같은 IP가 여러 금융사 해킹…AI 활용해 대량 공격 정황

시중은행권 공격 흔적서 같은 IP 확인…저축은행권은 달라
AI 기반 자율형 침투테스트 의혹도…고객 금전 피해는 없어
금감원, 500개사에 유의사항 전파…8일까지 점검 마무리

이억원(왼쪽 두번째) 금융위원회 위원장이 4일 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 발언하고 있다. 연합뉴스

최근 여러 금융사들에서 해킹 공격이 잇따른 것과 관련해 동일한 인터넷주소(IP)가 복수의 금융사 공격에 동일하게 사용된 것으로 확인됐다.

4일 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행·현대캐피탈 등 7개사의 침해 사고에서 동일한 공격자의 인터넷주소(IP)가 여러 곳에서 확인됐다. 공격자들은 IP를 변경해 가며 지속적으로 공격한 것으로 보인다. 이 과정에서 인공지능(AI) 도구를 활용해 대량의 자동화된 공격을 퍼부은 것으로 추정된다.

실제 신한은행이 국회에 보고한 자료에 따르면 공격자가 한국뿐 아니라 미국·일본·홍콩·싱가포르·베트남·태국·영국 등 여러 국가의 IP를 활용한 것으로 나타났다. 직원·대출모집인용 부가시스템에서 정보가 유출됐으며 인터넷·모바일뱅킹 등 대고객 서비스 영향이나 금전 피해는 현재까지 없다.

박상원 금융보안원장은 이날 정부서울청사에서 열린 ‘전 금융권 긴급 점검회의’ 이후 기자들을 만나 “은행권은 IP가 동일하지만 저축은행업권은 다르다”며 “수법 자체는 비슷하다”고 설명했다. 앞서 이번 공격과 관련 웹 서버의 HTML 타이틀에서 ‘ARTEX 自主渗透测试控制台’라는 문자열이 확인돼 중국어 기반 AI 자율형 침투테스트 흔적이라는 분석이 나온 바 있다.

금융당국은 해킹 사고를 3개 유형으로 분류한 뒤 약 500개 금융사에 공격IP와 보안 유의사항을 전파했다. 정보조회 서비스의 경우 본인 확인을 거치지 않고 대출신청 내역이나 기업대표정보를 조회할 수 있도록 개발이 잘못된 것으로 확인됐다. 이에 따라 인증 절차가 누락된 서비스는 전수조사해 오류를 수정하거나 서비스를 차단하도록 조치했다.

PB, RM 등 직원 업무지원 서비스에서 문제가 생긴 사례는 모바일 단말기 접근통제가 누락됐거나 권한 없이 접근할 수 있는 웹 취약점을 조치하지 않아 정보가 탈취됐다는 분석이 나왔다. 이에 각 금융사는 사전 등록된 단말기로만 접속할 수 있도록 통제를 강화하고, 취약한 웹서비스는 즉시 개선할 예정이다.

홈페이지 서비스는 해커가 이미 알려진 보안 취약점을 파고들어 악성코드를 설치하고 고객정보가 포함된 로그파일을 탈취한 것으로 보인다. 금융권은 알려진 취약점은 개선하거나 서비스를 차단하는 방식으로 보안 통제를 강화하기로 했다. 금감원에 따르면 은행·카드는 6일까지, 증권·보험·저축은행·전자금융업자 등은 8일까지 위 지침에 맞춰 긴급 점검을 마쳐야 한다.

특히 금융 당국은 이번 공격에 AI가 활용됐을 가능성을 거론하며 AI공격에 대응하는 보안체계 마련도 서두르겠다는 방침이다. 이억원 금융위원장은 “이번 일련의 사고를 단순히 개별 사고를 수습하는 데 그치지 않고 우리 금융권의 정보보안 체계를 한 단계 더 높이는 계기로 삼아야 한다”라며 “전 금융권은 비상한 각오와 최고 수준의 경각심을 갖고 정보보안 체계 전반을 원점에서 다시 살펴 보안의 기본부터 철저히 다져주길 바란다”라고 말했다.

주재현 기자 joojh@sedaily.com