금융권 타깃 1·2차 공격 IP 안 겹쳐…동일범 가능성은 배제 못해

(서울=뉴스1) 김도엽 기자 = 전 금융권을 상대로 한 1·2차 해킹 공격에 사용된 인터넷 프로토콜(IP) 주소를 대조한 결과 동일한 IP는 없는 것으로 확인됐다. 다만 IP 주소가 상당히 유사한 동일 대역이 발견됐고 '대출 서비스'를 이용한 고객 정보가 1·2차 공격에서 유출되는 등 수법이 유사해 동일범일 가능성은 배제하지 못하는 상황이다.

19일 뉴스1이 지난달 30일부터 이달 5일까지 금융사에 공유된 IP와 지난 12일 추가로 공유된 IP를 대조해 본 결과 겹치는 IP는 없는 것으로 파악됐다.

KB국민·신한·하나은행 등 주요 시중은행의 정보 유출이 발생한 9월 30일~10월 5일까지를 1차 공격으로, 10월 12일 전후로 새마을금고·OK저축은행 등에 대한 2차 공격으로 나눠보면 1차 공격에는 미국·일본·홍콩·싱가포르·베트남·태국·말레이시아·중국·한국·대만·영국·인도에서, 2차 공격에는 미국·중국·태국·일본·한국 등 다양한 국가에서 IP가 공격 경로로 포착됐다.

1차 공격 당시 금보원·금감원·한국인터넷진흥원(KISA)이 금융권에 공유한 IP는 총 32개며, 2차 공격에는 금보원이 총 26개의 IP를 공유했다.

이 IP를 대조해 본 결과 일치하는 IP는 발견되지 않았으나, IP 주소가 상당히 유사해 동일 대역에서 사용된 것으로 보이는 IP는 여럿 발견됐다. 앞서 금융권에선 유사한 수법으로 2차 공격이 이뤄질 수 있다는 관측이 나온 만큼 동일인일 가능성을 배제하지는 못하는 상황이다.

공격 루트도 유사했다. 정보 유출 사실이 가장 먼저 알려진 신한은행은 '대출 관련 서비스'에서 고객 정보가 유출됐고, 2차 공격인 OK저축·DB저축은행도 각각 대출신청 웹페이지, 대출 가한도 조회 등에서 정보가 유출됐다.

다만 현재까진 두 공격의 연관성 확인되진 않았고 동일범 소행 가능성은 열어두고 조사 중이다. IP에 나타난 국가를 실제 공격자의 소재지로 단정하기는 어려울뿐더러 IP 자체가 국가를 특정할 수 없는 경우도 있고, 설령 특정됐더라도 우회 가능성이 있기 때문이다.

최종 판단까진 상당한 시일이 걸릴 전망이다. 한정된 인력에 금융당국은 유출 사고가 발생한 모든 금융사에 현장 인력을 보내지도 못하는 상태다. 현재까진 유출 규모가 컸던 신한은행·예가람저축은행·웰컴저축은행·OK저축은행 등 현장점검을 진행 중으로, 추후 다른 금융사까지 범위를 확대할 방침이다. 점검 결과에 따라 현장검사로 전환될 가능성도 열어두고 있다.

한편 금융당국은 1·2차 공격의 연관성을 살피는 한편 추가 사고 예방을 위해 총력을 기울이고 있다. 앞서 실시한 긴급 자체 점검에선 555곳의 금융사 중 130곳에서 취약점이 발견돼 보완하도록 지시했다.

이들이 제출한 체크리스트 내 '미흡'으로 보고한 건수는 총 248개다. 업권별로 보면 △은행 6곳 △카드 0곳 △금융투자 19곳 △보험 7곳 △여신전문 12곳 △저축은행 11곳 △신용정보 3곳 △전금업자 53곳 △온투업자 18곳 △기타 1곳 등이다. 상대적으로 보안 역량이 떨어지는 전금업·온투업에서 다수의 미흡 사항이 발견됐다.

금감원은 미흡 사항을 보고한 금융사의 △신속 보안패치 △노후장비 교체 △인력·설비 등 확충 △인증범위 확대 △접근통제 강화 등이 철저히 이행되는지 지도할 방침이다.