금융권 연쇄 해킹 수사 급물살…경찰, 공격자 추적 본격화

[한국금융신문 김희일 기자] 금융권을 겨냥한 해킹 사고가 잇따르면서 경찰 수사가 금융투자업계로 확대됐다. 대신증권과 미래에셋자산운용, 빗썸에서 발생한 침해 사고에 대해 경찰이 입건 전 조사에 착수하면서 금융권 전반으로 이어진 공격의 실체를 규명하는 작업이 본격화하고 있다. 개별 기업의 피해 경위를 확인하는 동시에 기존 은행권 해킹 사건과의 연결고리를 찾아 실제 공격자를 특정하는 것이 수사의 핵심으로 떠올랐다.

28일 경찰청에 따르면 국가수사본부는 이날 대신증권과 미래에셋자산운용, 빗썸 등에서 발생한 해킹 사건과 관련해 입건 전 조사에 착수했다. 기존 금융권 연쇄 해킹 사건을 담당해온 수사팀이 이번 사건도 맡아 범행 수법과 침투 경로를 비교하고 사건 간 연관성을 집중적으로 살필 방침이다.

금융투자업계에서 잇따라 침해 사고가 확인되면서 수사 대상도 넓어지는 양상이다. 대신증권에서는 고객 3만8490명의 개인정보와 신용정보가 유출됐다. 빗썸에서는 현재까지 임직원 정보 유출이 확인됐으며 회원 정보 유출 여부는 조사 중이다. 미래에셋자산운용에서도 일부 업무용 시스템과 관련된 정보 유출이 발생했지만, 현재까지 개인신용정보 등의 유출은 없는 것으로 파악된다.
경찰 수사의 우선 과제는 개별 사건의 범행 수법을 대조해 공통된 공격 흔적을 찾아내는 것이다. 앞서 은행과 저축은행, 캐피탈 등 금융회사 16곳에서도 해킹 피해가 발생해 개인정보 약 10만건이 유출된 것으로 알려졌다. 기존 은행권 사건과 이번 금융투자업계 사건이 동일한 공격자나 조직의 소행인지 확인하는 작업이 본격적인 수사 방향을 가를 전망이다.

수사팀은 피해 회사의 서버 접속기록과 IP 주소, 악성코드, 최초 침투 경로 등 디지털 증거를 종합적으로 분석해야 한다. 여러 회사에서 유사한 공격 흔적이나 침투 방식이 확인되면 사건 간 연관성을 좁히는 단서가 될 수 있다. 반대로 공격 수법이 비슷하더라도 이를 모방했을 가능성이 있는 만큼, 단일한 흔적만으로 동일범 여부를 판단하기는 어렵다.

실제 공격자를 특정하기까지는 넘어야 할 장벽도 적지 않다. 공격자가 가상사설망(VPN)이나 해외 서버를 경유하거나 탈취한 계정을 사용했다면 외부에 드러난 IP 주소만으로는 실제 공격 주체를 확인하기 어렵다. 서버 접속기록이 삭제됐거나 해외 사업자가 보유한 자료가 필요한 경우에는 증거 확보와 국제 공조가 수사의 변수가 될 수 있다.

경찰은 기존 은행권 해킹 사건과의 연관성도 배제하지 않고 들여다보고 있다. 다만 현재까지 동일범 여부나 배후 조직의 존재가 확인된 단계는 아니다. 수사팀이 확보한 디지털 증거를 토대로 사건별 공통점과 차이점을 가려내는 과정이 이어질 것으로 보인다.

이번 수사의 관건은 금융회사별 피해 사실을 확인하는 데서 한발 더 나아가 여러 침해 사고를 관통하는 공통된 공격 경로를 밝혀내고, 이를 실제 공격자의 신원과 연결할 수 있는 증거를 확보하는 데 있다. 금융권을 겨냥한 해킹이 연쇄적으로 발생한 만큼 사건 간 증거를 신속하게 대조하고 공유하는 작업이 공격의 실체를 규명하는 핵심 절차가 될 전망이다.
김희일 한국금융신문 기자 heuyil@fntimes.com