해킹 당한 금융보안원, 공격 IP 246개 차단완료…국적은 한국

(서울=연합뉴스) 김지연 기자 = 최근 해킹 공격을 받은 금융보안원이 총 246개 공격 인터넷 프로토콜(IP) 주소를 차단 완료한 것으로 파악됐다.

13일 국회 정무위원회 소속 국민의힘 박대출 의원실이 금융위원회로부터 제출받은 자료에 따르면 금융보안원은 지난 9일 오전 10시50분 보안관제를 통해 비정상 접근 시도를 확인했다.

이후 오전 11시11분 피해 시스템에 기록된 특이사항의 행위(로그)를 수집·분석한 결과 오후 1시54분 피해 시스템 장악을 위한 웹셸 공격을 확인했다. 다만 파일 암호화 정책 등 보안대책 적용으로 이 공격은 실패로 돌아갔다.

그러나 오후 2시11분 로그 분석을 통해 비인가 로그인 시도에 이상징후를 감지했고 그로부터 8분 뒤 피해 시스템의 서비스를 즉시 중지하고 로그 상세 분석에 나섰다.

금보원이 자료 유출 사실을 확인한 시간은 오후 3시 50분이었다.

그날 오후 3시 58분부터 저녁 11시 5분까지 침해사고 조사 요청에 따라 사고 초동 조사가 완료됐다.

다음 날 오후 1시30분 정보보호최고책임자 주관으로 각 부서장이 참석하는 비상대책위원회가 열렸다. 사이버위기경보 주의가 발령됐고 위기 상황이 공유됐다.

이어 오후 2시41분께 금융위원회에, 오후 3시48분께 침해사고 신고가 이뤄졌다.

지난 11일 오후 9시45분께 개인정보보호위원회에 유출 신고가 들어갔다.

12일엔 침해사고 2차 조사 결과를 기반으로 총 246개 공격 IP주소 차단을 완료했다.

공격은 정상 회원가입 시 문자메시지(SMS) 인증 우회 취약점을 이용해 이뤄진 것으로 분석됐다.

이를 통해 신규 계정 신청 후 관리자가 사용하는 '상시평가자용 운영 점검 기능'의 접근권한 검증 미흡 취약점을 찾아 파일을 다운로드한 뒤 개인정보를 유출했다.

해킹에 사용된 IP의 국적은 한국으로 확인됐다.

다만 금융당국은 일부 IP는 국가를 특정할 수 없는 경우가 있고, 국가가 특정되어도 우회 가능성이 있어 해석에 유의할 필요가 있다고 강조한다.

해커는 금융감독원을 사칭해 시스템에 접근한 것으로 전해진다.

현재까지 48개사의 130여개 파일이 유출된 것으로 추정된다.

금융위원회·금융감독원은 이미 현장에서 사고 경위를 조사 중이다.