'철옹성' 금융권 해킹 쇼크…은행·보험·증권 20곳 뚫렸다

(서울=뉴스1) 전준우 기자 = 지난달 말 은행권을 시작으로 이달 중순 저축은행·캐피탈·가상자산업계에 이어 최근 보험·금융투자업계까지 해킹 피해가 잇따라 확인됐다. 보름 안팎의 간격을 두고 금융권 전반에서 침해사고가 드러나면서 피해 금융회사는 20곳으로 늘었다.

그동안 상대적으로 보안 수준이 높다고 평가받던 금융권에서도 연쇄 침해사고가 발생한 것은 핵심 거래시스템 밖에 존재하는 보안 취약점이 공격에 노출됐기 때문이라는 분석이 나온다. 인공지능(AI)을 활용한 취약점 탐색과 공격 자동화가 새로운 위협으로 떠오른 가운데 공격자들은 외부 연계 서버와 업무지원 시스템 등 상대적으로 관리가 취약한 영역을 파고들고 있다.

9월 말 은행→10월 중순 저축銀·캐피탈→이번엔 보험·증권·빗썸까지

29일 금융당국과 금융권에 따르면 지난 25일 미래에셋생명에서 침해사고가 발생한 데 이어 대신증권과 미래에셋자산운용, 가상자산거래소 빗썸에서도 보안 침해 사실이 잇따라 확인됐다.

대신증권은 지난 17일 외부 투자자문·일임사와 연결된 계좌개설 연계서버에서 비정상적인 접근을 포착했다. 이후 조사에서 고객 3만 8490명의 개인·신용정보가 유출된 사실을 확인했다.

미래에셋자산운용도 일부 웹 시스템에 대한 외부 비인가 접근과 자료 열람 사실을 확인했다. 회사 측은 일반 투자자의 고객정보는 유출 범위에 포함되지 않았다고 설명했다.

빗썸에서는 사내 모바일 그룹웨어 시스템에 외부 비인가자가 접근한 사실이 확인돼 정보 유출 여부와 피해 범위를 조사하고 있다.

금융권 침해사고는 지난달 말 은행권에서 시작돼 이달 중순 저축은행·캐피탈·가상자산업계 등으로 확산했다. 금융당국이 지난 14일 발표한 피해 금융회사는 16곳, 당시 파악된 정보 유출 규모는 약 10만 건이었다.

이후 미래에셋생명과 대신증권, 미래에셋자산운용, 빗썸 등 4곳에서 침해사고가 추가로 확인되면서 피해 회사는 20곳으로 늘었다. KB국민은행의 경우 추가 검증 과정에서 정보 유출 대상이 당초 119명에서 2210명으로 확대됐다.

'철옹성' 금융권도 뚫렸다…핵심 시스템 밖 약한 고리 표적

전문가들은 금융권의 보안 역량이 핵심 금융거래 시스템에 집중된 반면, 외부 연계 시스템이나 내부 업무지원 서비스에는 상대적으로 취약한 부분이 남아 있었다고 지적한다.

실제 신한은행에서는 외부 대출모집인용 고객정보 조회 서비스가 공격 대상이 됐고, 대신증권은 외부 투자자문·일임사와 연결된 계좌개설 서버에서 정보가 유출됐다. 빗썸에서도 가상자산 거래시스템이 아닌 사내 그룹웨어에 대한 비인가 접근이 확인됐다.

핵심 거래시스템이 직접 침해되지 않더라도 주변 시스템에 저장되거나 연계된 정보가 유출될 수 있다는 점에서 금융회사의 보안 관리 범위를 확대해야 한다는 지적이 나온다.

황석진 동국대 국제정보보호대학원 교수는 "과거에는 금융권이 상당히 안전하다는 이미지가 강했는데, AI가 활성화되면서 해커들이 AI를 해킹 도구로 계속 쓰다 보니 기존에 확인되지 않았던 취약점이 상당히 많이 노출됐다"고 설명했다.

이어 "철옹성이라고 했는데 실제로 뚫어 보니 뚫리더라는 것"이라며 "AI 에이전트의 성능도 상당히 고도화됐다"고 말했다.

다만 이번 금융권 연쇄 침해사고에서 AI가 실제 공격에 활용됐는지는 별도의 확인이 필요하다.

전통적인 해킹 기법도 여전히 주요 위협으로 꼽힌다. 웹 요청 값을 조작해 권한 밖 정보에 접근하는 파라미터 변조나 입력값을 악용해 데이터베이스를 공격하는 SQL 인젝션 등이 대표적이다.

금융당국 관계자는 "파라미터 변조나 SQL 인젝션 같은 전통적인 방법은 예전부터 꾸준히 있었다"며 "최근 AI 공격과 결부되면서 이런 기법들의 가성비가 좋아진 것"이라고 설명했다.

이어 "예전에는 무작위 대입 공격을 일일이 하려면 시간이 들었는데, 지금은 해킹 툴로 돌려버리니 너무 쉬워졌다"며 "그래서 옛날보다 더 무서워진 것"이라고 말했다.

공격 도구가 자동화·범용화하면서 공격에 필요한 시간과 비용은 줄어드는 반면, 금융회사가 방어해야 할 영역은 넓어지고 있다는 설명이다.

"금융 DB 가장 비싸게 거래"…유출 정보는 2차 범죄 위험

금융 정보 자체의 '몸값'도 해커들을 끌어들이는 요인이다. 금융은 국민 대부분이 일상적으로 이용하는 만큼 금융사가 보유한 개인정보는 정확하고 최신 상태로 관리된다. 이 정보를 활용하면 개별 고객 계정에 접근할 길도 열린다.

실제 지난 19일 열린 국회 정무위원회의 금감원 국정감사에서도 유출된 금융권 개인정보가 거래되는 정황이 드러나기도 했다.

손명수 더불어민주당 의원은 "텔레그램 방 '리치디비'에는 대출을 신청했다가 부결된 사람들의 정보와 주식결제 DB 등이 올라와 있었다. 건당 100원부터 거래되며 최소 주문 금액은 30만 원"이라며 "금융 DB는 가장 비싸게 거래되고, 최신 DB는 10개 20만 원으로 판매되고 있다"고 지적한 바 했다.

유출된 금융 정보는 보이스피싱 등 2차 범죄를 한층 정교하게 만든다. 황 교수는 "누군가에게 전화해 '카드가 해외에서 결제됐다'고 하는 것과 '어느 은행에서 대출을 얼마 받지 않았느냐, 더 싼 대출을 알려주겠다'고 접근하는 것은 완전히 다르다"고 했다.

보름 간격으로 반복되는 금융권 해킹 쇼크에 금융당국도 초비상에 걸렸다. 금융당국 내부에서는 '전쟁 중'이라는 말이 나올 정도로 모든 자원을 총동원해 해킹 사고에 역량을 집중하고 있다.

금감원 관계자는 "상반기에는 전쟁에 대비해 사전 예방을 해왔다면, 지금은 전쟁 중이라고 생각하고 가진 인력과 자원을 모두 동원해 막고 싸울 수밖에 없다"고 말했다.