고 단정하기는 어렵다고 설명했다. 같은 IP의 접근 시도는 카카오뱅크·케이뱅크 등 다른 인터넷전문은행에서도 확인된 것으로 전해졌다. 교보생명 등 일부 보험사도 마찬가지다.

▶ 3개월치만 본 금융사도…"최소 1년은 봐야"

1월 기록이 드러난 것은 토스뱅크가 최근 1년치 접속 기록을 점검했기 때문이다. 김 의원실에 따르면 일부 금융사는 최근 3개월치 기록만 확인해 보고했다.

김 의원은 전 금융사가 최소 1년 이상의 기록을 점검해야 한다고 주장했다. 금융당국이 점검 기준과 기간을 정해 안내해야 한다고도 했다.

○ 대형교회 2곳, 교인 정보 대량 유출 정황

사이버 위협 인텔리전스 기업 오아시스시큐리티는 6일 해외 공격자 서버를 분석한 결과, 여의도순복음교회와 사랑의교회 관련 자료로 추정되는 정보가 발견됐다고 밝혔다. 자료는 지난 8월 탈취된 것으로 기록돼 있었다.

업체에 따르면 여의도순복음교회 관련으로 추정되는 자료에는 최근 2년간 갱신된 교인 정보 약 96만건(이름·주민등록번호 등)이 담겼다. 헌금 기록 약 33만건, 전자결재 문서 약 6만8천건, 내부 메신저 대화 1만4706건도 포함됐다.

사랑의교회 관련으로 추정되는 자료는 교인 약 8만9천명의 이름·주소·전화번호와 임직원 286명의 정보다.

▶ 침투 경로는 서로 달랐다

업체 분석에 따르면 여의도순복음교회는 악성 프로그램인 웹셸로 전사적자원관리(ERP) 서버가 뚫렸고, 이후 데이터베이스 관리자 권한까지 넘어간 것으로 분석됐다. 사랑의교회는 공격자가 미리 확보한 것으로 보이는 계정으로 그룹웨어에 접근했다. 이어 한 번 로그인으로 여러 시스템에 접속하는 통합 로그인 기능을 거쳐 ERP까지 닿은 것으로 나타났다.

교회 해킹은 금융권 공격과 수법이 달라 동일 공격자일 가능성은 낮은 것으로 알려졌다. 여의도순복음교회는 한국인터넷진흥원(KISA)으로부터 개인정보 유출 의심 정황을 통보받았다고 밝혔다. 교회는 "조사가 진행 중인 만큼 확인되지 않은 내용을 현 단계에서 단정하기 어렵다"며 사실관계를 확인하고 있다. 7일 수요예배에서 교인들에게 경과를 설명할 예정이다.

사랑의교회는 유출 가능성이 있는 정황을 발견해 비상대책팀을 꾸리고 관계기관에 신고했다고 밝혔다.

▶ 신고 의무 없는 '사각지대'

KISA는 최근 두 교회에 관련 정황을 통보했다. 비영리 종교기관은 정보통신서비스 제공자에 해당하지 않아 침해사고 신고 의무가 없다. 수십만명의 주민등록번호와 헌금 내역을 보관하면서도 제도적 점검망 밖에 놓여 있는 셈이다.

○ 내 정보는 어떻게 지키나…'여신거래 안심차단'

유출 정보는 맞춤형 사기에 쓰일 때 위험하다. 실제로 대출을 조회한 고객에게 "정부지원 저금리 대출로 갈아타라"는 전화가 걸려 오면 속기 쉽다.  당분간 대출 계획이 없다면 '여신거래 안심차단' 서비스를 신청할 수 있다. 신용대출·카드론·신용카드 발급 등 본인 명의의 신규 여신거래를 한 번에 막는다. 거래 중인 금융사 앱이나 영업점에서 신청한다. 해제는 제3자 해제를 막기 위해 영업점을 직접 방문해야 한다. 기존 거래 여부와 관계없이 가까운 금융사 영업점이면 된다.

○ AI로 막자니 '망분리' 딜레마

AI 공격을 AI로 막으려면 내부 업무망과 인터넷망을 떼어놓는 망분리(網分離) 규제가 걸림돌로 꼽힌다. 금융위는 6월 보안 목적의 AI 활용을 위해 1차로 금융회사 10곳에 망분리 규제를 한시 완화했다. 이어 7일 2차 대상(최대 15곳)을 선정할 예정이었다. 

그러나 1차 참여사인 신한은행과 하나은행에서도 정보 유출이 발생하자 금융위는 2차 선정을 연기했다. 사고 수습에 행정력을 집중하고 보안 측면을 추가로 검토하겠다는 것이다. 완화 기조 자체는 유지한다는 입장이다. 전문가들은 핵심망은 분리해 보호하되 외부와 연결되는 영역에 별도 방어체계를 갖추는 것을 보완 과제로 꼽는다. 다중인증, 최소권한, 제로트러스트 등이다.

○ 남은 과제는 '점검망 밖'

이번 주 드러난 피해에는 공통점이 있다. 1년치 기록을 뒤져서야 나온 토스뱅크의 1월 접속 시도, 전 금융권 회의와 별도로 소집된 온투업, 신고 의무가 없는 교회다. 모두 기존 점검의 시야 밖에 있었다.

경고가 처음은 아니다. 정부는 지난해 10월 22일 범부처 정보보호 종합대책을 내놨다. 공공·금융·통신 등 1600여개 IT 시스템의 보안 취약점을 점검하겠다는 내용이었다.

김승주 고려대 정보보호대학원 교수는 최근 CBS노컷뉴스 대담에서 조직이 보유한 서버와 네트워크 장비, 사용 중인 소프트웨어의 버전과 패치 상태, 인터넷과 연결된 모든 접점까지 빠짐없이 파악해야 한다고 강조했다. 지난해 통신사·롯데카드 사고에서도 공식 관리체계에서 빠져 있던 서버와 시스템이 문제로 지목됐다고 짚었다.

8일이면 업권별 자체 점검이 모두 마감된다. 1년치 기록까지 들여다본 금융사에서 추가 침해 흔적이 나오는지가 다음 관심사다. 연기된 망분리 2차 완화 일정이 언제 재개될지도 지켜볼 대목이다.

[관련기사] 이억원 "AI 해킹 배제 못해"…금융사 7곳 '뒷문'으로 뚫렸다