금융권 해킹에 북한 IP발 공격 쏟아졌는데…당국, '北 배후' 가능성 낮게 보는 이유는

[서울=뉴시스]김민수 기자 = 국내 금융권에서 해킹 사고가 잇따르는 가운데 북한 인터넷주소(IP)를 이용한 대규모 공격 시도까지 포착되면서 배후에 관심이 쏠리고 있다.

일단 금융당국은 북한 IP가 사용됐다는 사실만으로 북한 해킹 조직의 소행이라고 단정하기는 어렵다는 입장이다. 공격에 사용된 IP와 실제 공격 주체가 반드시 일치하는 것은 아니라는 이유에서다. 이와 별개로 최근 공격 양상이 기존 북한 해킹 조직의 수법과 차이가 있다는 분석도 나온다.

29일 금융권에 따르면 금융보안원은 지난 21일 북한 IP를 통한 국내 금융권 대상 스캔성 접근이 확인되자 금융회사들에 관련 정보를 공유하고 보안 유의사항을 안내했다.

당시 북한에 할당된 다수의 IP에서 금융권 시스템을 대상으로 약 440만건의 접근이 탐지된 것으로 알려졌다. 다만 이는 시스템의 취약점 등을 탐색하는 스캔 공격으로, 실제 시스템 침입이나 고객정보 유출이 발생한 침해사고와는 구분된다.

북한 IP를 통한 공격이 탐지됐지만 실제 공격 주체를 특정하기는 쉽지 않은 상황이다. 해커들이 다른 국가의 서버를 공격 경유지로 활용하거나 자신의 위치를 숨기는 사례도 적지 않기 때문이다.

특히 공격이 포착된 시기 북한의 주요 웹사이트도 해킹 공격을 받은 것으로 알려졌다. 지난 20~21일 북한 노동신문과 조선중앙통신, 외무성 등 주요 사이트가 사이버 공격을 받아 접속 장애를 겪은 것으로 전해졌다.

이에 따라 제3의 공격자가 북한의 서버 등을 침해한 뒤 해당 IP를 국내 금융권 공격의 경유지로 활용했을 가능성이 제기된다. 외부에서 북한 시스템을 장악했다면 공격 패킷의 출발지는 북한 IP로 나타나더라도 실제 공격자는 다른 곳에 있을 수 있다는 설명이다.

공격이 이뤄진 시점과 세부적인 접근 방식 등을 종합적으로 고려할 때 북한 해킹 조직이 직접 공격을 수행했을 가능성은 상대적으로 낮다는 분석도 나온다.

최근 금융권에서 발생한 해킹 사고와 북한 해킹 조직의 기존 공격 양상에도 차이가 있다는 지적이다.

북한 해킹 조직은 그동안 금융기관이나 가상자산거래소를 겨냥해 자금을 직접 탈취하는 방식의 공격을 벌여온 것으로 알려졌다. 단순히 시스템을 마비시키거나 취약점을 탐색하는 데 그치지 않고 실제 금전적 이익을 확보하는 데 공격 목적을 두는 경우가 많다는 것이다.

대표적으로 북한 정찰총국과 연계된 것으로 지목되는 라자루스는 2016년 방글라데시 중앙은행에서 8100만 달러를 탈취한 사건과 지난해 2월 가상자산거래소 바이비트에서 약 15억 달러 상당의 가상자산이 탈취된 사건의 배후로 거론돼 왔다.

반면 최근 금융권을 겨냥한 공격에서는 인공지능(AI)을 활용한 취약점 탐색과 자동화된 공격 가능성이 주목받고 있다.

러시아계 해킹 조직은 랜섬웨어를 활용해 시스템을 암호화한 뒤 금전을 요구하는 공격을 벌여온 것으로 알려졌다. 중국계 해킹 조직 역시 AI 기술 등을 활용한 광범위한 취약점 탐색과 무차별적인 공격을 시도하는 것으로 거론된다.

이처럼 공격 조직마다 주로 활용해 온 수법과 목적에 차이가 있는 만큼 최근 금융권에서 포착된 공격 양상만으로 북한 해킹 조직의 소행이라고 판단하기는 어렵다는 분석이다.

다만 공격 방식은 계속 진화하고 있어 기존 수법과 다르다는 이유만으로 북한의 연루 가능성을 완전히 배제할 수는 없다.

실제로 글로벌 사이버 보안·위협 인텔리전스 기업 사이퍼마(CYFIRMA)는 한국어를 사용하는 공격자들이 웹 서버의 'PHP투셸(PHP2Shell)' 취약점을 이용해 정부와 금융기관 등을 대상으로 공격을 계획한 정황을 확인했다.

사이퍼마는 해당 공격자들이 북한 해킹 조직 라자루스와 연관됐을 가능성을 제기했지만, 신뢰도는 중간 수준으로 평가했다. 실제 침해 사례가 확인된 것은 아니다.

최근 금융권에서는 대신증권과 미래에셋생명, 미래에셋자산운용, 빗썸 등 업권을 가리지 않고 해킹 사고가 잇따르고 있다. 금융당국은 잇따른 침해사고에 대응해 긴급점검과 현장점검 등을 진행하고 있다.

금융당국은 피해 금융회사들에 공격에 사용된 IP를 차단하고 보안패치를 적용하는 한편 필요시 관련 서비스를 중단하도록 조치했다. 금감원과 금융보안원은 현장점검 등을 통해 공격 경로와 수법, 사고 간 연관성 및 동일 공격자 여부 등을 조사하고 있다.

전날 청와대 국가안보실도 금융권 연쇄 해킹 대응 긴급점검회의를 열고 유출 정보를 악용한 보이스피싱 등 2차 피해 방지 대책을 점검했다. 관계기관들은 외부 연계서버와 사내 업무시스템 등 유사 공격 경로를 점검하고 공격 정보와 조사 결과를 실시간 공유하기로 했다.

향후 조사에서 북한 해킹 조직의 연루 사실이 확인될 경우 파장은 더욱 커질 수 있다. 금융권이 새로운 공격 방식에 충분히 대비하지 못했다는 지적과 함께 금융회사들의 보안 관리 책임을 넘어 금융당국의 사전 대응 및 감독체계에 대한 책임론으로 확대될 가능성도 있다.


◎공감언론 뉴시스 [email protected]