AI 공격 고도화 속 금융사 555곳 중 130곳 보안관리 미흡 정부, 통신·IDC 등 핵심시설 170여곳 점검…경찰, 사건 연관성 조사
AI 공격 고도화 속 금융사 555곳 중 130곳 보안관리 미흡
정부, 통신·IDC 등 핵심시설 170여곳 점검…경찰, 사건 연관성 조사
(서울=연합뉴스) 권하영 기자 = 은행권을 강타한 연쇄 해킹의 여파가 가시기도 전에 증권사와 자산운용사, 가상자산 거래소에서도 침해사고가 잇따라 확인되면서 금융권 보안에 다시 비상이 걸렸다.
인공지능(AI)을 활용한 공격이 고도화하는 가운데 금융회사 555곳에 대한 점검에서 130곳의 보안관리가 미흡한 것으로 드러나 기본적인 방어체계부터 보완해야 한다는 지적이 나온다.
정부는 통신·인터넷데이터센터(IDC) 등 핵심시설 170여곳에 대한 보안 점검에 나섰으며, 경찰은 추가로 확인된 침해사고와 기존 금융권 해킹 사건의 연관성을 조사하고 있다.
◇ 은행 이어 증권·가상자산까지…금융권 해킹 피해 잇따라
28일 금융당국과 관련 업계에 따르면 최근 대신증권[003540]과 가상자산 거래소 빗썸, 미래에셋자산운용에서 잇따라 해킹 침해사고가 확인됐다.
대신증권은 이달 17일 투자일임 비대면 증권계좌 개설 연계 서버에서 비정상적인 접근을 탐지해 규제당국에 신고했다. 이후 조사 과정에서 고객 3만8천490명의 개인·신용정보가 유출된 사실이 드러났다.
빗썸은 27일 외부 비인가자가 사내 모바일 그룹웨어 시스템에 침입해 개인정보를 유출한 사실을 인지했다. 현재까지 임직원 정보가 유출된 것으로 알려졌으며, 회원 정보가 포함됐는지는 추가 조사 중이다.
미래에셋자산운용 역시 일부 웹 시스템에 대한 외부 인터넷주소(IP)의 비정상적인 접근 흔적을 발견하고 해당 접속 경로를 차단했다. 회사 측은 일부 업무용 시스템 관련 정보가 유출됐지만 개인신용정보나 민감정보 등의 유출은 확인되지 않았다고 설명했다.
이번 사고는 지난 9월 말부터 10월 초까지 신한·KB국민·하나·BNK부산은행과 예가람·웰컴·OK저축은행, 현대캐피탈 등 금융권 전반을 휩쓴 연쇄 해킹 사태가 채 수습되기도 전에 추가로 발생한 것이다.
금융당국이 지난 14일까지 파악한 피해 규모는 은행·저축은행·상호금융·여신전문금융업·가상자산사업자 등 16개사에서 유출된 개인정보 약 10만건에 달한다. 유출 항목에는 성명과 연락처, 주민등록번호, 이메일 주소 등이 포함됐으며, 이번 추가 사고로 전체 피해 규모는 더욱 커질 전망이다.
앞선 금융권 연쇄 해킹에서는 중국산 AI 기반 침투 테스트 도구 '아르텍스'(ARTEX)가 악용된 정황이 포착됐다. 다만 새롭게 확인된 침해사고 역시 동일한 공격자의 소행인지는 아직 밝혀지지 않았다.
◇ AI로 빨라지는 공격…기본 보안관리·투자에는 빈틈
금융권에서 유사한 침해사고가 되풀이되면서 기업들의 기초적인 보안 관리·침해 대응 역량이 부실하다는 비판이 커지고 있다.
실제 금융당국이 이번 연쇄 해킹 사고를 계기로 이달 8일까지 금융회사 555곳의 보안 실태를 점검한 결과, 전체의 약 23%인 130곳에서 관리상 미흡한 사항이 발견됐다.
확인된 미흡 사항은 총 248건으로, 보안패치 적용과 제조사 기술지원 종료(EoS) 관리 부실이 112건으로 가장 많았다. 이어 보안관제체계 운영 미흡 76건, 공격표면 관리 부실 60건 순이었다.
기본적인 취약점 관리조차 제대로 이뤄지지 않는 사이 AI를 활용한 사이버 공격은 더욱 빠르고 정교해지고 있다.
AI가 취약점 탐색부터 침투 경로 분석, 공격 실행에 이르는 과정을 자동화하는 방향으로 발전하면서 기존 보안체계만으로는 공격을 탐지하고 차단하기가 갈수록 어려워지는 양상이다.
