보안망은 쌓았는데 업무망이 뒷문 됐다…연쇄 해킹에 드러난 빈틈

[경제일보] 대한민국 디지털경제의 연결망이 보안의 취약 지점으로 돌아오고 있다. 은행의 대출 조회 서비스와 증권사의 계좌개설 연계서버, 거래소의 사내 협업시스템에 이어 기업용 소프트웨어의 개발·백업 서버까지 침해 대상이 됐다. 고객이 이용하는 서비스뿐 아니라 업무를 뒷받침하는 시스템과 외부 연결 경로에서 개인정보가 빠져나가거나 유출 정황이 확인되고 있다.

이번 사태는 개별 기업의 사고를 넘어 기업이 보호해야 할 범위를 어디까지로 보고 있는지 묻는다. 핵심 시스템 주변으로 데이터와 권한이 이동하는 동안 보안 책임과 점검 범위도 함께 확장됐는지가 문제다. 인공지능(AI)을 활용한 공격은 이런 관리 공백을 더 빠르게 찾아내는 방향으로 발전하고 있다.

28일 금융권에 따르면 대신증권은 고객 3만8490명의 개인·신용정보 유출을 확인했다. 지난 17일 투자일임 비대면 계좌개설 연계서버에서 이상 접근을 포착한 뒤 정상적인 서비스 요청으로 위장한 신호 6만여건을 조사해 26일 유출 사실을 확인했다.

국민은행은 당초 119명으로 발표했던 피해 인원을 26일 2210명으로 정정했다. 고객과 전·현직 임직원 2091명이 추가됐다. 미래에셋생명에서도 고객정보 유출이 확인됐고, 빗썸은 사내 모바일 그룹웨어 침해 이후 회원정보 포함 여부를 분석하고 있다. 금융당국은 사고별 침입 경로와 연관성을 조사 중이다.

피해는 금융회사 담장 안에 머물지 않는다. 온라인 학습관리시스템 업체 맑은소프트는 고객사 회원정보 약 237만건이 유출됐다고 신고했다. 공공기관 등을 포함한 20여곳의 피해가 알려졌다. 여러 기관이 같은 서비스 사업자에게 시스템 운영과 정보 관리를 맡긴 구조에서 사고의 영향 범위가 넓어진 사례다.

기업용 소프트웨어 업체 더존비즈온도 개발 서버의 불법 접근과 APO 백업 서버 관련 침해 가능성을 신고했다. 고객사 임직원 정보의 유출 가능성을 조사하고 있으며, 정부는 고객사 피해 확산 가능성과 파급력을 고려해 민관합동조사단을 투입했다.

이들 사례에서 드러나는 문제는 ‘우리 회사 서버’와 ‘우리 회사가 책임져야 할 정보’의 범위가 일치하지 않는다는 점이다. 고객정보는 조회 업무와 개발, 상담, 백업을 위해 여러 시스템에서 취급된다. 외부 업체가 운영하더라도 해당 정보에 접근하는 계정과 권한, 저장 기간, 반출 경로는 원청의 관리 대상에 들어가야 한다.

업무 효율을 높이는 연결은 공격자가 이용할 경로도 늘린다. 대출모집인의 조회 화면, 직원의 모바일 업무 기능, 외부 서비스와 데이터를 주고받는 인터페이스에는 각각 다른 인증과 권한이 적용된다. 한쪽에서 확보한 계정이나 인증정보가 다른 시스템에서도 통한다면 침해 범위가 확대될 수 있다. 보안 점검도 장비와 서버 수를 세는 데서 끝나지 않고 데이터와 권한의 이동을 따라가야 한다.

금융당국의 점검 결과는 기본 통제의 미비가 여전히 크다는 사실을 보여준다. 금융위원회는 14일 당시 16개 금융회사에서 침해사고가 확인됐으며 정보유출 규모는 약 10만건이라고 밝혔다. 별도로 진행한 555개사 체크리스트 점검에서는 130개사가 미흡사항을 보고했다.

주요 항목은 최신 보안패치 미적용, 기술지원 종료 시스템 관리 미흡, 24시간 관제체계 부재, 외부 시스템의 인증·인가 누락과 다중인증 미도입이었다. AI 공격에 대응해야 하는 시점에 이미 알려진 위험을 줄이는 조치도 충분히 작동하지 않았던 셈이다.

특히 이번 AI가 바꾼 것은 공격의 속도와 반복 수행 능력이다. 크라우드스트라이크는 이달 공개한 보고서에서 9월 말부터 10월 초 한국 금융기관을 노린 공격 인프라를 분석했다. 공격자 서버의 공개 디렉터리에서 AI 모의해킹 도구 ‘ARTEX’ 설정과 클로드 코드 작업 기록 등을 발견했다.

