금융보안원마저 뚫렸다…금감원급 열람 권한 탈취, 금융권 보안망 경고등

[한국금융신문 김희일 기자] 금융권 정보보안을 책임지는 금융보안원이 해킹 공격에 뚫렸다. 해커는 시스템 취약점을 악용해 금융감독원과 동일한 수준의 자료 열람 권한까지 확보한 것으로 파악됐다. 금감원의 실제 계정이 탈취된 것은 아니지만, 금융당국의 감독 업무와 연계된 시스템에서 사실상 동등한 접근 권한이 외부 공격자에게 넘어갔다는 점에서 파장이 작지 않다.

금융회사들의 보안 수준을 점검하고 금융권 사이버 위협에 대응해야 할 기관조차 해킹을 피하지 못하면서 금융권 정보보호 체계 전반에 경고등이 켜졌다. 특히 금융회사들이 제출한 개인정보 보호 관련 자료를 관리하는 시스템이 공격 대상이 됐다는 점에서 이번 사고를 개별 기관의 보안 사고로만 볼 수 없다는 지적이 나온다.

11일 금융당국 등에 따르면 금융보안원은 지난 9일 오후 3시께 금융회사 평가를 지원하는 상시평가 시스템에서 정보가 유출된 사실을 확인하고 금융위원회 등에 신고했다.
해커는 금융보안원 시스템의 취약점을 악용해 금감원과 동일한 수준의 열람 권한을 확보한 뒤 시스템에 접속해 자료를 탈취한 것으로 파악됐다. 금감원이 실제 사용하던 계정이나 비밀번호가 유출된 것은 아니다. 다만 시스템 내부의 권한 관리 취약점을 통해 금감원에 부여된 것과 같은 수준의 접근 권한을 확보했다는 점에서 인증·접근통제 체계의 허점이 드러났다는 평가다.

해당 시스템은 금융회사들이 개인신용정보 보호 실태를 자체 점검하고 관련 자료를 제출하는 온라인 창구다. 금감원 역시 금융회사들의 평가 결과를 확인하기 위해 이 시스템을 이용하며, 여러 금융회사의 자료를 열람할 수 있는 권한을 갖고 있다.

문제는 이처럼 여러 금융회사의 자료가 집중되는 시스템이 공격받을 경우 개별 금융회사의 보안 수준과 관계없이 광범위한 정보 유출로 이어질 수 있다는 점이다. 금융회사별로 보안 시스템을 구축하더라도 자료가 모이는 공동 플랫폼의 접근통제가 허술하면 금융권 전체가 잠재적인 공격 경로에 노출될 수 있다.

공격 수법도 치밀했다. 해커는 100개가 넘는 인터넷주소(IP)를 바꿔가며 시스템에 접속한 것으로 알려졌다. 공격 흔적을 추적하기 어렵게 만들기 위한 정황으로 풀이된다. 다만 IP를 바꿔가며 접속한 행위와 금감원 수준의 접근 권한을 확보한 과정은 별개의 문제로, 구체적인 침입 경로와 권한 획득 방식은 조사 중이다.

금융보안원 관계자는 "금감원을 위장해서 시스템을 뚫은 것은 아니다"라며 "해커가 시스템 취약점 등을 이용해 금감원 수준의 접근 권한을 확보한 것"이라고 설명했다. 이어 "IP를 바꿔가며 접속한 것과 금감원 계정 권한을 확보한 것은 별개의 문제"라며 "구체적인 침입 경로와 공격자 관련 정보는 현재 조사 중"이라고 말했다.
현재까지 확인된 유출 정보는 개인신용정보 동의서 샘플 등 행정서식 약 200건과 해당 서식에 포함된 개인정보 300여건, 시스템 이용자 정보 350여건이다. 현재까지 파악된 유출 규모만 850여건에 달한다. 다만 추가 피해 여부와 실제 유출 정보의 범위는 조사 결과에 따라 달라질 수 있다.

금융위원회는 이날 오전 점검반을 구성해 금융보안원에 대한 긴급 현장점검에 착수했다. 사고 발생 경위와 정보 유출 규모, 접근 권한 관리 실태, 금융보안원의 초기 대응 및 재발 방지 대책 등을 집중적으로 살펴볼 것으로 보인다.

금융보안원은 사고 확인 직후 해당 시스템의 접속을 차단하고 금융위와 한국인터넷진흥원(KISA)에 신고했다. 현재 사고 원인과 추가 피해 여부를 조사하고 있으며, 정보보호 관리체계 전반을 재점검해 재발 방지 대책을 마련할 방침이다.

금융권에서는 이번 사고를 계기로 금융회사 자체 보안뿐 아니라 금융회사와 금융당국이 공동으로 이용하는 정보시스템의 보안 수준까지 점검해야 한다는 과제가 제기된다. 특히 시스템 운영 주체와 이용 기관 사이의 권한 분리, 계정 인증, 접근 이력 관리, 이상 접속 탐지 등이 실효성 있게 작동했는지 확인할 필요가 있다.

금융권 사이버 공격은 더 이상 개별 금융회사의 전산망을 뚫는 데 그치지 않는다. 여러 기관의 정보가 모이는 연결 지점을 공략하고, 정상적인 권한을 가장해 내부 시스템에 접근하는 방식으로 진화하고 있다. 금융권 보안의 핵심은 방화벽을 높이는 데 그치지 않고, 누가 어떤 권한으로 무엇에 접근할 수 있는지를 끊임없이 검증하는 데 있다.

금융권 보안의 최후 방어선을 자임해 온 금융보안원에서 발생한 이번 사고는 그 방어선 자체도 예외가 될 수 없다는 사실을 드러냈다. 금융보안원의 보안 실패를 개별 기관의 사고로 봉합한다면 금융권 공동 시스템에 잠재한 취약점은 언제든 더 큰 피해로 이어질 수 있다.

김희일 한국금융신문 기자 heuyil@fntimes.com