마이크로소프트(MS)는 지난 21일 중국 연계 해킹조직이 아르텍스를 이용해 전 세계 수백개 조직을 공격한 사례를 공개하면서, 일부 공격에서는 표적 선정부터 클라우드 관리자급 권한 확보까지 걸린 시간이 3시간에도 미치지 못했다고 분석했다.
그러나 국내 기업들의 보안 투자와 전문인력 확보 수준은 이 같은 위협의 고도화에 비해 개선 속도가 더디다는 평가다.
한국인터넷진흥원(KISA)에 따르면 국내 정보보호 공시기업의 전체 정보기술(IT) 투자액 대비 정보보호 투자 비중은 2022년 6.01%에서 지난해 6.28%로 0.27%포인트 증가하는 데 그쳤다.
같은 기간 전체 IT 인력 중 정보보호 전담인력이 차지하는 비율은 오히려 6.82%에서 6.67%로 0.15%포인트 하락했다.
금융권에서는 확보한 보안 예산조차 충분히 집행하지 못한 것으로 나타났다.
금융당국에 따르면 전산장애 발생 횟수 기준 상위 20개 금융사의 지난해 정보보호 예산은 총 4천380억원이었지만, 실제 집행액은 3천50억3천만원으로 집행률이 69.6%에 머물렀다.
보안업계는 기업들이 취약점 점검과 보안패치, 접근권한 통제 등 기본적인 관리에 소홀한 결과 해결되지 않은 보안 문제가 이른바 '보안 부채'로 쌓여 왔다고 진단한다.
◇ 핵심시설 보안점검에 수사 확대…정부, 전방위 대응
정부는 잇따른 금융권 침해사고를 계기로 국가 주요 정보통신시설 전반의 보안 실태를 살피는 한편, 기존 해킹 사건과의 연관성을 조사하는 등 추가 피해 차단에 나섰다.
과학기술정보통신부는 민간 주요정보통신기반시설을 관리하는 111개 기관의 약 172개 시설을 대상으로 보안 취약점 점검을 추진한다.
점검 대상에는 SK텔레콤[017670]과 KT[030200], LG유플러스[032640] 등 통신3사의 유무선 통신 서비스와 주요 플랫폼 기업의 IDC 관련 시스템 등이 포함된다.
특히 외부 인터넷에 노출된 서버와 웹페이지 등 인터넷 접점 자산이 적절하게 관리되고 있는지 확인하고, 공격자가 침투 경로로 악용할 수 있는 공격표면의 취약점을 집중적으로 점검할 계획이다.
과기정통부는 이달 말까지 각 기관의 동의를 받아 점검 대상과 자체 점검 결과 등을 취합한 뒤 이르면 다음 달부터 점검을 진행해 늦어도 연내 마무리할 방침이다.
금융감독원도 이날 대신증권과 빗썸에 현장 점검반을 보내 침해사고 발생 경위와 피해 현황을 파악하고 있다. 점검 과정에서 법규 위반 사항이 확인되면 정식 검사로 전환할 계획이다.
경찰청 국가수사본부는 이날 오전 증권사와 가상자산 거래소 해킹 사건에 대한 입건 전 조사에 착수했다. 기존 금융권 연쇄 해킹 사건을 담당해 온 수사팀이 이번 사고의 범행 수법을 비교·분석해 사건 간 연관성을 규명할 예정이다.
청와대 국가안보실 역시 이날 오후 금융위원회 관계자들과 긴급 대응회의를 열고 피해 규모를 점검하는 한편, 추가 확산을 막기 위한 대응 방안 논의에 나선다.
보안 전문가들은 반복되는 침해사고를 막으려면 개별 기업의 보안 투자와 관리 책임을 강화하는 동시에 국가 차원의 예방·대응체계도 고도화해야 한다고 강조한다.
AI를 활용한 선제적 취약점 진단과 위협정보 공유, 공동 보안관제 등을 확대해 공격을 조기에 탐지하고 피해가 다른 기관으로 번지는 것을 차단할 수 있는 체계를 갖춰야 한다는 것이다.
김진수 한국정보보호산업협회장은 "AI가 발전하면서 우리나라뿐 아니라 세계 각국이 사이버 공격 범죄와의 전쟁을 치러야 하는 상황"이라며 "이럴 때일수록 사이버 보안 솔루션을 촘촘하게 구축하고 주기적으로 모의 해킹과 취약점 분석을 할 수 있는 방어망부터 확보해야 한다"고 말했다.
[email protected]
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
※ 저작권자 ⓒ 연합뉴스, 무단전재-재배포 금지