금융권 이어 대형교회도 털렸다…교인정보 최대 100만건 유출 가능성도

여의도순복음교회·사랑의교회 공격 정황
헌금·교인정보·전자결재 문서 등 발견
두 교회 “관계기관과 사실관계 확인”

(왼쪽부터) 여의도 순복음교회, 서초동 사랑의교회. 연합뉴스

최근 금융권 등에서 인공지능(AI) 도구를 활용한 해킹 피해가 잇따르는 가운데, 국내 대형 교회 2곳에서 해킹 정황이 포착돼 100만건에 달하는 개인정보가 유출됐을 가능성이 제기됐다.

6일 사이버 위협 인텔리전스 기업 오아시스시큐리티에 따르면 해외 공격자 서버에서 확보한 공격 도구와 기록, 자료, 계정정보 등을 분석한 결과 국내 대형 종교기관 2곳과 관련된 자료를 확인했다.

해당 기관은 서울 여의도순복음교회와 서초구 사랑의교회다.

오아시스시큐리티에 따르면 두 교회 모두 외부에서 접근할 수 있는 시스템을 시작으로 공격이 이뤄진 뒤 내부의 다른 시스템으로 침투 범위가 확대된 것으로 분석됐다.

특히 해외 공격자 서버에서 실제 교회 자료로 추정되는 정보가 발견된 만큼 일부 자료가 외부로 전송됐을 가능성도 제기됐다.

여의도순복음교회에서는 공격자가 악성 프로그램인 웹쉘을 이용해 전사적자원관리(ERP) 서버에 침입한 뒤 데이터베이스(DB)의 관리자 권한을 확보한 정황이 확인됐다. 이후 해당 권한을 이용해 다른 내부 시스템과 연결된 서비스에도 접근한 것으로 분석됐다.

공격자 서버에서는 여의도순복음교회와 관련된 것으로 추정되는 교인 헌금 기록 약 33만건과 최근 2년간 갱신된 교인정보 약 96만건이 발견됐다.

이와 함께 전자결재 문서 약 6만8천건, 내부 메신저 대화 기록 1만4천706건 등 약 47.3GB에 달하는 자료도 확인된 것으로 전해졌다.

사랑의교회에서는 공격자가 미리 확보한 것으로 추정되는 계정을 이용해 그룹웨어 서버에 접근한 것으로 분석됐다. 이후 시스템 취약점을 통해 다른 이용자 정보로 접근 범위를 넓히고 관리자급 계정까지 확보한 정황이 나타났다.

특히 한 번의 로그인으로 여러 시스템에 접속할 수 있는 통합 로그인 기능을 통해 ERP에도 접근했으며, 이 과정에서 임직원 정보와 사진 등이 확보된 것으로 업체는 분석했다.

공격자 서버에서는 사랑의교회와 관련된 것으로 추정되는 교인정보 8만9천명분과 임직원 정보 286건이 발견됐다.

아울러 이번 분석에서는 미국의 한 종교 콘텐츠·스트리밍 서비스 침해와 관련된 외부 저장 서버의 관리자 계정이 국내 교회 자료를 저장하거나 전송하는 데 활용된 정황도 확인됐다.

이와 관련, 오아시스시큐리티는 미국 종교 콘텐츠·스트리밍 서비스 침해 과정에서 확보된 계정이나 관련 인프라가 이후 국내 교회를 대상으로 한 공격에도 이용됐을 가능성이 있다고 봤다. 다만 이 같은 정황만으로 각각의 공격 주체가 동일하다고 단정할 수는 없다고 설명했다.

업체는 “인사·회계 시스템과 그룹웨어, 데이터베이스 같은 핵심 업무 시스템들이 서로 어떻게 연결돼 있고 인증·권한 체계는 어떤지 함께 점검할 필요가 있다”고 밝혔다.

여의도순복음교회는 한국인터넷진흥원으로부터 교회 정보시스템과 관련한 개인정보 유출 의심 정황을 통보받았으며, 현재 관계기관 및 보안 전문가들과 정확한 사실관계를 확인하고 있다고 밝혔다.

교회 측은 “이번 사안을 엄중하게 인식하고 있으며 관계기관의 조사와 확인 절차에 적극 협조하겠다”며 “추가 피해 방지와 정보보호체계 전반에 대한 점검 및 보완을 통해 재발 방지에 최선을 다하겠다”고 했다.

사랑의교회 역시 개인정보 유출 가능성이 있는 정황을 확인해 비상대책 태스크포스(TF)를 꾸리고 관계기관에 신고했으며, 정확한 경위 파악과 추가 피해 방지를 위한 조치를 진행하고 있다고 밝혔다.

한편 금융권에서도 AI를 활용한 것으로 추정되는 해킹 공격이 잇따르면서 금융당국이 전 금융권을 대상으로 긴급 점검에 나섰다.

금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해사고에서 동일 공격자가 사용한 것으로 추정되는 IP가 발견됐다. 공격자는 IP를 바꿔가며 여러 금융사를 대상으로 공격한 것으로 파악됐다.

당국은 AI 도구를 활용해 공격을 자동화했을 가능성을 염두에 두고 약 500개 금융사에 공격 IP와 보안 유의사항을 전달했다. 각 금융사는 외부에 노출된 IT 자산과 서비스, 공격 IP 차단 여부 등을 점검하고 취약점이 확인될 경우 즉시 보완해야 한다.

아울러 당국은 침해사고가 발생한 금융사에 대한 현장 점검과 취약 요인 분석을 진행하고, 개선 사례를 금융권 전체와 공유해 유사 사고 재발을 막을 계획이다.

허나우 기자 rightnow@kyeonggi.com