신한은행, KB국민은행, 하나은행 등 금융회사 7곳에서 인공지능(AI) 해킹 공격으로 고객 정보가 유출된 가운데 지난 6일 오전 시민들이 서울 시내 시중은행의 현금자동입출금기 앞을 지나고 있다. /박상민 기자

[더팩트ㅣ이선영 기자] 최근 신한·KB국민·하나은행 등 금융사 침해사고에 활용된 인터넷주소(IP) 일부가 올해 1월부터 인터넷전문은행 서버에도 접근했던 것으로 확인됐다. 인뱅 3사에서는 시스템 침해나 고객정보 유출로 이어지지 않았지만, 여러 금융사에서 수개월 전부터 관련 IP의 접근 흔적이 있었던 사실이 최근 사고 이후에야 드러나면서 금융권 위협정보 공유체계가 시험대에 올랐다. 개별 금융사의 '각자 방어'를 넘어 흩어진 이상징후를 업권 차원에서 빠르게 연결할 수 있어야 한다는 지적이 나온다.

7일 금융권에 따르면 최근 금융사 침해사고에 활용된 IP 일부가 카카오뱅크와 케이뱅크, 토스뱅크 서버에도 접근했던 것으로 파악됐다. 카카오뱅크에서는 올해 1월과 3월 서로 다른 IP에서 총 6차례 접근 기록이 확인됐으며 이는 단순 접근으로 파악됐다. 지난달 29일에는 취약점을 탐색하기 위한 접근 시도 1건이 추가로 있었지만 보안체계에서 탐지·차단됐다. 케이뱅크에서는 7월부터 총 4차례, 토스뱅크에서는 1월 3차례와 7~8월 11차례 등 총 14차례 접근 시도가 확인됐다. 세 은행 모두 해당 접근으로 인한 시스템 침해나 고객정보 유출은 발생하지 않았다.

문제는 이 같은 과거 접근 흔적이 최근 금융권 침해사고 이후 당국이 공격 IP를 공유하고 과거 접속 이력을 역추적하는 과정에서 수면 위로 드러났다는 점이다. 금융회사에는 일상적으로 다수의 비정상 접근이 발생하는 만큼 차단된 IP 하나하나를 실제 해킹 공격으로 판단하기 어렵다는 현실적인 한계가 있다. 실제 침해사고로 이어지지 않은 공격 시도 정보를 금융보안원 등에 모두 공유하는 것도 의무사항은 아닌 것으로 알려졌다.

또 동일한 IP가 확인됐다는 이유만으로 올해 초 인뱅 접근과 최근 금융권 침해사고를 동일 공격자의 연속적인 공격으로 단정하기는 어렵다. 공격자가 클라우드 서버나 우회 IP 등을 사용할 수 있어서다. 금융감독원도 IP 소재 국가와 실제 공격자의 소재지가 일치하지 않을 수 있다며 해석에 유의할 필요가 있다는 입장이다.

다만 여러 금융회사에서 관련 IP의 접근 흔적이 잇따라 확인되면서 개별 금융회사가 탐지한 위협정보를 업권 전체에서 어떻게 활용할지가 과제로 떠올랐다. 금감원과 금융보안원은 최근 금융권 침해사고와 관련해 공격에 사용된 IP 주소 33개, 중복을 제외하면 28개를 전 금융권에 공유했다. 금융회사에는 해당 IP 차단 여부와 과거 침해 흔적, 외부 노출 IT자산 등에 대한 자체 점검도 요구했다.

지난 1일 신한은행에서 주민등록번호를 포함한 2만 5000여명의 고객정보가 유출되는 사고가 발생한 가운데, 지난 2일 오전 서울 중구 신한은행 본점의 모습이 보이고 있다. /김성렬 기자

특히 가장 많은 고객정보가 유출된 신한은행에 대해서는 당국의 조사 강도가 높아졌다. 금감원은 지난달 30일 신한은행으로부터 사고를 보고받은 뒤 현장점검을 벌여왔으며 지난 6일부터 정식 현장검사로 전환했다. 유출 규모와 침투 경로뿐 아니라 접근권한과 보안관리 과정에서 관련 법규를 위반한 사실이 있는지 등을 들여다보고 있다.

신한은행에서는 약 2만5000명의 이름과 전화번호, 연소득, 대출 산출한도 등 개인·신용정보가 유출된 것으로 파악됐다. 정상혁 신한은행장은 사고 발생 이후 직접 사과하고 고객 피해가 확인될 경우 전액 보상하겠다는 입장을 밝혔다. 신한은행은 사고가 발생한 시스템을 차단하고 외부 전문기관과 함께 원인 분석과 보안 점검을 진행하고 있다.

