당국, 북한 등록 IP서 440만건 탐색…금융권 '빈틈 찾기' 경보

[경제일보] 국내 금융권을 겨냥해 북한에 등록된 인터넷주소(IP) 대역에서 440만건이 넘는 스캔성 접근이 탐지됐다. 금융당국은 가상자산 거래소를 포함한 금융회사들에 접근 이력을 확인하고 실시간 감시를 강화하라고 요청했다. 금융권의 개인정보 유출이 이어지는 상황에서 대규모 사전 탐색까지 포착되면서 외부 접점 관리의 중요성이 커졌다.

28일 업계에 따르면 당국은 지난 21일 금융보안 통합관제시스템 ‘퍼스트(FIRST)’를 통해 ‘북한 IP의 금융권 대상 스캔성 접근 관련 유의사항’을 공유했다.

공문에는 같은 날 오전 3시부터 다수의 북한 IP가 금융권을 대상으로 지속적인 스캔성 접근을 시도했다는 내용이 담겼다. 공문 발송 당시 탐지 건수는 440만4101건이었다.

확인된 주소는 ‘175.45.176.0/22’ 대역이다. 아시아태평양 인터넷주소 관리기구(APNIC)의 공개 등록정보에는 북한 국가코드인 ‘KP’와 스타 조인트 벤처 명의로 등록돼 있다.

스캔은 인터넷에 열린 접속 지점과 서비스, 취약점 등을 탐색하는 행위다. 이번 수치는 시스템을 살피려는 접근이 대량 관측됐다는 의미로, 해당 IP를 통한 실제 침해 피해가 신고된 사례는 현재까지 없는 것으로 전해졌다.

당국은 금융회사들에 해당 IP의 접근 이력과 특이사항을 확인하고 정보보호·내부통제, 이상징후 탐지를 위한 실시간 모니터링 등을 점검해 필요한 조치를 취해달라고 당부했다.

공격 배후에 대한 판단은 추가 분석이 필요하다. 당국 관계자는 “IP만으로 해커의 국적을 특정하기 어렵다”고 말했다. 금융감독원도 지난 6일 공격 IP 정보를 금융권에 공유하면서 국가가 특정되더라도 우회 가능성이 있어 해석에 유의해야 한다고 설명했다.

보안 대응에서는 IP 차단과 함께 접근 이후의 행위를 확인하는 것이 중요하다. 같은 주소에서 어떤 서비스를 반복 조회했는지, 인증을 우회하거나 정보를 내려받으려는 요청이 있었는지 살펴야 한다. 주소를 바꾼 접근에도 대응하려면 요청의 빈도와 패턴, 조회 권한을 함께 분석해야 한다.

금융당국이 14일 공개한 점검에서도 기본 통제의 미비가 드러났다. 555개사 가운데 130개사가 미흡사항을 보고했다. 최신 보안패치 미적용과 기술지원 종료 시스템 관리 미흡, 24시간 관제 부재, 외부 시스템의 인증·인가 누락 등이 주요 항목이었다.

이번 대량 탐색은 관리되지 않는 접속 경로를 신속히 찾아 조치해야 할 필요성을 높인다. 대출모집인용 조회 화면과 임직원 업무시스템, 외부 업체가 관리하는 연계서버까지 점검 범위를 넓혀야 한다.

청와대 국가안보실은 이날 오후 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열 예정이다. 빗썸과 미래에셋자산운용 등에서 발생한 침해사고의 피해 규모를 확인하고 추가 확산 방지 방안을 논의한다.