[화담일보 = 최서하기자] 북한 인터넷주소(IP) 대역에서 국내 금융회사의 보안 취약점을 살피는 스캔성 접근이 440만4101건 탐지돼 금융 당국이 감시 강화를 요청했다. 해당 접근은 실제 피해로 이어지지 않았지만, 이와 별개로 여러 국가의 IP를 이용한 공격에서는 금융사 피해가 발생했다.
동아일보의 10월 28일 보도에 따르면 금융보안원은 21일 금융 보안 통합관제시스템으로 각 금융사에 긴급상황 알림을 보냈다. 알림에는 이날 오전 3시부터 북한 IP 대역에서 대규모 스캔성 접근이 탐지됐다는 내용이 담겼다. 당국은 금융회사에 실시간 모니터링을 강화하고 해당 IP의 접근 이력을 살펴 특이 사항이 발견되면 보고하도록 요청했다.
스캔성 접근은 시스템의 취약점이나 열려 있는 네트워크 포트를 확인하려는 접속 시도다. 본격적인 해킹에 앞서 보안상 빈틈을 찾는 성격으로, 이번에 집계된 440만4101건은 실제 침해 피해 건수와 구분된다. 금융 당국은 접속에 사용된 IP가 북한 대역으로 확인됐다는 사실만으로 공격 주체까지 북한으로 특정하기는 어렵다는 입장이다. IP를 우회하거나 위장할 수 있기 때문이다. 해커가 북한의 직접 공격처럼 보이도록 꾸몄을 가능성도 제기됐다.
금융보안원은 다른 공격 사례에 대해서도 침해 지표(IoC)를 공유했다. 침해 지표는 실제 해킹 사고에서 확인된 공격 IP 등의 흔적 정보다. 22일에는 한국·일본·브라질 등 3개국의 IP 3개를 활용한 공격이 발생했다고 공지했다. 26일에는 한국·미국·러시아·홍콩 등 10개국의 IP 37개를 이용한 공격으로 피해가 발생했다고 알렸다. 북한 IP 대역의 스캔성 접근과 별도로 금융권에 대한 침해가 이어지고 있는 것이다.
한국을 겨냥한 공격 준비 정황에 관한 보안업계 분석도 나왔다. 미국 주간지 뉴스위크 일본판은 최근 사이버 보안업체 사이파마(CYFIRMA)의 창업자 겸 최고경영자 쿠마르 리테시의 기고문을 실었다. 리테시는 암호화 익명 네트워크 ‘I2P’의 폐쇄형 채널에서 한국어를 사용하는 여러 해커가 전 세계 웹서버를 대상으로 대규모 정찰과 공격 계획을 조율하는 정황이 포착됐다고 밝혔다.
이 분석에 따르면 해커들은 한국 정부 기관과 금융회사를 주요 목표로 삼았으며, 인공지능(AI)을 이용해 웹서버의 보안 취약점을 실제 공격 수단으로 바꾸려는 움직임도 보였다. 사이파마는 이들의 언어와 작전 지시, 과거 공격 수법을 분석해 북한 정찰총국 산하 해킹 조직 라자루스와 연관됐을 가능성이 있다고 판단했다. 이는 보안업체가 제시한 연관 가능성에 관한 분석으로, 금융 당국이 탐지한 북한 IP 접근의 실행 주체가 확정됐다는 의미는 아니다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}