1월부터 문 두드린 AI 해커… 금융사 ‘공동 보안 경보’ 가동 안됐다

경보 발령도 공격 탐지도 늦어

금융감독원은 최근 금융권에서 발생한 인공지능(AI) 해킹 추정 공격과 관련해 공격에 사용된 인터넷주소(IP) 33개를 특정해 금융권에 전파했다고 6일 밝혔다. 이날 서울 시내 한 건물에 설치된 주요 시중은행 현금 자동입출금기(ATM) 모습. /뉴시스

최근 동시다발로 불거진 금융권 AI(인공지능) 해킹에 쓰인 일부 인터넷주소(IP)가 대규모 개인정보 유출 사고가 터지기 8개월 전인 지난 1월부터 인터넷은행 등의 서버에 접근했던 것으로 나타났다. 당시 인터넷은행들은 공격을 막았지만, 이 정보는 금융권 전체에 공유되지 않았다.

같은 IP가 여러 금융회사를 두드리고 있었는데도 이를 하나의 위험 신호로 묶어내지 못한 것이다. 결국 신한은행에서 대규모 정보 유출이 터진 뒤에야 전 금융권이 공격 IP를 공유해 전수 점검에 나섰고, 이 와중에 과거 인터넷은행 등에 대한 접근 흔적이 발견됐다. 해킹에 대한 금융권 ‘공동 경보’ 체계의 허점이 드러난 것이다.

6일 금융권에 따르면, 최근 신한은행 공격에 사용된 IP 가운데 미국 소재 IP 2개는 지난 1월 24일 토스뱅크 서버에도 세 차례 접근했다. 같은 IP는 7, 8월에도 11차례 토스뱅크에 추가 접근을 시도했다. 토스뱅크가 이를 모두 차단하면서 개인정보 유출 등 실제 피해는 발생하지 않았다. 또 일부 IP는 올해 1월부터 카카오뱅크에도 수차례 접근했다. 카카오뱅크는 보안 체계를 통해 탐지·차단했다. 7월에는 같은 IP로 케이뱅크에도 접속 시도가 확인됐으나, 접속 시도로 인한 피해는 없었다.

그래픽=김의균

◇공격은 막았지만 ‘공동 경보’는 없었다

문제는 이처럼 한 금융회사가 해킹 공격을 막아낸 뒤 남은 흔적이 금융권 전체의 경보로 이어지지 않았다는 데 있다.

이번 연쇄 AI 해킹에서 금융권의 공동 대응이 본격적으로 시작된 것은 지난 1일 신한은행에서 개인정보 유출 사고가 확인된 뒤였다. 금융당국은 신한은행 사고 직후 공격에 사용된 IP들을 은행 등 다른 금융회사들에 공유했고, 각 금융회사는 그제야 해당 IP가 과거 자사 시스템에도 접근했는지 접속 기록을 다시 확인해 추가로 이상 징후를 찾아냈다.

다만, 이미 금융권에는 사이버 위협이 발견되면 정보를 공유하는 체계를 갖추고 있다. 금융보안원은 2023년부터 금융권에서 포착되는 침입 정보를 모아 의심 IP와 악성 접속경로(URL), 악성파일 등을 분석하고 이를 금융회사들 사이에 실시간으로 공유하는 ‘차세대 금융보안관제’ 서비스를 운영하고 있다.

하지만 금융보안원 관계자는 “(1월) 당시 각 은행에서 정보유출 등 실제 침해사고로 이어지지 않았기 때문에 보고하지 않은 것으로 보인다”며 “통상 시스템 장애나 개인정보 유출 등 실제 침해사고가 발생하거나, 새로운 악성코드·공격 수법처럼 중요성이 큰 위협이 확인됐을 때 관련 정보가 공유되는 상황”이라고 했다.

해킹 전문가 박찬암 스틸리언 대표는 “실제 사고가 나기 전이라도 반복적으로 포착되는 수상한 IP나 새로운 공격 수법은 신속히 공유할 수 있도록 기준을 정교하게 만들 필요가 있다”고 했다.

◇공동 경보도, 은행 자체 탐지도 늦었다

금융권 전체 경보가 늦게 울렸을 뿐 아니라 실제 정보가 유출된 은행들이 공격 사실을 알아차리는 데도 상당한 시간이 걸렸다. AI 해킹의 특징이 다양한 취약 지점을 은밀하게 찾아서 빠른 속도로 공격한다는 건데, 이런 해킹 추세에 느린 속도로 대응한 것이 문제점으로 지적된다.

국회 정무위원회에 제출된 자료에 따르면, KB국민은행은 지난달 27일 오후 11시 19분 처음 공격을 받은 뒤 약 68시간이 지난 30일 오후 7시쯤에야 이를 인지했다. 공격은 29일 오후 6시쯤까지 43시간가량 이어졌고, 공격이 종료 뒤에도 약 25시간 동안 침입 사실을 알아채지 못했다.

신한은행은 28일 오후 6시 4분 비정상 접근이 시작된 뒤 15시간쯤 지나서야 이상 징후를 감지했고, 고객정보 유출 사실은 공격 시작 약 25시간 뒤인 29일 오후 7시 3분쯤 파악했다. 공격을 완전히 차단한 것은 30일 오전 0시 15분이었다. 하나은행도 최초 공격에서 인지까지 41시간 44분이 걸렸다.

현행 규정상 금융회사는 침해사고를 인지하면 24시간 안에 금융당국에 최초 보고해야 한다. 하지만 금융회사가 공격 자체를 뒤늦게 알아차리면 당국 보고와 다른 금융회사에 대한 경보도 함께 늦어질 수밖에 없다.

◇금감원, 공격 IP 33개 공유

AI 해킹 피해가 확산하자 금융당국은 뒤늦게 공격 흔적을 한데 모아 금융권 전체에 전파하고 있다. 금융감독원은 6일 최근 금융권 침해사고와 관련해 해킹에 사용된 것으로 파악된 IP가 현재까지 총 33개이며, 중복을 제외하면 28개라고 밝혔다.

금감원과 금융보안원은 이 IP와 확인 가능한 일부 국가 정보도 전 금융권에 공유했다. 금감원은 이 IP 목록을 토대로 전 금융회사에 8일까지 자체 점검과 미흡 사항에 대한 조치를 마치라고 요청했다.

5일 기준 공격 IP는 미국, 일본, 중국(홍콩), 싱가포르, 베트남, 태국, 말레이시아, 스페인, 일본, 라트비아, 스웨덴, 독일 등 12국에 흩어져 있었다.

다만 금융당국 관계자는 “IP 소재지가 곧 공격자의 실제 위치나 국적을 뜻하는 것은 아니다”라고 했다. 해외 서버 등을 거쳐 공격할 경우 얼마든지 IP 소재지를 우회할 수 있기 때문이다.