인뱅 3사, 해킹 IP 접근에도 피해 無…시스템 연계·권한관리서 차이 [금융안전망 점검]

[한국금융신문 지다혜 기자] 최근 금융권 침해사고에서 확인된 인터넷주소(IP) 일부가 인터넷전문은행에도 접근했지만 현재까지 시스템 침해나 개인정보 유출 피해는 확인되지 않고 있다. 최근 침해사고 관련 IP의 접근 흔적이 인뱅에서도 확인되면서 IT 시스템과 인증·접근통제 구조가 실제 대응에 어떤 차이를 만들었는지가 관건으로 떠올랐다.

인뱅은 시중은행과 동일한 금융권 보안 규제를 적용받지만 비교적 최근 구축된 시스템과 비대면·디지털 중심 운영구조라는 차이를 보인다. 다만 공격 대상과 노출 경로가 달랐을 가능성도 있는 만큼 이번 결과만으로 보안 우위를 단정하기보다 실제 차단 과정과 외부접점 관리체계를 함께 살펴볼 필요가 있다.

같은 규제, 다른 출발점

인터넷은행도 시중은행과 동일하게 금융권 망분리와 정보보호 관련 규제를 적용받고 관련 기준에 따라 보안체계를 구축·운영한다. 차이가 난다면 규제 자체보다는 시스템을 구축하고 운영해 온 방식에 가깝다.
시중은행은 오랜 기간 영업채널과 전산시스템을 추가하면서 과거 시스템과 신규 시스템이 복잡하게 연결된 경우가 많다. 반면 상대적으로 최근 출범한 인뱅은 핵심 시스템을 새로 구축한 만큼 인증이나 권한관리 기준을 설계 단계부터 일관되게 적용하고 취약점 점검·업데이트를 수행하기에 상대적으로 유리하다는 평가가 나온다.

다만 전문가들은 이런 구조적 차이만으로 이번 결과를 설명하는 데는 신중히 해야 한다고 본다. 은행별로 공격 대상과 노출 경로가 달랐을 수 있고, 실제 보안 수준은 외부에 연결된 시스템과 관리자·협력업체의 접근권한을 얼마나 촘촘하게 파악·통제하느냐에 따라 달라질 수 있어서다.

카뱅, 기기인증·상시관제

카카오뱅크에서도 일반적인 외부 접근 시도가 있었지만 기존 보안체계를 통해 탐지·차단됐으며 현재까지 추가 공격이나 피해로 이어진 사례는 없는 것으로 파악됐다.

카카오뱅크는 일반적인 ID·비밀번호 방식 대신 고객 스마트폰에 안전하게 저장되는 기기 인증서를 기반으로 앱 이용자를 인증한다. 1대의 단말을 기반으로 한 기기인증과 추가 본인인증을 적용해 다른 경로에서 계정정보가 유출되더라도 해당 정보만으로 앱에 접근하기 어렵도록 했다.
서비스 개발·배포 과정에서는 인증 없이 접근할 수 있는 경로가 있는지, 로그인한 이용자가 본인의 정보만 조회할 수 있도록 접근권한이 설정됐는지 등을 지속적으로 점검한다. 24시간 365일 보안관제를 통해 해외 접속 시도나 동일 IP에서 반복되는 로그인 실패 등 비정상적인 접근 패턴과 자동화 공격도 탐지·차단하고 있다.

카카오뱅크 관계자는 "AI·클라우드 등 새로운 기술 환경에 대응해 제로트러스트 기반의 보안체계와 AI 보안 역량 강화에 집중하고 있다"며 "AI를 활용한 내부 취약점 점검과 공격표면 관리 등을 통해 보안 취약점을 사전에 줄이고 있다"고 말했다.

카카오뱅크는 지난해 전체 IT 투자액 2113억원 가운데 261억원을 정보보호에 투입해 투자 비중이 12.4%를 기록했다. IT 인력 865.1명 가운데 정보보호 전담인력은 78.5명으로 9.1%를 차지했다.

케뱅, 비정상 세션 종료

케이뱅크에서는 이번 사고 관련 IP가 접속했을 당시 비정상 접속으로 세션이 종료됐다. 이후 금융당국으로부터 관련 침해지표를 공유받아 점검한 뒤 외부 최초 진입구간의 방화벽에서 해당 IP를 별도로 차단했다. 현재까지 관련 피해는 확인되지 않았다.

접근 당시에는 비정상 접속으로 세션이 종료됐고, 해당 IP에 대한 별도 차단은 금융당국의 침해지표 공유 이후 이뤄진 셈이다.

케이뱅크 관계자는 "인터넷은행도 시중은행과 동일하게 금융권 망분리 및 정보보호 관련 규제를 적용받고 있으며 관련 기준에 따라 보안체계를 구축·운영하고 있다"며 "비대면·디지털 중심의 사업구조를 기반으로 시스템을 구축·운영하고 있다는 점에서 비즈니스와 IT 운영 측면의 특성이 있다"고 설명했다.

케이뱅크는 금융당국의 긴급 자체점검에 맞춰 외부 노출 IT자산과 인증·인가, 접근통제 등 주요 보안영역을 살폈다. 점검 결과를 토대로 필요한 보안 조치를 지속적으로 보완하고 있다.

