국내 금융회사를 대상으로 북한 인터넷 프로토콜(IP) 대역에서 약 440만 건의 접근이 시도된 정황이 포착됐다.

금융당국은 금융회사와 가상자산거래소에 보안 점검을 요청했으며, 청와대 국가안보실은 최근 금융권에서 발생한 해킹 사고와 관련해 긴급 대응회의를 열기로 했다.

28일 금융업계에 따르면 금융당국은 지난 21일 금융보안 통합관제시스템 '퍼스트(FIRST)'를 통해 금융회사와 가상자산거래소 등에 북한 IP 대역의 금융권 대상 스캔성 접근과 관련한 유의사항을 전달했다. 이달 초 금융권 해킹 사고가 알려진 이후 북한 IP 대역을 이용한 대규모 접근 정황이 공식적으로 확인된 것은 이번이 처음이다.

금융당국이 파악한 접근 건수는 공문 발송 당시 기준 약 440만4101건에 달한다. 다만 이는 시스템에 대한 접근 시도 건수로, 실제 해킹 성공이나 개인정보 유출 건수를 의미하지는 않는다.

21일 새벽부터 대량 탐지…금융회사에 긴급 점검 요청

금융당국이 공유한 공문에 따르면 지난 21일 오전 3시부터 다수의 북한 IP를 통한 금융권 대상 스캔성 접근이 지속적으로 탐지됐다. 당국이 확인한 IP 대역은 '175.45.176.0/22'로, 북한에 할당된 인터넷 주소 범위에 해당한다. 공문이 발송될 때까지 탐지된 접근 건수는 약 440만4101건이었다.

금융당국은 이러한 정황을 금융회사와 가상자산거래소에 알리고 보안 관리 강화를 요청했다. 정보보호 체계와 내부통제 상황을 점검하고, 이상징후를 신속하게 탐지할 수 있도록 실시간 모니터링을 강화해 달라는 내용이다. 해당 IP 대역의 접근 이력을 확인해 특이사항이 발견되면 당국에 연락해 달라는 요청도 포함됐다.

이번에 탐지된 것은 금융회사 시스템에 접근을 시도한 기록이다. 특정 금융회사에서 실제로 침입에 성공했다거나 고객 정보가 유출됐다는 의미는 아니다. 28일 보도된 내용에 따르면 해당 IP를 통한 접근이 실제 침해사고로 이어져 피해가 신고된 사례는 없는 것으로 전해졌다.

'스캔성 접근'이란…시스템의 취약점 찾는 사전 탐색

스캔성 접근은 인터넷에 연결된 시스템을 대상으로 열려 있는 네트워크 포트나 외부에 노출된 서비스를 확인하는 행위를 말한다. 컴퓨터나 서버에는 외부 시스템과 데이터를 주고받기 위한 여러 통신 경로가 있는데, 이 가운데 접근 가능한 경로가 있는지 살펴보는 것이다.

이러한 접근은 시스템의 보안 상태를 파악하거나 취약한 서비스를 찾아내는 데 이용될 수 있다. 공격자는 특정 서버에서 어떤 서비스가 실행되고 있는지, 외부에서 접속할 수 있는 통신 경로가 무엇인지 등을 확인한 뒤 추가적인 공격을 시도할 수 있다. 따라서 금융회사 입장에서는 실제 침입이 발생하지 않았더라도 대량의 스캔성 접근을 보안상 이상징후로 관리할 필요가 있다.

다만 스캔성 접근 자체가 곧 시스템 침해를 뜻하는 것은 아니다. 외부에서 서버에 접속을 시도했더라도 보안 장비가 이를 차단했거나 취약한 경로가 발견되지 않았다면 추가 피해로 이어지지 않을 수 있다. 이번에 확인된 440만여 건 역시 공격 성공 횟수가 아니라 탐지된 접근 횟수다.

금융당국이 금융회사에 접근 이력과 실시간 모니터링을 점검하도록 요청한 것도 이 때문이다. 대량 접근이 발생한 시간대와 대상 시스템을 살펴보고, 평소와 다른 접속이나 비정상적인 활동이 있었는지 파악하는 것이 대응의 핵심이다.

북한 IP라고 북한 해커 소행은 아냐…당국도 신중

이번 접근에서 북한 IP 대역이 확인됐지만, 이를 근거로 공격 주체를 북한 해커라고 확정할 수는 없다. 인터넷 접속 경로는 여러 국가의 서버를 거쳐 우회할 수 있으며, 실제 공격자가 사용하는 네트워크 주소와 공격자의 소재지가 반드시 일치하는 것도 아니기 때문이다.

금융당국 관계자 역시 IP만으로 공격자의 국적을 특정하기 어렵다는 입장을 밝혔다. IP의 국적 정보가 실제 공격 주체를 그대로 나타내는 것은 아니라는 의미다. 이번에 탐지된 접근이 북한 IP 대역에서 발생했다는 사실과 북한의 특정 해킹 조직이 공격을 수행했다는 판단은 구분해야 한다.

금융감독원은 앞서 지난 6일 금융권 해킹 사고가 잇따라 알려진 당시에도 IP 정보 해석에 주의가 필요하다고 밝혔다. 금감원은 일부 IP의 경우 국가를 특정할 수 없고, 국가가 특정되더라도 접속 경로를 우회했을 가능성이 있다는 점을 언급했다.

따라서 이번 사안에서 확인된 핵심 사실은 북한 IP 대역에서 금융권을 대상으로 대량의 스캔성 접근이 탐지됐다는 것이다. 접근 주체의 신원과 실제 침입 여부는 이와 별도로 구분되는 문제다.

청와대 국가안보실, 금융권 해킹 긴급 대응회의

금융권을 겨냥한 사이버 위협이 이어지면서 청와대 국가안보실도 대응에 나섰다. 국가안보실은 28일 오후 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열 예정이다. 회의에서는 최근 금융권에서 발생한 해킹 관련 사고와 피해 상황을 점검하고 추가 피해 확산을 막기 위한 대응 방안을 논의할 계획이다.

논의 대상에는 가상자산거래소 빗썸과 미래에셋자산운용 등에서 발생한 해킹 관련 사고가 포함된다. 관계 기관들은 사고별 피해 규모를 살펴보고 금융회사들의 보안 대응 상황을 점검할 예정이다. 금융권에서 발생한 여러 보안 사고에 대한 정부 차원의 대응이 진행되는 것이다.

다만 빗썸과 미래에셋자산운용 관련 사고가 이번 북한 IP 대역의 스캔성 접근과 직접 연결됐다는 사실이 발표된 것은 아니다. 금융권에서 잇따라 발생한 보안 사고와 이번에 탐지된 대규모 접근 기록은 각각 구분해 다뤄야 한다.

금융당국은 금융회사들에 정보보호와 내부통제 체계 점검을 요청한 상태다. 금융회사들은 해당 IP 대역의 접속 기록을 살펴보고 비정상적인 접근이 있었는지 확인하는 한편, 이상징후가 발견될 경우 당국에 관련 내용을 전달하도록 안내받았다.