“19개 IP 찍힌 해킹, 배후 추적”…12개국 경유에 AI 흔적까지

▲서울 시내 한 건물 내에 설치된 은행 ATM기.

금융권을 파고든 해킹 공격의 흔적이 속속 드러나고 있다. 금융당국이 공격에 활용된 것으로 추정되는 인터넷주소(IP) 19개를 특정해 전 금융회사에 공유한 데 이어, 경찰도 28명 규모의 전담수사팀을 꾸리고 정식 수사에 착수했다. 개별 금융회사의 업무지원 시스템 등을 거쳐 고객정보에 접근한 정황이 드러나면서 금융권 전체를 대상으로 한 보안 점검도 속도를 내고 있다.

6일 금융당국과 금융권에 따르면 금융감독원 디지털리스크분석팀은 최근 금융회사 해킹 사고에 사용된 것으로 추정되는 IP 19개를 파악해 금융권에 전달했다. 확인된 IP는 미국·일본·홍콩(중국)·싱가포르·베트남·태국·말레이시아·스페인·라트비아·스웨덴·독일 등 12개국에 걸쳐 있다. 국내 IP도 1개 포함됐다.

미국 소재 IP가 5개로 가장 많았고 일본과 스웨덴, 독일에서 각각 2개씩 확인됐다. 공격자가 여러 국가의 IP를 거쳐 접속하면서 실제 공격 주체와 출발지를 감추려 했을 가능성이 제기된다. 금융회사 시스템에 접속한 뒤 내부에서 이용 가능한 서비스를 훑어 취약한 지점을 찾아 공격을 이어가는 방식이었던 것으로 당국은 보고 있다.

▲금융감독원.

이번 공격은 금융회사마다 서로 다른 업무 시스템을 통로로 삼았다는 점에서도 특징적이다. 신한은행에서는 대출모집인 서비스가, KB국민은행에서는 직원들이 사용하는 모바일 업무지원 시스템이 공격 경로로 활용됐다. 하나은행에서는 영업지원시스템을 통한 정보 유출이 발생했다.

유출 규모도 회사별로 크게 엇갈렸다. 신한은행에서 확인된 유출 정보는 2만5727건에 달했고 KB국민은행은 119명, 하나은행은 89명 수준으로 파악됐다. 저축은행권에서도 예가람저축은행은 4만여건의 정보가 유출된 반면 웰컴저축은행은 약 2200건으로 집계됐다. 증권·보험·카드사에서도 공격 시도가 포착됐지만 현재까지 개인정보가 실제로 빠져나간 사례는 신고되지 않은 것으로 전해졌다.

금감원은 특정 금융회사에서 발생한 개별 사고로만 보지 않고 전 금융권을 대상으로 방어선을 다시 점검하고 있다. 공격에 사용된 것으로 파악된 IP 목록을 금융회사에 배포하면서 오는 8일까지 자체 점검을 끝내고 취약점이 발견될 경우 보완하도록 요구했다.

점검 대상에는 외부에서 접근할 수 있는 정보기술(IT) 자산과 서비스가 빠짐없이 파악돼 있는지, 외부 시스템의 인증·인가·검증 과정에 허점이 없는지 등이 포함됐다. 당국은 공유된 IP를 차단했는지 여부와 해당 IP를 통한 침해 시도 및 실제 피해 발생 여부, 사이버 위협을 실시간으로 탐지하고 대응할 수 있는 보안관제 체계 운영 여부 등 12개 항목으로 구성된 자체 점검표도 금융회사에 전달했다.

금융회사들의 확인 작업도 당국이 제시한 기간에만 국한되지 않는 분위기다. 토스뱅크의 경우 올해 7~8월 발생한 접속 기록뿐 아니라 1월에도 당국이 특정한 일부 IP를 통한 비정상적인 접근 시도가 있었던 것으로 파악하면서 과거 기록까지 범위를 넓혀 살펴보고 있다.

경찰 수사도 본격적인 단계로 넘어갔다. 경찰청 국가수사본부는 최근 금융기관 해킹 사건에 대한 사실관계를 확인한 뒤 정보통신망법 위반 혐의로 사건을 입건했다. 사이버테러수사대를 전담수사팀으로 지정했으며, 사이버테러대응과장을 중심으로 4개 팀 28명이 수사에 투입된다.

경찰은 이번 사건을 중대범죄수사청에 통보할 필요가 있는지도 함께 들여다보고 있다. 중수청법상 다른 수사기관이 수사 과정에서 중대범죄를 인지하면 중수청장에게 통보해야 한다. 다만 경찰은 현재까지 확인된 금융기관들이 국가핵심기반에 해당하지 않아 국가핵심기반 해킹에 따른 정보통신망법 위반 유형의 통보 대상에는 해당하지 않는 것으로 판단하고 있다. 전자금융기반시설에 대한 해킹으로 전자금융거래법 위반에 해당하는지 여부도 추가 검토 대상이다.

해킹의 출발점과 배후를 특정하기까지는 아직 넘어야 할 단계가 많다. 일부 보안업계에서는 지난 7월 공개된 중국어 기반 AI 침투 테스트 도구와 유사한 흔적을 근거로 중국발 공격 가능성을 제기하고 있지만, 금융당국은 특정 국가를 지목하지 않고 있다. 여기에 AI 에이전트가 공격 과정에 활용된 것으로 의심되는 정황도 확인된 만큼 실제 공격 주체와 침투 경로가 어디까지 연결되는지는 향후 당국 분석과 경찰 수사를 통해 밝혀질 전망이다.

송재석 기자 mediasong@ekn.kr