국내 금융회사들을 향한 수상한 네트워크 접근이 수백만 건 포착되면서 금융당국이 긴급 점검을 요청했다. 이번에 확인된 접속 시도에는 북한에 할당된 인터넷 프로토콜(IP) 대역이 사용된 것으로 파악됐다. 탐지된 건수만 440만 건을 넘어섰으며, 가상자산거래소를 포함한 금융권 전반이 보안 점검 대상에 올랐다. 다만 북한 IP가 확인됐다는 사실만으로 실제 공격 주체가 북한이라고 단정할 수는 없는 상황이다.
28일 금융업계에 따르면 금융당국은 지난 21일 금융보안 통합관제시스템 ‘퍼스트(FIRST)’를 통해 금융회사들에 보안 유의사항을 전달했다. 공문에는 북한 IP 대역에서 금융권을 대상으로 대규모 스캔성 접근이 발생한 정황과 함께 각 기관이 확인해야 할 보안 조치가 담겼다.
이상 접근이 집중적으로 관측되기 시작한 시점은 21일 오전 3시께다. 금융당국은 당시부터 여러 북한 IP를 이용한 접속 시도가 지속적으로 탐지됐다고 설명했다. 공문 발송 시점까지 집계된 접근 건수는 440만 4,101건에 달했다. 확인된 IP 범위는 ‘175.45.176.0/22’ 대역으로, 북한에 할당된 주소가 포함돼 있다.
이번에 포착된 행위는 일반적인 서비스 이용과는 성격이 다르다. 스캔성 접근은 외부에서 특정 서버나 네트워크에 접속을 시도하면서 열려 있는 통신 경로나 보안 취약점을 살펴보는 활동을 뜻한다. 이러한 접근은 시스템 상태를 확인하는 데 사용될 수 있지만, 실제 해킹에 앞서 공격 가능한 지점을 찾는 과정에서도 활용된다. 따라서 스캔 시도가 대량 발생했다는 사실만으로 내부 시스템이 뚫렸다고 볼 수는 없다.
실시간 급상승 기사
금융당국은 각 회사에 해당 IP의 접속 기록을 확인하고 정보보호 체계와 내부통제 상황을 점검하도록 요청했다. 비정상적인 움직임을 실시간으로 감시하고 특이사항이 발견되면 관계 당국에 알리라는 내용도 포함됐다. 현재까지 해당 IP를 통한 접근이 실제 침해사고로 이어져 피해가 신고된 사례는 없는 것으로 전해졌다.
공격 주체를 특정하는 데에도 신중한 접근이 필요하다는 설명이 나온다. 접속 기록에 남은 IP의 국가 정보와 실제 공격자의 소재지는 일치하지 않을 수 있기 때문이다. 금융당국 관계자는 “IP 국적 조작이 가능하기 때문에 IP만으로 해커의 국적을 특정하기 어렵다”라고 전했다.
금융감독원 역시 지난 6일 금융권 해킹 사고와 관련한 안내에서 IP 정보를 근거로 공격자의 국적을 판단할 때 주의해야 한다고 밝힌 바 있다. 당시 금감원은 “일부 IP는 국가를 특정할 수 없는 경우가 있고, 국가가 특정돼도 우회 가능성이 있어 해석에 유의할 필요가 있다”라고 밝혔다.
금융권의 보안 상황을 점검하기 위한 정부 차원의 대응도 진행된다. 청와대 국가안보실은 28일 오후 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열 예정이다. 회의에서는 가상자산거래소 빗썸과 미래에셋자산운용 등에서 발생한 해킹 관련 사고의 피해 규모를 확인하고 추가 피해를 막기 위한 대응책을 논의할 계획이다.
금융당국은 이번 대규모 접근 시도의 실제 침해 여부와 기존 금융권 해킹 사고 사이의 관련성을 신중하게 살펴봐야 하는 상황이다. 당분간 금융회사들의 접속 기록 분석과 보안 감시 강화가 이어질 것으로 보인다.
댓글0