한국뉴스투데이24 한국뉴스투데이24

은행·저축은행·캐피탈 등 7개사 침해사고 확인…토스뱅크는 동일 IP 접근 시도 차단

당국 “AI 활용 대량·자동화 공격 추정”…외부 노출 시스템·인증·접근통제 취약점 집중 점검

은행·카드 6일까지 긴급점검…오전 현재 최종 점검결과는 아직 공개 전

(한국뉴스투데이24=이상록 기자) 최근 금융권을 겨냥한 사이버 공격이 한두 금융회사의 개별 사고를 넘어 여러 금융사의 외부 시스템을 광범위하게 탐색한 정황으로 확대되고 있다.

금융당국과 금융권에 따르면 현재까지 신한은행·KB국민은행·하나은행·BNK부산은행과 예가람저축은행·웰컴저축은행·현대캐피탈 등 7개 금융회사에서 침해사고가 확인됐다.

금융회사마다 유출된 정보의 종류와 피해 규모는 서로 다르다. 따라서 특정 금융회사에서 유출된 개인정보 항목을 전체 피해 금융사에 동일하게 적용해서는 안 된다.

여기에 새로운 정황도 나왔다.

신한은행 공격에 사용된 미국 IP 2개가 올해 1월과 7~8월 토스뱅크 서버에도 모두 14차례 접근을 시도한 것으로 확인됐다. 하지만 토스뱅크에서는 해당 접근이 차단돼 시스템 침해나 고객 개인정보 유출 피해로 이어지지 않았다.

이 사례는 이번 사태를 이해하는 데 중요한 차이를 보여준다.

공격을 받았다는 것과 실제 시스템이 침해됐다는 것은 같은 말이 아니다.

또 같은 IP가 발견됐다고 해서 모든 공격이 동일한 공격자나 조직에 의해 이뤄졌다고 곧바로 단정할 수도 없다.

한 곳을 뚫은 뒤 옮겨간 것인가, 여러 곳의 ‘약한 문’을 찾은 것인가

금융당국은 최근 침해사고에서 일부 동일 공격 IP가 여러 금융사에서 발견됐고, 공격자가 IP를 바꿔가며 금융회사들을 공격한 것으로 파악하고 있다.

특히 AI 도구를 활용해 여러 금융사를 상대로 대량·자동화된 공격을 수행했을 가능성이 제기됐다.

그러나 여기에서도 표현에는 주의가 필요하다.

현재 공개된 정보만으로 특정 AI 모델이나 도구가 어떤 단계에서 사용됐는지, AI가 공격 전 과정을 스스로 수행했는지까지 확인된 것은 아니다.

따라서 이번 사건을 곧바로 ‘AI가 금융망을 뚫었다’고 표현하는 것보다는 AI 또는 자동화 도구를 이용해 다수의 시스템과 취약점을 빠르게 탐색했을 가능성이 조사되고 있다고 보는 것이 현재 확인 수준에 가깝다.

AI가 공격자에게 제공할 수 있는 가장 큰 변화 가운데 하나는 속도와 규모다.

과거 사람이 하나씩 살펴보던 웹서비스와 서버, 프로그램의 취약점을 자동화 도구가 빠른 속도로 탐색할 수 있다면 공격자는 특정 금융회사 한 곳에 오랜 시간을 들이지 않고 여러 기관의 외부 시스템을 동시에 살펴볼 수 있다.

보안이 강한 곳에서는 차단되고, 상대적으로 관리가 느슨한 곳에서는 침해로 이어지는 방식이다.

토스뱅크 사례는 이러한 가능성을 보여주는 하나의 사례지만, 이것만으로 이번 공격 전체의 구조가 확정됐다는 의미는 아니다.

공격자가 노린 것은 ‘금고’보다 바깥에 연결된 시스템이었나

이번 사고에서 특히 주목할 부분은 금융회사의 핵심 금융거래 시스템만이 아니다.

공개된 사고 내용에서는 대출조회, 직원 업무지원, 영업지원 등 외부 인터넷과 연결되거나 외부 이용자가 접근할 수 있는 부가 시스템들이 공격 대상 또는 정보유출 경로로 거론되고 있다.

금융위원회 역시 지난 2일 긴급 상황대응 회의를 열고 금융회사들에 외부에 노출된 전산시스템과 서비스 전반을 즉시 점검하고 인증·접근통제 취약점을 확인하라고 요구했다.

인증 절차가 빠져 있거나 접근권한 통제가 충분하지 않은 서비스, 운영 필요성이 낮지만 외부에 계속 노출된 시스템 등을 다시 확인하라는 것이다.

은행의 핵심 계정계 시스템을 ‘정문’이라고 한다면 수많은 업무지원·조회·연계 시스템은 상대적으로 눈에 덜 띄는 ‘옆문’에 해당할 수 있다.

공격 자동화 능력이 높아질수록 공격자가 정문 하나만 두드릴 이유도 줄어든다.

수십·수백 개의 외부 접점을 탐색하면서 가장 취약한 지점을 찾아내는 방식이 더 효율적일 수 있기 때문이다.

같은 공격을 받아도 왜 피해는 달랐나

또 하나의 핵심 질문은 금융회사마다 피해가 달랐던 이유다.

금융당국은 사고 유형별로 본인 인증과 접근통제 등의 문제를 점검하고 공격 IP를 금융권에 공유했다.

다중인증 적용 여부, 접근 가능한 단말기 제한, 불필요한 서비스 차단, 프로그램과 서버의 보안패치 수준, 이상접속 탐지체계 등이 실제 공격에 대한 방어력을 좌우할 수 있는 요소다.

다만 이번 개별 금융회사의 피해 차이를 특정 보안기술 하나의 유무만으로 설명해서는 안 된다.

