금융보안원 ‘보호망’ 문제?…서비스 받는 은행들 해킹당해

5일 서울 시내 한 건물 내에 설치된 은행 자동현금입출금기. 연합뉴스

신한·국민·하나·부산은행 등 최근 해킹 공격으로 정보가 유출된 은행들이 모두 금융보안원의 공격표면관리(ASM) 서비스를 이용하고 있었던 것으로 확인됐다. 금융보안원은 이 서비스를 통해 외부 인터넷과 연결된 시스템의 고위험 취약점까지 식별·관리한다고 밝혀왔지만 이번 공격에 악용된 위험을 사전에 제거하는 데까지는 이르지 못한 것이다.

6일 한겨레 취재를 종합하면 신한·국민·하나·부산은행은 모두 금융보안원이 운영하는 ‘아틀라스(Atlas) 공격표면관리’ 서비스를 이용하는 금융회사다. ‘공격표면’이란 관리자 페이지 노출 등 해커가 악용할 수 있는 취약점, 침투 경로, 방법 등의 조합을 말한다. 공격표면관리는 해커의 시선으로 이런 요소들을 지속 점검해 필요한 조처를 하는 보안 방식이다.

금융보안원은 지난해 12월 서비스를 시작했고, 금융사별 외부 노출 자산과 취약점을 파악해 금융사에 안내하고 있다. 금융보안원에 따르면, 올해 6월 기준 147개 금융회사의 공격표면 자산 27만개 이상을 식별·관리하고 있다.

27만개 관리 대상에는 이번에 공격을 받은 대출모집인용 서비스, 직원용 모바일 업무지원 시스템 등도 포함돼 있었다. 그럼에도 이 시스템들의 취약점까지는 관리망에 걸러지지 않은 셈이다. 금융보안원이 지난 6월 발표한 보도자료를 보면, 아틀라스는 외부에 노출된 자산을 식별하고 이를 알려진 취약점 정보와 연계해 ‘위험 자산 정보’를 제공한다. 당시 금융보안원은 아틀라스가 한 금융사의 외부 노출 가상사설망(VPN)을 식별한 뒤 취약점을 파악해 안내한 사례도 공개했다.

전문가들은 관리 대상 자산의 취약점 탐지 수준을 한층 고도화할 필요가 있다고 지적한다. 염흥열 순천향대 정보보호학과 명예교수는 “해당 시스템이 이번 공격에 이용된 취약점을 사전에 찾아내지 못한 것으로 보인다”며 “현행 체계가 포착하지 못하는 취약점까지 탐지·관리할 수 있도록 범위를 넓힐 필요가 있다”고 말했다. 권헌영 고려대 정보보호대학원 교수도 “공격표면으로 파악된 시스템이라면 실제 위험 요소까지 지속적으로 확인하고 관리하는 체계를 강화해야 한다”고 말했다.

다만 금융보안원은 이번 사고를 아틀라스의 관리 실패로 보기는 어렵다는 입장이다. 아틀라스의 주된 목적은 금융사가 존재 자체를 인지하지 못한 외부 노출 자산을 찾아내 알려주는 데 있다는 것이다. 이번에 공격받은 시스템들은 은행이 이미 존재를 파악하고 정상적으로 외부에 공개해 운영하던 서비스인 만큼, 아틀라스가 주로 겨냥하는 위험과는 성격이 다르다고 설명했다.

안태호 기자 eco@hani.co.kr