[단독] 금융사 해킹 시도 북한IP 실체는…당국 “北 아닌 제3자가 악용한 듯"

[이데일리 임유경 기자] 최근 금융권을 겨냥한 북한 인터넷주소(IP) 대역의 대규모 공격 시도가 확인된 가운데, 해당 공격은 실제 북한에서 시작한 것이 아니라 제3자가 북한 IP를 악용한 결과일 가능성이 높은 것으로 파악됐다.

29일 이데일리 취재를 종합한 결과 금융당국은 최근 탐지된 북한 IP 대역의 스캔성 접근은 실제 북한에서 출발한 패킷(통신 신호)이 아닐 가능성에 무게를 두고 있는 것으로 확인됐다.

금융당국과 금융권에 따르면 지난 21일 오전 3시께 북한 IP 대역에서 약 440만 건에 이르는 대규모 스캔성 접근이 탐지됐다. 스캐닝은 공격 대상인 서버에 열려 있는 포트나 보안 취약점 등을 탐색하는 행위로 해킹을 위한 사전 정찰에 해당한다. 금융보안원과 금융감독원은 같은 날 오전 9시 금융권에 긴급 보안 공지를 보내 주의를 당부했다. 해당 스캔성 접근은 하루 정도 지속된 후 종료된 것으로 전해진다.

(이미지=AI 생성)

뒤늦게 해당 공격 사실이 알려지자 국민적 불안감은 커지는 모양새다. 최근 한달 새 은행권부터 금융투자업권까지 해킹에 뚫려 개인정보가 유출된 가운데, 일부 해킹 시도는일 북한 배후일 수 있다는 추측이 이어지면서다.

하지만 금융당국은 해당 공격 패킷이 실제 북한에서 출발한 게 아니라 북한 IP를 악용한 제3자의 소행일 가능성에 무게를 두고 있는 것으로 파악됐다. 사안에 정통한 보안전문가들에 따르면 실제 패킷 분석 결과에서도 북한 IP를 악용한 것으로 보이는 단서가 포착됐다.

인터넷 통신은 통상 ‘연결 요청→요청에 대한 응답→응답 확인’ 순서로 이뤄지는데 당시 북한 IP에서는 첫 단계인 연결 요청이 아니라 두 번째 답장 단계에 해당하는 ‘요청에 대한 응답’ 패킷만 계속 들어온 것이다. 이는 제3자가 금융회사 IP를 출발지로 위조해 북한 측에 연결을 요청하고, 북한 측의 응답이 금융회사로 돌아오도록 했을 가능성을 시사한다. 즉, 금융회사에 도착한 패킷에는 북한 IP가 찍히더라도 실제로 이를 유발한 주체는 따로 있을 수 있다는 의미다. 해당 공격이 발생한 지난 21일 북한에서도 주요 사이트들이 해킹 공격으로 마비된 점은 북한 IP가 제3의 공격자에게 악용됐을 가능성을 뒷받침하는 정황으로 꼽힌다.

금융당국 관계자는 “패킷의 출발지 IP는 북한으로 표시됐지만, 해당 IP가 악용됐을 가능성이 높다”며 “IP는 위조가 쉽기 때문에 IP만으로 공격 주체를 단정할 순 없다”고 설명했다. 배후에 대한 확인은 수사 기관의 발표를 기다리고 인공지능(AI) 등 새롭게 부상한 보안 위협에 대한 대응책 마련에 관심을 가져야 한다는 지적이 나오는 이유다.

전문가들은 관리되지 않는 시스템과 서비스 등 보안 사각지대를 해소하는 데 대응 역량을 집중할 것을 주문하고 있다. 김승주 고려대 정보보호대학원 교수는 “지난해 10월 정부가 발표한 ‘범부처 정보보호 종합대책’에도 자산 전수조사를 통한 보안 사각지대 해소가 주요 과제로 포함돼 있었다”며 “대책이 현장에서 얼마나 이행됐는지, 제대로 이행되지 않았다면 원인이 무엇인지 확인할 필요가 있다”고 말했다. 이어 “AI를 활용한 취약점 탐색과 해킹이 대중화되는 상황에서 관리되지 않는 자산은 공격자의 표적이 될 수 있다”며 “자산 식별과 관리는 AI 해킹 시대에 가장 시급하게 해결해야 할 과제”라고 강조했다.

한편 대신증권·미래에셋자산운용·빗썸에서 침해 사고가 추가로 발생하면서 최근 약 한달 새 해킹으로 개인정보가 유출된 금융사는 총 20곳으로 늘었다. 대신증권에서는 고객 3만 8490명의 개인·신용정보가 유출됐으며, 앞서 신한은행에서는 고객 2만 5729명의 정보가 유출된 것으로 확인됐다.