금융권 해외發 해킹에 '깜깜이'…18건 중 16건 공격자 불명

13건은 IP로 국가만 추정…3건은 국가조차 '미상'

전자금융·온투업도 12건 중 1건만 특정…"공격주체 식별 기술 개발 중요"

(서울=연합뉴스) 강수련 기자 = 최근 금융권 해킹 사고가 잇따르는 가운데, 2024년 이후 발생한 해외발 해킹 사고 대부분에서 공격 주체를 확인하지 못한 것으로 나타났다.

9일 국회 정무위원회 소속 송언석 국민의힘 의원이 금융감독원으로부터 제출받은 자료에 따르면, 2024년부터 지난 8일까지 약 2년 9개월간 금융회사에서 해외발 해킹으로 추정되는 사고는 18건으로 집계됐다. 이 가운데 공격 주체가 확인된 건은 2건에 불과했다.

지난해 7월 서울보증보험[031210]의 해킹 사고는 국제 랜섬웨어 조직 '건라(GUNRA)'의 소행으로 확인됐다. 당시 랜섬웨어 공격으로 서버가 감염되고 서비스가 64시간가량 중단됐고, 서울보증보험은 고객에게 1천191만원을 배상했다.

올해 4월 바로저축은행 침해사고도 랜섬웨어 그룹 'INC Ransom'이 대가를 직접 요구해 공격 주체가 특정됐다.

나머지 16건 가운데 13건은 공격 IP가 도메인 조회나 자체 보안장비 탐지, 침해사고 조사 등을 통해 해외 소재로 추정됐고, 3건은 공격 주체를 식별하지 못해 '해외국가 미상'으로 분류됐다.

중국발 해킹으로 추정된 사고는 지난해 297만여명의 고객 정보 유출 사고가 발생했던 롯데카드와 같은해 SC제일은행·KB라이프생명 사고 등이다.

이외에도 미국·불가리아·베트남·인도네시아·일본·홍콩·대만·세이셸·태국·영국 등에서 공격이 이뤄진 것으로 추정된다. 다만 해외 소재 IP가 확인됐다고 해서 실제 공격 주체와 그 국가까지 특정하기는 어렵다.

금감원은 최근 중복을 제외한 공격 IP 28개를 일부 국가 정보와 함께 금융권에 공유하면서, 우회 접속 가능성이 있어 해석에 유의해야 한다고 강조했다.

금감원은 의원실 제출 자료에서도 "공격자는 IP를 변조하거나 가상사설망(VPN) 등을 경유해 우회 접속하는 경우가 대부분으로, IP 소재 국가정보만으로는 공격 주체 파악이 사실상 불가하다"고 설명했다.

이와 별도로 같은 기간 전자금융업자와 온라인투자연계금융업체에서 발생한 해외발 해킹 사고에서도 공격 주체 확인은 쉽지 않았다.

해당 업권에서 발생한 12건 가운데 공격 주체가 확인된 사고는 1건이었다.

2024년 전자금융업자 엑심베이에서 발생한 분산서비스거부(디도스·DDoS) 공격의 경우, 외부 해커그룹인 'Alpha Jackals' 명의로 공격 예고 메일을 받아 공격 주체를 특정할 수 있었다.

반면 지난 8월 말 보안 취약점을 이용한 해킹 사고가 발생한 코엠페이먼츠는 공격자가 직접 연락을 해왔지만, 공격자 국가를 중국으로 추정하는 데 그쳤다.

경찰이 최근 금융권 해킹 사고의 공격자를 추적하고 있는 가운데, 공격 배후가 중국 광둥성에 거주하는 26세 인물일 가능성도 제기됐다.

미국 소재 글로벌 사이버보안 기업 크라우드스트라이크는 공격자 서버에서 확보한 생성형 인공지능(AI) 코딩 도구 '클로드 코드' 대화 기록에서 단서를 포착해 이 같은 배후를 추정했다. 다만 해킹 공격자로 지목된 인물은 관련성을 부인한 것으로 알려졌다.

AI 에이전트를 활용한 해킹 공격이 늘어나는 상황에서, 공격 주체를 식별할 수 있는 시스템과 방어 체계를 갖춰야 한다는 지적이 나온다.

송언석 의원은 "해킹에 대응하기 위한 AI 기반 방어체계 구축이 시급하다"며 "특히 공격자가 IP 주소를 우회하거나 위장할 수 있어 해외 IP만으로는 공격 주체를 특정하기 어려운 만큼 공격 경로를 추적하고 실제 공격 주체를 식별하는 기술 개발이 중요해지고 있다"고 강조했다.

한편 의원실 자료에 따르면 이번 금융권 침해사고와 관련, 지난 6일 기준 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 7개사 외에 추가 침해 사고는 발생하지 않았다.