[금융 보안 비상②] 핵심망 대신 '옆문' 노렸다⋯공격 표면 커진 금융시스템

[아이뉴스24 도수화 기자] 최근 잇따른 금융회사 정보 유출 사고는 인터넷·모바일뱅킹 등 핵심 금융거래가 아닌 주변 업무 시스템에서 주로 발생했다. 금융회사의 디지털 접점이 확대되는 동안 상대적으로 관리 우선순위가 낮았던 곳이 새로운 공격 경로로 노출되면서 금융권의 보안 관리 범위를 다시 짜야 한다는 지적이 나온다.

6일 금융권에 따르면 최근 신한은행을 시작으로 KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈 등 2금융권과 온라인투자연계금융업까지 휩쓸고 있는 해킹 사태의 정보 유출 통로는 상당수가 내부 직원이나 대출모집인 등이 사용하는 업무 시스템인 것으로 나타났다.

공격자가 보안 수준이 높은 핵심망을 직접 공략하기보다 상대적으로 관리가 허술한 외부 접점을 침투 경로로 삼은 것으로 파악됐다.

금융당국도 최근 침해사고의 공통 취약지점 중 하나로 외부접점과 접근경로를 주목하고 있다. 금융위원회는 금융회사에 임직원 등이 업무상 접근하는 외부접점과 시스템 접근경로를 전수 점검하고, 불필요한 외부접근을 차단하도록 주문했다. 특히 최근 사고와 관련된 대출모집인·위탁업체 등 외부인력과 임직원이 사용하는 시스템의 인증 절차와 접근 권한도 집중 점검하도록 했다.

이번 해킹 공격의 표적이 된 외부접점 상당수는 정기 보안 점검망에서 빠져 있었던 것으로 알려졌다. 금융회사가 자체적으로 정보기술(IT) 자산을 식별하고 점검 대상을 정하는 과정에서 핵심 전산망보다 중요도가 낮다고 판단한 외부접점이나 지원 시스템이 사각지대로 남았다는 지적이다. 금융당국은 이번 사고를 계기로 전자금융감독규정 개정 등을 포함한 제도 개선을 검토하고 있다.

신한은행에서는 대출모집인 전용 모바일 홈페이지 'M신한'의 간편조회 서비스를 통해 고객 2만5000여명의 개인신용정보가 빠져나갔다.

반면 국민은행은 외부인이 정상적인 방법으로 접근할 수 없는 직원용 시스템이 공격받았다. 금융사마다 구체적인 침투 지점은 달랐지만 고객용 핵심 거래시스템 밖에서 사고가 발생했다는 점은 공통적이다.

국민은행은 공격자가 해당 시스템의 인증 절차를 우회해 비정상적으로 접근한 것으로 추정하고 있다. 국민은행 관계자는 "해당 시스템은 전자금융기반시설에 준해 관리되는 자율 점검시스템으로 다른 IT 자산과 동일하게 취약점 등을 점검해 당국에 결과를 제출해왔다"고 설명했다.

하나은행 역시 영업지원시스템(ODS) 공격에 따라 89명의 고객 정보가 유출됐다. 부산은행은 내부 직원용 모바일 영업 지원시스템 해킹으로 외주 개발직원 11명의 개인정보가 유출된 것으로 추정하고 있다.

예가람저축은행 측도 "외부에서 도입한, 직원들이 활용하는 업무 솔루션이 공격을 받은 것으로 추정하고 있다"고 밝혔다.

금융사가 비대면 영업을 확대하고 대출모집인·협력업체·임직원 등이 외부에서 업무시스템에 접속하는 구조가 늘면서 보안당국이 관리해야 할 '공격표면(attack surface)'도 넓어지고 있다. 과거에는 인터넷뱅킹·모바일뱅킹 등 핵심 금융거래망 보호에 보안 역량을 집중했다면 앞으로는 업무지원 시스템과 외부 솔루션, 제3자 접근계정까지 같은 수준에서 관리해야 한다는 의미다.

김승주 고려대 정보보호대학원 교수는 "(해킹 공격에) 인공지능(AI)이 이용되는 게 문제라기보다 쌓인 '보안 부채'가 이제 임계치를 넘었다는 게 문제"라며 "현재 가용한 인력과 예산, 기술을 총동원해 그동안 쌓여온 보안 부채를 대대적으로 찾아내고 청산하는 일이 급선무"라고 말했다.