금융사 해킹 의심 IP 한 달 새 700개 넘어…미래에셋생명 공격 또 다르다

(서울=뉴스1) 박재찬 보험전문기자 = 금융권을 겨냥한 해킹 공격이 잇따르면서 금융보안원이 은행, 보험사 등 금융회사에 공유한 해킹 시도 및 의심 인터넷주소(IP)가 지난 한 달 사이 700개를 넘어선 것으로 나타났다. 금융사들은 기존에 확인된 IP를 차단하고 있지만 새로운 IP를 통한 공격이 이어지고 있다.

최근 고객정보 유출 사고가 발생한 미래에셋생명 역시 초기에 공유된 30여개는 물론 현재까지 공유된 700여개 IP와도 일치하지 않는 새로운 IP로 공격받은 것으로 알려졌다.

28일 금융권에 따르면 금융감독원은 지난 26일 미래에셋생명을 대상으로 해킹 경위와 고객정보 유출 규모, 사고 대응의 적절성 등을 확인하기 위한 현장점검에 착수했다.

미래에셋생명은 지난 25일 오후 홈페이지와 고객 청약시스템에서 사이버 공격에 따른 이상 징후를 발견하고 침해사고 대응체계를 가동했다. 이어 26일 오후 4시부터 추가 피해를 막기 위해 홈페이지 접속을 차단하고 시스템 복구 작업에 들어갔다.

미래에셋생명은 침해 사실을 확인한 직후 공격에 사용된 IP를 차단하는 등 긴급 보안 조치를 시행하고 금융보안원에 사고를 신고했다. 이후 금융보안원과 사고를 분석하는 과정에서 일부 고객정보가 유출된 사실을 확인했다.

해커는 고객 청약시스템과 홈페이지 일부 시스템을 통해 파일 41개를 조회한 것으로 알려졌다. 다만 실제 유출된 개인정보의 종류와 규모는 아직 확인되지 않았다.

금감원은 "현재 미래에셋생명에 대한 현장점검을 진행 중이며 구체적인 개인정보 유출 규모는 아직 파악 중"이라며 "점검 과정에서 개인 신용 정보 등 유출이 확인되면 정식 검사로 전환할 방침"이라고 설명했다.

금융보안원은 지난달 말 금융권 해킹 사고가 발생한 이후 새로운 해킹 시도 및 의심 IP가 확인될 때마다 금융사에 실시간으로 공유해 왔다. 최초 30여 개 수준이던 공유 IP는 현재 700개를 넘어선 것으로 알려졌다.

금융사들은 공유받은 IP를 차단하고 접속 이력을 점검하고 있지만, 기존에 확인되지 않은 새로운 IP를 통한 공격 시도는 계속되고 있다.

다만 해커가 공격마다 새로운 IP를 사용하거나 접속 경로를 변경할 수 있는 만큼, IP가 다르다는 이유만으로 기존 금융권 해킹과의 연관성을 배제하기는 어렵다.

앞서 금감원은 지난 6일 금융권 해킹 시도에 사용된 IP가 총 33개로, 중복을 제외하면 28개라고 밝혔다.

이후 금융권에 추가로 공유된 IP를 포함해 1·2차 공격을 비교한 결과, 1차 공격 당시 금융보안원과 금감원, 한국인터넷진흥원(KISA)이 공유한 IP는 32개, 2차 공격에서는 26개로 파악됐다. 두 차례 공격에서 일치하는 IP는 발견되지 않았지만, 일부 IP는 유사한 주소 대역에 속하는 것으로 추정됐다.

금융권 관계자는 "금융보안원이 이상 징후가 포착된 IP를 지속적으로 공유하고 있고 금융회사들도 해당 IP를 차단하고 있다"며 "새로운 IP를 통한 공격이 계속되는 만큼 IP가 다르다는 사실만으로 기존 금융권 해킹과의 연관성이나 공격 주체를 판단하기 어렵다"고 말했다.

미래에셋생명은 홈페이지 복구를 진행 중이며, 추가적인 보안 위협을 차단한 뒤 사고 경위와 개인정보 유출 규모 등을 구체적으로 파악할 계획이다.

미래에셋생명 관계자는 "홈페이지 접속 차단은 추가 피해가 있을 수 있다는 판단에 따라 최우선으로 진행 중"이라며 "악성코드 등 추가적인 보안 위협에 대응하고 있고, 해킹 우려가 완전히 차단된 이후 고객 정보 유출 규모, 범위, 건수 등 피해 상황을 진단할 예정"이라고 밝혔다.