보고서에 따르면 ARTEX는 딥시크를 주요 언어모델로 사용했다. 공격자는 한국 유출정보를 판매할 경로도 문의했다. 크라우드스트라이크는 금전 목적의 공격자가 AI 도구를 활용해 짧은 기간 여러 기관에 침투할 수 있음을 보여주는 사례로 평가했다.

공격자가 반복 탐색과 결과 분석을 자동화할수록 방어 조직이 수작업으로 경보를 검토하고 담당 부서를 찾아 조치하는 시간은 부담이 된다. 필요한 변화는 AI 장비 도입에 앞서 누가 취약점을 고치고, 어떤 경우 접속을 차단하며, 서비스 중단을 누가 결정하는지까지 실행 절차를 연결하는 것이다.

PHP 취약점 사태는 이 문제를 기반 소프트웨어 차원으로 넓혔다. 공통으로 사용하는 실행 환경에서 결함이 발견되면 자체 개발 프로그램뿐 아니라 외주 홈페이지와 장비 관리화면, 호스팅 서비스까지 확인해야 한다. 한국인터넷진흥원(KISA)은 사용 현황과 버전 점검, 업데이트에 더해 침해 흔적 조사와 중요 인증정보 교체를 권고했다. 이미 탈취된 비밀번호와 연동 키는 패치만으로 회수되지 않기 때문이다.

사고 이후 피해 범위를 파악하는 능력도 중요해졌다. 국민은행의 피해 인원 확대와 대신증권의 조사 과정은 최초 발표 뒤에도 확인 범위가 달라질 수 있음을 보여준다. 접근·조회·다운로드 기록이 충분히 남아 있어야 어떤 정보가 누구에게 노출됐는지 신속히 설명할 수 있다. 탐지 장비와 별개로 기록의 보존 기간과 분석 가능성을 점검해야 하는 이유다.

정부 대응도 이행 검증으로 이어져야 한다. 금융위는 외부 접점 목록화와 접근통제 강화, 위협정보 공유 확대를 추진하고 있다. 개인정보보호위원회는 중요사건 집중조사와 신속 처리절차를 도입했다. 지난달부터는 객관적 정황에 따라 유출 가능성이 높다고 합리적으로 판단되는 경우에도 72시간 이내 이용자에게 알리는 제도가 시행됐다.

이런 조치의 성과는 점검표 제출 건수보다 실제 위험이 얼마나 줄었는지로 확인해야 한다. 미관리 자산을 몇 개 찾아 폐쇄했는지, 과도한 접근권한을 얼마나 회수했는지, 패치가 실제 운영 환경에 적용됐는지 재검증할 필요가 있다. 원청과 수탁업체의 계약에도 사고 통보와 로그 제공, 계정 회수, 복구 책임을 구체화해야 한다.

당분간 추가 피해 확인이 이어질 가능성이 있다. 기존 사고를 재조사하거나 다른 시스템의 접근 기록을 살피면서 대상과 항목이 늘어날 수 있기 때문이다. 당국도 14일 집계 당시 금융회사들이 침해 여부를 계속 확인하고 있어 사고 회사 수가 확대될 수 있다고 밝혔다.

유출정보를 결합한 사칭 위험도 커질 수 있다. 이름과 연락처에 예금·대출 정보나 실제 예약 내역이 더해지면 공격자는 정상적인 상담처럼 보이는 연락을 꾸밀 수 있다. 기업의 고객 안내에는 유출 항목과 확인 방법, 피해구제 절차뿐 아니라 정상적인 연락에서 요구하지 않는 정보와 행동을 구체적으로 담아야 한다.

보안시장에서는 외부 노출 자산 관리와 계정·권한 통제, 상시 관제, 사고 분석·복구 수요가 확대될 것으로 예상된다. 예산과 인력이 부족한 중소기업에는 공동 대응과 전문 서비스 지원도 필요하다. 자동화된 방어 역시 잘못된 차단으로 업무를 멈출 수 있어 승인 범위와 복구 절차를 함께 설계해야 한다.

한편 이번 연쇄 해킹이 남긴 경영 과제는 분명하다. 경영진은 투자액과 인증 보유 여부에 더해 침입 탐지·차단 시간, 피해 범위 확인 속도, 복구시간을 확인해야 한다. 연결된 서비스로 수익을 만드는 기업이라면 연결된 위험에도 책임져야 한다. 한국 보안의 다음 성적표는 사고 뒤 발표하는 대책의 규모보다 그 대책이 일상 업무에서 얼마나 지속적으로 작동하느냐에 달려 있다.