금융권 해킹 배후 북한?…440만건 IP 접근 포착, 연쇄 침해 연관성 주목

[한국금융신문 김희일 기자] 금융권을 겨냥한 해킹 시도가 잇따르는 가운데 북한 IP 대역에서 금융회사 등을 대상으로 한 대규모 스캔성 접근 정황이 확인됐다. 최근 발생한 대신증권·빗썸·미래에셋자산운용의 침해 사고와 관련이 있는지 관심이 쏠리지만, 해당 접근이 실제 침해 사고로 이어졌거나 북한 해커가 개별 사고에 관여했다는 사실은 확인되지 않았다.

28일 금융업계에 따르면 금융당국은 지난 21일 금융보안 통합관제시스템 '퍼스트(FIRST)'를 통해 금융회사와 가상자산거래소 등에 '북한 IP의 금융권 대상 스캔성 접근 관련 유의사항'을 담은 공문을 공유했다.

당국은 지난 21일 오전 3시부터 다수의 북한 IP가 금융권을 대상으로 스캔성 접근을 지속적으로 시도한 정황을 대량 탐지했다. 공문 발송 당시까지 집계된 접근 건수는 약 440만4101건이다. 당국이 확인한 IP 대역은 175.45.176.0/22로 알려졌다. 다만 해당 대역의 국가 귀속과 실제 공격 주체는 관련 자료를 토대로 구분해 판단할 필요가 있다.
스캔성 접근은 시스템의 취약점이나 외부에 개방된 네트워크 포트 등을 파악하기 위해 접속을 시도하는 행위다. 공격자가 실제 침투에 앞서 공격 가능한 지점을 찾는 과정에서 활용될 수 있지만, 스캔 자체가 시스템 침해나 정보 유출을 의미하지는 않는다. 이번에 집계된 440만여건 역시 실제 침투 성공이나 개인정보 유출 건수와는 구분해야 한다.

당국은 금융회사들에 해당 IP의 접근 이력을 확인하고 정보보호 체계와 내부통제, 이상징후 탐지를 위한 실시간 모니터링 등을 점검하도록 요청했다. 현재까지 해당 IP를 통한 접근이 실제 침해 사고로 이어져 피해가 신고된 사례는 없는 것으로 전해졌다.

이번 탐지 사실이 주목받는 것은 최근 금융권에서 개인정보 유출과 시스템 침해 사고가 잇따르고 있기 때문이다. 대신증권에서는 고객 3만8490명의 개인정보 유출 사고가 발생했고, 가상자산거래소 빗썸과 미래에셋자산운용에서도 침해 사고가 알려졌다. 금융권에서 연이어 사고가 발생한 가운데 북한 IP 대역의 접근 정황까지 확인되면서 개별 사고와의 기술적 연관성을 규명하는 일이 과제로 떠올랐다.

다만 북한 IP가 탐지됐다는 사실만으로 최근 금융권 침해 사고의 배후를 북한으로 특정하기는 어렵다. IP 주소는 공격자가 직접 사용하지 않고 다른 시스템을 경유하거나 우회 접속에 활용할 수 있기 때문이다. IP 대역의 국가 귀속과 실제 공격자의 신원, 특정 침해 사고에 대한 관여 여부는 별개의 문제다. 따라서 IP 정보만으로 공격 주체를 단정하기보다 접속 기록과 공격 방식 등 추가적인 기술 증거를 종합적으로 분석해야 한다.

수사의 핵심은 북한 IP 대역에서 발생한 스캔성 접근과 실제 침해 사고 사이에 기술적 연결고리가 있는지를 확인하는 데 있다. 접근 시점과 접속 기록, 공격에 사용된 인프라, 침투 경로, 악성코드 등 디지털 증거를 종합적으로 대조해야 동일 공격자나 배후 조직의 개입 여부를 판단할 수 있다.
한편 청와대 국가안보실은 이날 오후 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열 예정이다. 회의에서는 빗썸과 미래에셋자산운용 등에서 발생한 해킹 관련 사고의 피해 규모를 확인하고 추가 피해 확산을 막기 위한 대응 방안을 논의할 계획이다.

금융권에서는 북한 IP 접근 정황과 최근 침해 사고 사이의 연관성을 규명할 당국의 분석 결과에 관심이 쏠린다. 다만 배후를 특정하기 전까지는 국가 단위의 사이버 공격 가능성과 개별 침해 사고의 원인을 구분해 접근해야 한다는 지적이 나온다.

김희일 한국금융신문 기자 heuyil@fntimes.com