신한 해킹 IP, 8개월 전 같은 날 토스·카뱅 접근…사전정찰 했나

신한은행 개인정보 유출 사고와 관련해 금융보안원이 금융회사에 공유한 침해지표 가운데 한 IP가, 8개월여 전 같은 날 토스뱅크와 카카오뱅크에 모두 접근했던 것으로 확인됐습니다.

해당 IP는 미국 소재로 확인됐으며, 금융보안원이 최근 금융권에 배포한 ‘신한은행 개인정보 유출사고 관련 침해지표’에 포함돼 있습니다.

카카오뱅크와 토스뱅크 등이 국회 위원회 김형연 의원실에 제출한 자료를 보면, 이 IP는 올해 1월 18일 카카오뱅크에 한 차례 접근한 데 이어 1월 24일에는 토스뱅크와 카카오뱅크 두 곳에 모두 접근했습니다.

같은 날, 같은 IP가 서로 다른 인터넷은행 두 곳에 접근한 겁니다.

보안업체 로그프레소가 이 IP의 과거 활동을 분석한 결과, 지난해 10월 말부터 올해 1월 27일까지 원격제어 솔루션인 ‘러스트데스크’를 통해 SSH 무차별 대입 공격에 악용된 것으로 확인됐습니다.

특히 토스뱅크와 카카오뱅크에 동시에 접근한 1월 24일도 이 기간에 포함됩니다.

이 IP는 이후 3월 21일부터 특정 AI서비스를 이용해 프록시, 즉 접속 경로를 우회하기 위한 도구를 준비한 흔적도 확인됐습니다.

1월 공격에 악용됐던 IP가 이후에는 접속 경로를 숨기거나 우회하기 위한 준비에도 활용된 정황입니다.

하지만 당시 두 인터넷은행에서는 실제 시스템 침해나 개인정보 유출로 이어지지 않아 이를 해킹 공격으로 판단하지 않았습니다.

카카오뱅크는 당시 기록에 대해 “공격 시도는 없었다”는 입장이고, 토스뱅크도 “한 금융회사에서 확인된 접근만으로는 공격이라고 판단하기 어렵다”는 취지로 설명한 것으로 전해졌습니다.

그러나 8개월여 뒤, 신한은행 등 금융회사에서 실제 개인정보 유출 사고가 잇따랐고, 1월 24일 두 인터넷은행에 접근했던 IP가 신한은행 사고와 관련해 금융보안원이 공유한 침해지표에 포함됐습니다.

이에 따라 지난 1월의 접근이 실제 공격에 앞서 금융회사들의 외부 노출 시스템이나 취약점을 미리 살펴보는 이른바 ‘사전정찰’이었을 가능성도 제기됩니다.

실제로 9월 말에는 신한은행뿐 아니라 국민·하나·부산은행과 저축은행, 캐피탈사 등에서도 외부 침입이나 개인정보 유출이 잇따라 확인됐습니다.

웰컴저축은행과 현대캐피탈의 경우 자체적으로 침해 사실을 즉시 파악하지 못했고, 금융보안원이 관련 IP를 공유한 뒤 과거 접속 기록을 확인하는 과정에서 닷새가량 지난 사고를 뒤늦게 발견했습니다.

이에 대해 김형연 의원은 "이번 사고에 쓰인 IP가 올해 1월에도 인터넷은행 두 곳에 접속했는데, 서로 무관하다고 단정할 근거가 없다면, 확인하는 것이 순서"라고 말했습니다.

이어, "금융당국이 금융기관에 배포한 보안 점검표에는 기간 명시가 없는 만큼, 점검 대상 기간을 명확히 정해 과거 접속 기록까지 충분히 확인하도록 할 필요가 있다"고 강조했습니다.

[사진 출처 : 연합뉴스]

■ 제보하기
▷ 전화 : 02-781-1234, 4444
▷ 이메일 : kbs1234@kbs.co.kr
▷ 카카오톡 : 'KBS제보' 검색, 채널 추가
▷ 유튜브, 네이버에서도 KBS뉴스를 구독해주세요!

송수진 기자 (reportersong@gmail.com)