은행 해킹 정보 유출, 일주일 사이 여섯 곳이 공격받았다고? 🪪

보안 점검에서 5년 연속 만점을 받은 은행이, 고객 정보 유출을 막지 못했습니다. 그렇다면 만점은 무엇을 측정한 걸까요.

같은 뉴스, 네 가지 시선. AILENS입니다.

10월 3일 기준으로, 국내 주요 은행 여섯 곳에서 벌어진 일을 정리해보겠습니다.

지난달 29일부터 이달 1일 사이, 은행 보안 담당자들의 모니터링 화면을 상상해보시겠어요. 밤 아홉 시, 비정상 접근 알림이 뜹니다. 하나가 아니었습니다.

KB국민은행은 9월 30일 밤에 외부 접근을 인지한 직후 해당 서버와 접근 경로를 차단했습니다. 그런데도 고객 119명의 이름과 전화번호, 주소가 빠져나갔습니다.

차단이 늦었던 게 아닙니다. 인지와 차단 사이의 그 짧은 시간에 이미 끝나 있었던 거죠.

하나은행에서는 영업지원시스템에 외부 해킹 에이전트가 접근했습니다. 89명의 정보가 나갔습니다. 부산은행은 주요 공격을 막아냈지만 외주 직원 열한 명의 정보가 웹페이지로 노출됐습니다.

우리은행과 NH농협은행은 공격을 받았고, 방어했습니다.

한 은행의 실수로 보기 어려운 구조입니다. 짧은 기간에, 여러 곳에, 동시에.

업계에서는 동일 세력의 소행이 아니냐는 추측까지 나오는 상황입니다.

여기서 눈여겨볼 대목이 있습니다.

지니언스 시큐리티센터의 문종현 센터장은 링크드인에 공격 추정 웹서버에서 '아텍스'라는 문자열이 확인됐다고 밝혔습니다. 중국어 기반의 공격 자동화 시스템인데요, 오픈소스로 공개돼 있습니다. 누구나 가져다 쓸 수 있다는 뜻입니다.

작년에는 중국 바이두가 주도한 공방 능력 대회에서 우승 프로젝트로 소개됐습니다.

손규식 한양사이버대 교수는 AI를 통해 공격 도구를 준비하고 운영하는 작업 상당 부분이 자동화됐다고 말했습니다. 사람이 하나하나 찾던 작업을, 도구가 대신 돌리는 셈이죠.

다만 다른 측면도 있습니다.

신한은행은 가장 많은 정보가 유출된 곳입니다. 약 이만 오천 명. 그런데 이 은행은 금융위원회 주관 개인신용정보 관리 실태 점검에서 5년 연속 만점을 받았습니다.

아이에스엠에스-피를 포함해 국내외 인증도 보유하고 있습니다. 작년에는 개인정보 처리 수탁사 보안을 점검하면서 대출모집법인을 집중 점검하기도 했습니다.

그런데 유출은 모집인용 간편조회 서비스에서 일어났습니다. 인증을 우회한 접근이었습니다.

점검 항목에는 있었고, 뚫린 건 그 바깥이었던 겁니다.

그래서 전반적인 평가 시스템에 문제가 있는 것 아니냐는 지적이 나오고 있습니다.

이상근 고려대 교수는 이번 사건을 특정 국가의 소행으로 단정하기는 어렵다고 전제하면서도, 정부와 금융권의 대응 노력에도 AI 기술과 이를 활용한 공격이 예상보다 훨씬 빠르게 발전하고 있다고 지적했습니다.

경찰청 사이버테러대응수사대는 신한·KB국민·하나·부산은행의 잇단 정보 유출과 관련해 입건 전 조사에 착수했습니다.

아직 남은 질문이 있습니다. 왜 이 시기에, 왜 한꺼번에였는지. 그리고 인증을 통과한 체계가 실제 공격 앞에서 어디까지 유효한지.

조사 결과를 기다려야 하는 부분입니다.

정리하면, 오늘 핵심은 이겁니다. 공격 속도가 점검 주기보다 빨라졌다는 점입니다. 1년에 한 번 확인하는 체계와, 자동으로 계속 두드리는 도구 사이의 간격이 드러난 사안입니다.

각 은행은 인터넷뱅킹과 모바일뱅킹 거래와는 무관하다고 밝혔고, 손실이 발생할 경우 전액 보상할 방침입니다. 정보 유출 여부가 궁금하다면 거래 은행 고객센터에 확인해보시는 게 좋겠습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.