KB국민은행과 하나은행에서도 각각 119명과 89명의 고객정보 유출이 확인됐다. 반면 우리은행과 NH농협은행에서는 공격 시도가 있었지만 현재까지 정보 유출은 확인되지 않았다. 이에 5대 은행 모두 이상징후 모니터링과 의심 IP 차단 등 보안체계를 강화하고 있다.

KB국민은행은 의심 징후가 발견되는 IP를 위험신호로 분류해 주의 모니터링하고 있으며 최근 관련 기준을 강화해 보안 모니터링을 실시하고 있다고 밝혔다. 우리은행은 당국이 공유한 IP뿐 아니라 평소 접속이 없던 IP가 로그인을 시도하거나 반복적인 로그인 시도가 발생할 경우 의심 IP로 판단해 차단하고 있다. 추가 공격 의심 IP가 확인되면 즉시 접근 이력을 분석하고 차단하는 방식으로 대응하고 있다.

하나은행은 AI 기반 보안체계 구축과 차세대 디도스(DDoS) 대응시스템 고도화 사업을 진행하고 있다. 'AI 기반 지능형 사이버 보안체계 전환' 계획도 수립해 단계별 로드맵에 따라 관련 사업을 추진 중이다. NH농협은행 역시 인증 우회와 비정상적인 대량 접속 등 이상행위 탐지를 강화하고 외부에 불필요하게 노출된 접점을 상시 점검·차단하고 있다. 향후 공격표면관리 솔루션을 활용해 비식별 로그인 페이지 검색·탐지 기능도 강화할 예정이다.

관련 IP의 접근을 받은 인터넷전문은행(인터넷은행) 3사(카카오뱅크·케이뱅크·토스뱅크)도 모니터링과 대응체계를 재점검하고 있다. /더팩트 DB

앞서 관련 IP의 접근을 받은 인뱅 3사도 모니터링과 대응체계를 재점검하고 있다. 카카오뱅크는 9월 취약점 탐색 접근을 자체 보안체계에서 탐지·차단했으며 현재까지 관련 피해는 확인되지 않았다. 토스뱅크 역시 1월과 7~8월 확인된 접근이 방화벽 등에서 차단돼 실제 서버 침투로 이어지지 않았다.

케이뱅크는 동일 IP의 반복적인 접속 여부뿐 아니라 외부 위협정보(TI), 접속·차단 로그 등 다양한 정보를 연계해 상관분석하고 이를 기반으로 이상징후를 모니터링하고 있다고 밝혔다. 최근 금융권 보안 이슈를 고려해 관련 대응체계를 지속적으로 점검하고 향후 AI 기반 위협 탐지·대응 기술 활용 등을 통해 보안체계를 고도화한다는 방침이다.

전문가들은 이번 사태를 계기로 금융권 공동의 위협정보 공유체계를 강화하는 동시에 개별 금융사의 보안 투자가 지속적으로 이뤄질 수 있도록 관리·감독도 강화해야 한다고 지적한다. 비용 절감 등을 이유로 보안 투자가 소홀해질 경우 시스템 취약성이 커질 수 있는 만큼 정기적인 점검뿐 아니라 불시 점검 등 실효성 있는 관리가 필요하다는 설명이다.

서지용 상명대 경영학과 교수는 "보안 투자를 정기적으로 하는 기업도 있지만 비용 절감 차원에서 투자를 소홀히 하는 곳도 있고, 실제 일부 금융사에서 보안 사고가 발생한 사례도 있다"며 "보안 시스템 고도화와 투자가 꾸준히 이뤄질 수 있도록 정기적인 감시와 모니터링, 감사가 필요하다"고 말했다.

이어 "분기별로 불시 점검을 실시하는 등 보안 투자를 지속적으로 유도하고, 미흡한 부분이 적발된 금융사에는 과태료를 부과하는 등의 조치도 필요하다"고 덧붙였다.

한 금융권 관계자는 "금융회사에는 하루에도 수많은 비정상 접근이 들어오기 때문에 차단된 IP 하나하나를 실제 공격으로 판단하기는 현실적으로 어렵다"면서도 "여러 금융사에서 동일하거나 연관된 공격 징후가 반복될 경우 개별 회사가 보유한 정보를 신속하게 공유하고 상관관계를 분석해 업권 전체에 경보를 줄 수 있는 체계를 더욱 고도화할 필요가 있다"고 말했다.

seonyeong@tf.co.kr

발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.

· 카카오톡: '더팩트제보' 검색

· 이메일: jebo@tf.co.kr

· 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write

· 네이버 메인 더팩트 구독하고 [특종보자→]

· 그곳이 알고싶냐? [영상보기→]