금융보안원이 공격표면관리(ASM)와 실전형 모의해킹을 확대하고도 자체 시스템의 정보 유출을 막지 못했다. 공격자가 금융감독원을 사칭해 시스템에 접근한 것으로 파악되면서 금융보안원의 계정·접근권한 관리에도 허점이 드러났다.
11일 금융권에 따르면 공격자는 금감원을 사칭한 가짜 계정으로 금보원의 '정보보호 상시평가 지원시스템'에 접근했다. 접속 과정에서 인터넷주소(IP)를 수시로 바꾼 것으로 전해졌다.
시스템은 금융회사가 평가에 필요한 자료를 제출하는 외부 접점이다. 금융회사 직원은 본인 정보만 확인할 수 있지만, 금보원과 금감원에는 전체 정보를 열람할 수 있는 권한이 있다. 공격자가 이런 권한 구조를 악용한 것으로 파악됐다.
금보원은 지난 9일 비정상적인 외부 접근에 따른 유출을 확인하고 시스템 접속을 차단했다. 현재까지 행정서식 약 200건과 서식에 담긴 개인정보 300여건, 시스템 이용자 정보 350여건이 유출됐다.
금보원은 금융사에 외부 노출 시스템 관리를 강조해 왔으나, 정작 자체 업무 사이트에서는 정보 유출을 막지 못했다. 금융보안원은 지난해 12월부터 외부에 노출된 시스템과 취약점을 찾는 ASM 서비스를 제공해 왔다. 올해 6월에는 'Atlas ASM' 웹서비스를 선보이며 147개 금융회사 자산 27만개 이상을 관리한다고 밝혔다. 외부 노출 자산과 보안 사각지대를 관리하겠다는 것이 ASM의 도입 취지다.
실제 침투와 자료 접근 가능성을 시험하는 모의해킹도 확대했다. 올해 전담 인력을 6명에서 20명으로 늘리고 블라인드 모의해킹과 AI 레드티밍을 강화했다. 금융회사의 외부 노출 시스템을 찾아 위험을 점검하고, 모의해킹으로 실제 침투 가능성까지 검증해 온 기관이 정작 자체 업무 사이트에서 사칭 계정의 자료 접근을 막지 못했다.
금융위는 지난 2022년 상시평가 지원시스템의 외부 단말기 자료 열람에 따른 유출 위험을 지적하기도 했다. 지난해에는 레그테크포털에서 접근권한 취약점이 드러나 금보원이 운영하는 다른 사이트까지 점검하도록 요구했다. 그럼에도 이번 해킹 사태를 막지 못했다.
금융당국은 금융권 연쇄 해킹을 계기로 가칭 '디지털금융안전법' 제정을 추진하고 있다. 보안 규제가 강화되면 취약점 점검과 모의해킹 수요가 늘어 금융보안원의 역할도 커질 전망이다. 그러나 이번 사고로 자체 시스템의 접근권한 관리에 허점이 드러나면서 늘어나는 금융권 보안 점검 업무를 제대로 수행할 수 있느냐는 의문이 제기된다.
금융업계 관계자는 “보안 규제가 강화되면 금융사는 더 많은 비용을 들여 금보원에 점검을 맡기게 될 것”이라며 “자체 시스템의 정보 유출도 막지 못한 기관에 금융사가 비용을 더 내고 보안 점검을 맡기는 역설적인 상황”이라고 말했다.
박두호 기자 walnut_park@etnews.com
