IP 바꿔가며 동시다발 침투…AI까지 동원한 금융권 해킹 '비상'

신한은행 등 4개 은행 이어 저축은행·여전사까지 7곳서 침해사고
동일 IP 바꿔가며 지속 공격…AI 활용한 대량 자동화 공격 가능성
금융당국, 500여개 금융사 긴급점검…취약 서비스 차단·보안통제 강화

4일 금융위원회가 금융감독원과 금융권 주요 관계자들과 긴급회의를 열고 있다. 사진=이진실 기자

최근 신한은행 등 은행권에 이어 저축은행과 여신전문금융사까지 금융권 해킹 사고가 잇따르자 금융당국이 긴급 대응에 나섰다. 금융당국은 공격자가 인공지능(AI) 도구를 활용해 다수 금융회사를 대상으로 자동화된 공격을 벌였을 가능성을 열어두고 전 금융권을 대상으로 보안 취약점 점검을 강화하기로 했다.

4일 금융위원회는 오후 2시 서울정부청사에서 금융권에서 발생한 침해사고와 관련해 긴급회의를 열고 금융회사별 대응 상황과 추가 피해 방지 방안을 점검했다. 이날 회의에는 금융감독원을 비롯해 은행·금융투자·보험·여신전문금융·저축은행·상호금융·가상자산·핀테크 등 전체 금융업권별 협회장과 최근 침해사고가 발생한 금융회사 최고경영자(CEO)들이 참석했다.

금융당국에 따르면 지난달 30일부터 이달 3일까지 신한·국민은·부산·하나은행 등 4개 은행을 비롯해 예가람·웰컴저축은행 2곳, 현대캐피탈 1곳 등 총 7개 금융회사에서 침해사고가 발생한 것으로 파악됐다. 피해는 인터넷·모바일뱅킹 등 대고객 서비스가 아닌 직원 대출모집인용 등 부가 시스템에서 발생했으며 현재까지 금전 피해는 확인되지 않은 것으로 나타났다.

금융당국은 이번 공격에 동일한 공격자 인터넷프로토콜(IP)이 여러 금융회사에서 발견되고 IP를 변경하면서 지속적으로 공격하는 특징이 나타난 것으로 파악하고 있다. 특히 공격자가 AI 도구를 활용해 다수 금융회사를 대상으로 대량의 자동화된 공격을 수행했을 가능성도 점검하고 있다.

인증 누락부터 웹 취약점까지…부가시스템이 공격 통로

금융당국은 현재 사고 유형을 크게 세 가지로 분류해 원인을 분석하고 있다. 우선 본인 확인 절차가 제대로 적용되지 않은 정보조회 서비스가 해킹에 악용된 사례다. 해커가 대출신청번호나 고객번호 등을 무작위로 입력해 대출신청 내역이나 기업 대표정보 등을 반복 조회하고 정보를 탈취한 것으로 추정된다.

직원 업무지원 서비스에서도 접근통제가 제대로 이뤄지지 않은 사례가 확인됐다. PB·RM·영업직원 등이 사용하는 모바일 단말기의 접근통제가 미흡하거나 웹 취약점이 방치된 경우다.

홈페이지 등 외부에 공개된 서비스의 보안 취약점을 악용한 공격도 발생했다. 해커가 알려진 취약점을 이용해 서버에 악성코드를 설치하고 고객정보가 포함된 로그파일을 탈취하거나, 서버의 메모리 오염을 통해 임의의 코드를 실행해 관리자 권한을 확보할 수 있는 취약점이 문제로 지목됐다.

이에 금융당국은 인증 절차가 누락된 서비스를 전수 조사하고 오류를 수정하거나 필요한 경우 서비스를 차단하도록 했다. 직원용 서비스는 사전 등록된 단말기에서만 접속할 수 있도록 접근통제를 강화하고 알려진 고위험 취약점에 대해서는 즉시 보완하거나 서비스를 중단하도록 금융회사에 주문했다.

금융권 500곳에 공격 IP 전파…IT 기본통제도 집중 점검

금융감독원은 유사 사고의 재발을 막기 위해 지난달 30일부터 전금융권 약 500개사를 대상으로 공격자 IP와 보안 유의사항을 전파하고 긴급 점검을 요청했다. 점검 항목에는 공격자 IP 차단 및 피해 조사 여부를 비롯해 외부에 노출된 IT 자산과 서비스 식별, 보안 강화 여부 등이 포함됐다. 금융위원회·금융보안원·금융회사 등이 참여하는 긴급 상황대응 회의도 세 차례 열어 침해 위협 동향과 대응 방안을 논의했다.

각 금융회사는 공격자 IP를 차단하고 침해 경로로 악용된 취약 서비스의 운영을 중단하는 등 긴급 조치에 나섰다. 정보 유출이 확인된 회사는 고객에게 관련 사실을 통지하고 홈페이지에 게시하는 등 소비자 보호 조치도 진행하고 있다.

금융당국은 권역별 긴급점검 결과를 분석해 미흡 사항을 신속하게 보완하도록 조치할 예정이다. 은행·카드사는 오는 6일까지, 증권·보험·저축은행·전자금융업자 등은 오는 8일까지 긴급점검을 완료하도록 했다.

아울러 금융당국은 올해 7월부터 금융권을 대상으로 진행 중인 'IT 기본통제 자율시정'도 오는 11월 말까지 이어간다. 정보처리시스템과 전산자료 보호, 해킹 방지대책, 공개용 웹서버 관리, 프로그램 통제 등 5개 부문 20개 항목을 중점적으로 점검한다.

금융당국은 형식적이거나 소극적인 자율시정으로 IT 기본통제가 미흡한 상태에서 대규모 IT·침해사고가 발생할 경우 엄중 조치할 방침이다.

이억원 금융위원장은 "AI가 예상치 못한 취약점을 파고드는 해킹 수법이 빠르게 확산되는 등 사이버 보안 패러다임이 변화하고 있다"며 "AI 시대에는 더욱 치밀하고 정교한 보안 기술이 필요하다"고 말했다. 이어 "정부가 AI 보안 체계 전환을 위해 망분리 규제 완화 및 전면 해제 검토 등 제도 개선을 추진하고 있는 만큼 금융권도 AI 보안 테스트 등에 적극 참여하고 AI 기반 보안 체계로의 전환에 박차를 가해달라"고 당부했다.

이진실 기자 truth@newsway.co.kr