실제 침해 여부는 공격 대상 시스템의 구조와 취약점, 접근권한, 인증방식, 탐지·차단 속도 등 여러 조건이 함께 작용하기 때문이다.

중요한 것은 AI 시대의 금융보안이 최첨단 기술만의 문제가 아니라는 점이다.

기본적인 인증과 접근통제, 패치, 외부 노출 자산 관리가 제대로 돼 있지 않다면 AI 시대에는 기존의 작은 취약점이 훨씬 빠르게 발견될 가능성이 커진다.

금융당국도 AI 공격 가능성에 대비해왔다

이번 사고가 발생한 뒤에야 AI 보안위협 문제가 처음 등장한 것은 아니다.

금융위원회는 지난 7월 금융회사들이 고성능 AI를 이용한 보안위협에 대응할 수 있도록 ‘프런티어 AI 보안위협 금융분야 대응요령’을 마련해 배포했다.

AI를 활용한 보안 테스트와 취약점 탐색도 확대해왔다.

지난 9월 금융당국이 공개한 AI 보안 테스트 중간결과에서도 고성능 AI가 방대한 소스코드를 짧은 시간 안에 분석하고 기존 취약점을 광범위하고 일관되게 탐색할 수 있다는 가능성이 확인됐다.

방어자에게 유용한 이 능력은 반대로 공격자에게도 활용될 수 있다.

결국 AI 시대의 보안경쟁은 공격자만 AI를 사용하는 것이 아니라 방어자 역시 AI를 활용해 취약점을 먼저 찾아내고 차단하는 경쟁으로 이동하고 있다.

온투업까지 번진 침해…7개 금융사와는 구분해야

온라인투자연계금융업체 PFCT와 모우다에서도 최근 외부 불법 접근과 개인정보 유출 또는 유출 가능성이 확인됐다.

PFCT에서는 고객 302명의 개인정보 유출 사실이 알려졌고 모우다 역시 외부 불법 접근에 따른 개인정보 유출 가능성을 공지했다.

다만 이 두 업체는 금융당국이 지난 4일 침해사고 사례로 묶어 분석한 앞선 7개 금융회사와는 별도로 구분할 필요가 있다.

같은 시기에 금융업권을 겨냥한 공격이 발생했다는 점은 확인되지만, 모든 사고가 동일 공격자에 의해 이뤄졌다는 사실까지 확정된 것은 아니기 때문이다.

금융당국은 6일 온투업권 관계자들을 불러 침해사고와 공격 IP 등의 연관성을 추가로 확인할 예정이다.

개인정보 유출보다 더 오래 남는 문제는 ‘2차 피해’

이번 사고로 공개된 개인정보 항목 역시 금융회사마다 다르다.

이름과 연락처, 생년월일에서 일부 주민등록번호, 이메일, 대출 관련 정보 등까지 회사별로 차이가 있다.

현재 공개된 자료만 놓고 모든 금융사의 결제정보나 계좌 비밀번호 등이 유출됐다고 볼 근거는 없다.

하지만 이름과 전화번호, 금융회사 이용정보 등이 결합될 경우 금융회사를 사칭하는 보이스피싱이나 스미싱에 악용될 가능성은 있다.

특히 사고가 알려진 직후에는 “개인정보가 유출됐다”, “계좌를 보호해야 한다”며 링크 접속이나 앱 설치, 계좌이체를 요구하는 2차 공격에 주의할 필요가 있다.

금융회사나 수사기관을 사칭해 비밀번호·인증번호를 요구하거나 원격제어 앱 설치와 자금 이체를 요구한다면 정상적인 보안조치로 보기 어렵다.

법은 어디까지 와 있나

금융회사에는 현행 전자금융거래법과 관련 감독규정 등에 따른 전자금융 안전성 확보와 보안 의무가 적용된다.

이와 별도로 정부는 반복되는 금융보안 사고에 대한 책임을 강화하기 위해 징벌적 과징금 도입과 최고정보보호책임자(CISO)의 권한 강화 등을 담은 전자금융거래법 개정을 추진하고 있다.

그러나 해당 제도개선은 현재 입법 추진 단계이므로 이미 시행 중인 제도처럼 표현해서는 안 된다.

이번 금융권 침해사고에 대한 책임 역시 현행 법령과 각 회사의 구체적인 보안조치 의무 이행 여부에 따라 개별적으로 판단돼야 한다.

6일 은행·카드 점검 마감…이제 확인해야 할 것은

금융당국은 은행과 카드업권에는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등에는 8일까지 긴급점검을 마치도록 요구했다.

6일 오전 현재 은행·카드업권 긴급점검의 최종 종합결과는 아직 공개되지 않았다.

따라서 앞으로 확인해야 할 핵심은 명확하다.

추가 침해사고가 발견됐는지, 외부에 노출된 시스템 가운데 실제 취약점이 얼마나 확인됐는지, 동일 공격 IP와 수법이 어느 범위까지 이어지는지, 그리고 금융회사들이 해당 취약점을 어떻게 차단했는지다.

또 공격에 AI가 실제 어느 단계까지 활용됐는지에 대한 기술 분석도 필요하다.

이번 사태를 단순히 ‘AI 해킹 공포’로만 받아들이면 문제의 본질을 놓칠 수 있다.

AI가 공격의 속도와 규모를 키우더라도 결국 공격자가 들어가는 곳은 시스템의 취약한 지점이다.

금융권이 앞으로 지켜야 할 것은 가장 튼튼한 정문 하나가 아니라 외부와 연결된 수많은 ‘작은 문’ 전체다.

그리고 그 문 가운데 어느 하나라도 오랫동안 관리에서 벗어나 있다면 AI 시대의 공격자는 사람보다 훨씬 빠르게 그 위치를 찾아낼 수 있다.