사회 사회일반

경찰, 금융권 해킹 수사 착수했지만…"배후 추적, 쉽지 않을 것"

뉴시스

경찰, '금융권 연쇄 해킹' 정식 수사 착수 통신·카드사 유출도 피의자 특정 제자리 전문가 "AI 발전에 해킹 더 쉽고 빨라져" "마찬가지로 AI 활용한 방어체계 갖춰야"

[서울=뉴시스]이태성 기자, 김혜림·박준성 인턴기자 = 최근 금융권 전반에서 연쇄적으로 발생한 해킹 사건과 관련해 당국이 수사에 착수했다.

전문가들은 해외를 경유해 침입해오는 범행의 특성상 범인을 추적하는 데 어려움이 크다는 점을 지적하며 인공지능(AI)을 활용한 실시간 차단 시스템, 관련 법령 정비 등이 필요하다고 조언했다.

7일 경찰, 금융감독원 등에 따르면 최근 신한·KB국민·하나·BNK부산은행 및 예가람·웰컴저축은행, 현대캐피탈 등 금융사에서 연쇄적으로 해킹으로 인한 개인정보 유출 피해가 발생했다.

이번 사태에선 동일한 IP 흔적이 여러 공격에서 발견됐다. 총 33개(중복 제외 28개) IP가 해킹에 활용됐는데, 앞서 금융권에 공유된 IP 국가 정보를 토대로 보면 미국, 일본, 스웨덴, 독일 등 국내외 국가들에 분산된 것으로 나타났다.

하지만 IP의 국가 정보만으로 실제 공격자의 국적이나 공격 발원지를 특정하기는 어렵다. 일부 IP는 국가 자체를 특정하기 어려운 데다 특정 국가의 IP로 확인되더라도 공격자가 이를 우회해 활용했을 가능성도 있기 때문이다.

중국어 기반 인공지능(AI) 자율형 침투테스트 도구인 '아르텍스(ARTEX)'가 사용된 흔적도 포착됐다. 동일한 공격자가 AI 도구를 활용해 IP를 바꿔가며 대량으로 자동화 공격을 펼쳤을 가능성도 제기된다.

이에 금융당국은 금융사들에 침해사고 대비 자체 점검 체크리스트를 배포했다. 금융사들은 관련 IP를 통한 과거 침해 시도나 피해 여부가 있는지 확인하고 있다.

경찰 또한 수사에 나섰다. 경찰청 국가수사본부는 전날 오전 해당 사건을 정보통신망법 위반 혐의 범죄로 보고, 28명 규모의 사이버테러수사대 전담수사팀을 통해 집중 수사할 예정이라고 밝혔다.

수사팀은 금융회사별 침해 경위와 피해 범위, 각 공격 간 연관성 등을 들여다볼 것으로 보인다. 주요 은행에서는 동일한 IP와 유사한 공격 흔적이 확인됐지만 저축은행·캐피털사를 공격한 IP는 달랐던 것으로 파악돼, 일련의 공격이 동일 주체의 소행인지도 규명 대상이다.

다만 전문가들은 이번 연쇄 해킹의 배후가 누구인지를 추적하는 데는 상당한 어려움이 따를 것으로 전망하고 있다. 여러 국가의 IP를 우회해서 시도되는 해킹 특성상 추적에 상당한 시간이 소요되기 때문이다.

곽진 아주대 사이버보안학과 교수는 "사이버 공격은 여러 국가와 IP를 경유해 들어오기 때문에 역추적하는 데 오래 걸린다"며 "공격 후에 흔적을 지우기도 해 용의자를 특정하고 검거하는 것이 현실적으로 쉽지 않다"고 말했다.

황석진 동국대 국제정보보호대학원 교수는 "가상사설망(VPN)을 사용해 우회하는 방식을 이용해 수사에 긴 시간이 걸릴 것으로 예상된다"며 "범인이 특정되더라도 국제 공조를 통해 증거나 신병을 확보해야 하는 난관이 있다"고 말했다.

최근 발생한 대규모 개인정보 유출 사고에서도 피의자 특정에 애를 먹었다. 지난해 4월 발생한 SK텔레콤 유심 정보 유출 사고, 같은 해 8월 발생한 롯데카드 신용정보 유출 사고는 1년이 넘는 수사에도 피의자를 특정하지 못했다.

염흥열 순천향대 정보보호학과 명예교수는 "2000년대 들어 지금까지 사이버 공격이 꾸준히 이어지고 있지만, 일부 북한의 소행인 것으로 조사된 사례 이외에는 공격의 주체가 누구인지 특정된 적이 거의 없는 상황"이라고 말했다.

특히 최근에는 AI를 기반으로 공격의 속도가 빨라지고 범위가 넓어져 있어 방어 시스템의 개선이 필요하다는 지적이 나온다. AI를 활용해 실시간 차단 시스템을 구축하고, 기술 발전에 맞는 법령을 도입하는 방안 등이 거론된다.

황 교수는 "기존의 IP 차단 중심에서 벗어나, AI를 활용해 접속 시간, 조회량, API 호출량 등 비정상적 행동을 실시간으로 탐지하고 자동으로 차단할 수 있는 시스템을 구축해야 한다"고 지적했다.

이은우 법무법인 지향 변호사는 "이번 사건을 통해 AI를 활용하면 적은 비용으로도 손쉽게 대규모 범행이 가능하다는 점이 확인됐다"며 "기술 발전도 중요하지만, 안전와 규율의 측면에서 피해자를 어떻게 보호하고 보상할 것인지에 대한 법제화도 서둘러야 한다"고 말했다.