금감원, 금융권 해킹 공격 IP 28개 공유…12개국서 접속 흔적

[경제일보] 금융감독원이 최근 금융권 해킹 사고와 관련해 공격에 활용된 인터넷주소(IP) 28개를 특정해 금융회사에 공유했다. 공격 IP는 미국을 비롯한 12개국에 걸쳐 확인됐지만 우회 접속 가능성이 있어 실제 공격자의 국적을 단정하기는 어렵다는 입장이다.

6일 금융감독원에 따르면 최근 금융권 침해사고 과정에서 확인된 해킹 시도 IP는 모두 33개로 집계됐다. 중복 주소를 제외하면 28개이며 금감원은 일부 국가 정보와 함께 관련 내용을 금융권에 전파했다.

전날 오후 6시 기준으로는 19개의 공격자 IP가 확인된 상태였다. 금감원은 이후 추가 분석을 통해 공격 IP 범위를 넓혔으며 보안 취약점 등 새로운 위협정보가 확인되는 대로 금융회사에 공유하고 있다.

전날까지 파악된 IP 소재지는 12개국에 걸쳐 확인됐다. 미국발 IP가 5개로 가장 많았고 일본과 스웨덴, 독일에서도 각각 2개가 확인됐다. 국내 IP도 1개 포함됐다.

다만 IP 소재지가 실제 공격자의 국적을 의미하는 것은 아니라는 게 금감원의 설명이다. 공격자가 추적을 피하기 위해 여러 국가의 IP를 거쳐 금융회사 시스템에 접근했을 가능성이 있기 때문이다.

금감원은 신한은행 등 일부 금융회사에서 고객정보 유출로 이어진 비정상 접근 경로 등을 토대로 공격 IP를 추적한 것으로 알려졌다.

금융회사에는 오는 8일까지 자체 점검과 미흡 사항에 대한 보완 조치를 마칠 것을 요청했다. 점검 대상에는 외부에 노출된 정보기술(IT) 자산과 서비스, 대외 시스템의 인증·인가·검증 기능 등이 포함된다.

금감원은 △공유된 공격자 IP 차단 여부 △해당 IP를 통한 침해 시도나 피해 발생 여부 △실시간 보안관제 체계 운영 여부 등을 포함한 12개 항목의 체크리스트도 금융권에 배포했다.

금융사들은 당국이 공유한 IP를 토대로 과거 접속 기록까지 점검 범위를 넓히고 있다. 토스뱅크에서는 올해 7~8월뿐 아니라 지난 1월에도 당국이 특정한 일부 IP를 통한 비정상 접근 시도가 있었던 것으로 파악됐다.

보안업계 일각에서는 중국어 기반 AI 침투 테스트 도구가 사용된 흔적 등을 근거로 중국발 공격 가능성을 제기하고 있다. 다만 금융당국은 현재 공격 IP의 소재 국가만 공유했을 뿐 특정 국가가 공격 배후에 있다는 판단은 내놓지 않았다.