연기금투자풀 계정 307개 뚫리고 수익률 자료까지 유출, 나흘 뒤에 인지 🏢

새벽 0시 43분, 누군가 홈페이지에 로그인을 시도합니다. 11분 동안 307번. 막은 사람은 없었습니다.

같은 뉴스, 네 가지 시선. AILENS입니다. 오늘은 11월 10일 기준으로, 지난달 발생한 미래에셋자산운용 해킹 사고를 짚어보겠습니다.

지난달 22일 저녁 7시 11분. 해외 IP를 쓰는 누군가가 연기금투자풀 홈페이지에 접근합니다. 연기금투자풀은 정부 기금과 공공기관의 여유자금을 모아 운용사에 맡기는 제도인데, 미래에셋운용이 삼성자산운용과 함께 이 돈을 주간으로 운용하고 있습니다. 그러니까 이건 그냥 회사 홈페이지가 아니라, 정부 돈이 오가는 창구였던 겁니다.

해커는 처음부터 정면으로 뚫지 않았습니다. 외부에 노출된 서버 상태 페이지에서 내부 주소 정보를 슬쩍 수집한 뒤, 그 주소로 직접 접근하는 방식을 썼습니다. 보안 문턱을 정면으로 넘지 않고 옆으로 돌아간 셈이죠. 이후 회원번호를 하나씩 순서대로 넣어보면서 개인정보와 암호화된 비밀번호를 긁어모았습니다.

그리고 이틀 뒤 새벽, 그 비밀번호 해시값으로 실제 계정에 로그인을 시도합니다. 11분 동안 307개 계정이 뚫렸습니다. 이 과정에서 연기금투자풀을 쓰는 법인 소속 임직원 331명의 아이디, 이름, 이메일, 암호화된 비밀번호가 함께 빠져나갔습니다.

이게 한 사람의 계정 문제였다면 이야기는 여기서 끝날 수도 있었습니다. 하지만 해커는 계정에만 머물지 않았습니다. 첨부파일 번호를 1번부터 2592번까지 순서대로 대입하면서 파일을 내려받기 시작했습니다. 그렇게 빠져나간 용량이 960메가바이트. 시장정보와 교육자료는 물론, 완전위탁형 기금의 올해 일별 수익률 조회기록까지 포함돼 있었습니다. 기금이 하루하루 어떻게 움직였는지, 그 기록 자체가 통째로 넘어간 겁니다.

비슷한 시기, 또 다른 쪽에서도 공격이 진행되고 있었습니다. 이번엔 회사 내부 시스템, MGIS였습니다. 해커는 이메일 인증 절차를 우회해서 외부 계정 17개를 새로 만들고, 사용자 정보 수정 기능을 악용해 최고관리자 권한까지 손에 넣었습니다. 실제 관리자 계정 비밀번호도 바꿔버렸습니다. 이 경로로는 금융감독원 관련 해외법인 공시·보고자료 등 280메가바이트가 빠져나갔고, 해외법인 31곳 임직원 1,715명과 본사 임직원 566명, 합쳐서 2,281명의 개인정보가 유출됐습니다.

양쪽을 더하면 2,600명 가까운 사람의 정보가 걸려 있는 사건입니다. 한 건의 사고가 아니라, 같은 시기에 두 개의 문이 동시에 열려 있었던 셈입니다.

다만 짚어볼 지점이 있습니다. 미래에셋운용 측은 고유식별정보나 개인신용정보, 그리고 개인 고객 정보의 유출이나 금전 피해는 확인되지 않았다고 밝혔습니다. 유출된 건 주로 임직원 개인정보와 업무자료 쪽이고, 실제 자금이 빠져나가거나 고객 돈에 손실이 생긴 정황은 지금까지는 나오지 않았다는 얘기입니다. 피해의 성격을 가볍게 볼 순 없지만, 그 범위를 정확히 봐야 할 대목입니다.

그런데 더 눈에 걸리는 건 시간입니다. 최초 공격은 지난달 22일에 시작됐습니다. 회사가 이 침해 정황을 알아챈 건 나흘 뒤인 26일, 그마저도 연기금투자풀 쪽은 낮 12시께, MGIS 쪽은 오후 2시께 각각 따로 파악됐습니다. 그 나흘 동안 해커는 계정에 로그인하고, 파일을 내려받고, 관리자 권한까지 확보할 시간을 벌었습니다. 사고 인지 이후에는 해외 접속 차단과 취약 기능 제한, 비밀번호 초기화 같은 조치가 뒤따랐지만, 이미 일어난 일을 되돌릴 순 없는 조치였습니다.

왜 나흘이나 걸렸는지, 어떤 경로로 뒤늦게 알게 됐는지는 아직 명확히 밝혀지지 않았습니다. 정부 기금이 오가는 시스템에 대한 보안 점검이 어느 수준으로 이뤄지고 있었는지도 이번 사고를 계기로 들여다봐야 할 부분입니다.

정리하면, 오늘 핵심은 이겁니다. 정부 기금을 다루는 시스템과 회사 내부 시스템, 두 곳이 같은 시기에 뚫렸고 2,600여 명의 정보와 수익률 기록을 포함한 업무자료가 빠져나갔는데, 회사는 그 사실을 나흘이 지나서야 알았다는 겁니다. 피해의 크기보다 더 눈여겨봐야 할 건, 그 나흘의 시간이 어떻게 비어 있었는지입니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.