외부연계 시스템에는 전용선과 가상사설망(VPN) 등을 활용한 통신체계를 운영한다. 외부에 노출된 IT자산은 공격표면관리(ASM·Attack Surface Management)를 통해 지속적으로 점검하고 있으며 향후 AI 기반 위협 탐지·대응 기술 활용도 확대할 계획이다.

토뱅, 접근 시도 상시 차단

토스뱅크에서도 최근 일부 IP가 서버 접근을 시도한 이력이 확인됐다. 최근 금융권 침해사고에서 확인된 IP와 토스뱅크가 과거 차단한 IP 일부가 일치했지만 현재까지 시스템 침해나 고객정보 유출 등 피해는 발생하지 않았다.

토스뱅크 관계자는 "IP가 일치하더라도 그것만으로 동일 공격자의 행위라고 단정하기는 어렵다"며 "은행에는 일상적으로 허용되지 않은 네트워크 접근이 다수 발생하고 있고, 토스뱅크는 이를 상시 탐지·차단하고 있다"고 설명했다.

이번에 확인된 접근 역시 기존 보안체계에 따라 차단됐다는 게 은행 측 설명이다. 토스뱅크는 이상 징후에 대한 모니터링과 필요한 점검을 상시 진행하면서 보안 대응을 지속 강화한다는 방침이다.

"무피해가 곧 보안 우위 아냐"

전문가들은 인뱅이 비교적 최근 구축된 시스템을 갖췄다는 점이 보안 관리에 유리하게 작용할 가능성은 인정하면서도 이번 결과만으로 시중은행보다 보안체계가 우수하다고 결론 내리는 것은 경계해야 한다고 지적한다.

이원태 국민대학교 특임교수 겸 국가인공지능전략위원회 보안특별위원회 위원장은 "현재까지 피해가 확인되지 않았다는 사실만으로 인터넷은행의 보안이 더 우수하다고 단정하기는 어렵다"며 "같은 공격에 노출됐는지, 탐지와 분석이 충분했는지부터 확인돼야 한다"고 말했다.

다만 구조적인 차이가 일정 부분 작용했을 가능성은 있다고 봤다. 이 교수는 "시중은행은 오랜 기간 시스템과 영업채널이 덧붙여지면서 레거시와 외부 연계가 복잡해졌다"며 "반면 비교적 최근 구축된 인터넷은행은 보안정책과 권한관리를 일관되게 적용하기가 유리할 수 있다"고 설명했다.

강형구 한양대학교 파이낸스경영학과 교수도 "비교적 최근 구축한 시스템은 설계 단계부터 인증과 권한관리 기준을 일관되게 적용하기에 유리하다"며 "레거시 시스템과 복잡한 연결 관계가 적다면 보안 업데이트나 취약점 점검 부담도 줄어들 수 있다"고 말했다.

그러면서 "현재까지 피해가 확인되지 않았다는 사실만으로 이번 결과를 보안체계의 우위로 설명하기는 어렵다"며 "같은 공격을 받고 차단한 것인지, 공격 대상이나 노출된 경로가 달랐던 것인지부터 구분해야 한다"고 강조했다.

API·외부접점 관리가 관건

결국 시스템이 언제 구축됐느냐보다 외부 접점과 접근권한을 얼마나 촘촘하게 관리하느냐가 중요하다는 지적이다. 특히 비대면 서비스를 기반으로 사업을 넓히는 인뱅은 API와 제휴업체 등이 새로운 위험 요인으로 작용할 수 있다.

이원태 교수는 "사실 시스템이 새것이냐가 중요하지 않다"며 "외부 접점을 빠짐없이 파악하고 있는지, 누가 어떤 고객정보에 접근할 수 있는가를 일관되게 통제하고 있는지가 더 중요하다"고 말했다.

그는 고객용 서비스뿐 아니라 직원과 협력사가 사용하는 업무용 페이지, 과거 서비스, 테스트 서버와 API까지 외부에 노출된 IT자산을 전수 파악해야 한다고 봤다. 또 "로그인했는지만 볼 것이 아니라, '이 사람이 이 고객의 정보를 볼 권한이 있는가'를 매번 검증해야 한다"며 관리자와 외주인력 계정에 다중인증과 최소권한을 적용할 필요가 있다고 강조했다.

협력사와 API의 접근 범위도 최소화하고 비정상적인 대량 조회는 실시간으로 탐지·차단해야 한다. 이 교수는 "형식적 정기점검 중심에서 벗어나 상시 모의해킹과 신속한 보완 중심으로 전환하고, 은행 간 위협 정보 공유가 실제 차단 조치로 이어지도록 해야 한다"고 설명했다.

강형구 교수는 "인터넷은행이 특히 주의할 부분은 앱과 외부 서비스가 연결되는 API, 비대면 인증, 제휴업체의 접근권한"이라며 "정상 계정이나 제휴업체의 인증수단이 탈취되더라도 대량 조회와 정보 반출로 이어지지 않도록 권한을 제한하고 이상 행위를 차단해야 한다"고 말했다.

이어 "최근 구축한 시스템은 보안에 유리한 출발점이 될 수 있지만 그 우위를 유지하는 것은 지속적인 관리와 투자"라며 "인터넷은행도 서비스와 제휴가 늘어나면 복잡성과 관리 사각지대가 생길 수 있다"고 덧붙였다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com