금융감독원이 최근 한국 금융기관을 겨냥한 해킹 공격에 사용된 것으로 추정되는 IP 주소(인터넷에 연결된 기기의 주소) 19개를 미국·일본을 포함한 12개국에서 추린 것으로 업계 소식통을 통해 전해졌다. 하나은행과 KB국민은행, 신한은행 등 여러 금융회사가 지난주 잇따라 고객 정보 유출을 겪었고, 경찰은 6일 정식 수사에 착수했다. 신한은행은 목요일 고객 약 2만5천 명의 이름과 전화번호, 연소득이 유출됐다고 밝혔다.

배경과 맥락

이번 공격은 인공지능(AI) 에이전트 기반 해킹에 사용됐을 것으로 추정되는 IP 주소를 금융감독원이 추린 것으로 전해졌다. 다만 IP 주소를 특정했다는 사실만으로 공격을 실행한 주체나 침입 경로가 확인된 것은 아니다. 원문에는 주소별 정보나 각 주소가 확인된 구체적인 국가도 제시되지 않았다.

피해가 한 금융회사에 그치지 않았다는 점도 중요하다. 원문은 하나은행과 KB국민은행, 신한은행을 포함한 여러 금융회사가 고객 정보 유출을 겪었다고 전하지만, 신한은행 외 회사의 유출 규모나 정보 종류는 밝히지 않았다. 더 많은 금융회사가 피해를 입었을 수 있다는 우려가 제기된 가운데, 금융회사들은 추가 공격에 대비해 자체 보안 시스템을 점검하고 있다.

경찰청 국가수사본부는 금융기관 해킹 사건을 정보통신망법 위반 혐의로 입건하고 정식 수사로 전환했다고 밝혔다. 지난 2일부터 입건 전 조사를 진행한 뒤 사이버테러수사대를 전담수사팀으로 지정했으며, 4개 팀 28명을 투입할 방침이다. 경찰은 침해된 시스템이 전자금융기반시설에 해당하는지 금융위원회에 유권해석을 의뢰했고, 중대범죄수사청 통보 대상인지도 검토하고 있다.

이재명 대통령은 주말에 이번 공격에 대한 철저한 조사를 촉구했다. 금융감독원의 IP 주소 확인, 경찰의 수사 착수, 금융회사의 보안 점검은 각각 공격 흔적 파악과 사건 조사, 추가 피해 방지에 초점을 둔 조치다. 이 단계에서 어느 하나만으로 전체 피해 범위나 공격 경위가 밝혀졌다고 볼 수는 없다.

이 소식이 뜻하는 것

고객에게는 유출 여부와 어떤 정보가 영향을 받았는지가 우선적인 관심사다. 신한은행의 발표로 이름·전화번호·연소득이 약 2만5천 명에게서 유출된 사실은 확인됐지만, 다른 금융회사 고객의 피해 규모와 정보 종류는 아직 제시되지 않았다. 따라서 금융권 여러 곳에서 유출이 발생했다는 사실과 개인별 피해 범위를 구분해 볼 필요가 있다.

금융회사에는 자체 시스템 점검과 함께 실제 침해 여부, 노출된 정보의 범위를 확인하는 일이 중요해질 수 있다. 당국이 IP 주소를 추렸더라도 공격자가 누구인지, 어떤 경로로 침입했는지, 추가 피해가 있었는지는 별도의 확인이 필요하다. 경찰 수사와 금융회사별 피해 확인이 진행돼야 고객이 자신에게 미치는 영향을 구체적으로 판단할 수 있다.

예를 들어 금융회사 고객이라면, 해당 회사가 본인의 정보가 유출된 고객인지와 노출된 항목이 무엇인지 공식적으로 안내하는지 확인할 수 있다. 다만 현재 제공된 내용만으로는 신한은행 외 고객의 피해 여부를 판별할 수 있는 기준이나 별도 조치가 제시되지 않았다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 금융감독원이 최근 금융기관 해킹에 사용됐을 것으로 추정되는 IP 주소 19개를 12개국에서 추린 것으로 업계 소식통을 통해 전해졌다.
  • 하나은행·KB국민은행·신한은행 등 여러 금융회사가 지난주 고객 정보 유출을 겪었다.
  • 신한은행은 고객 약 2만5천 명의 이름·전화번호·연소득이 유출됐다고 밝혔다.
  • 경찰은 정보통신망법 위반 혐의로 정식 수사에 착수했고, 전담수사팀 4개 팀 28명을 투입할 방침이다.
  • 금융회사들은 추가 해킹 시도에 대비해 자체 보안 시스템을 점검하고 있다.

아직 알 수 없는 것

  • 19개 IP 주소의 구체적인 주소와 주소별 확인 국가는 무엇인가?
  • 공격의 배후와 실제 침입 경로는 확인됐는가?
  • 신한은행 외 금융회사에서 유출된 정보의 종류와 규모는 어느 정도인가?
  • 침해된 시스템이 전자금융기반시설에 해당하는지, 이에 따라 수사 절차가 어떻게 이어질지는 아직 확정되지 않았다.

독자가 확인할 것

  • 거래하는 금융회사가 본인의 정보 유출 여부와 노출 항목을 공식 안내했는지 확인하고, 내용이 불분명하면 해당 금융회사에 직접 문의할 수 있다.
  • 금융감독원과 경찰의 후속 발표에서 IP 주소 확인 내용과 수사 결과, 추가 피해 여부가 구체화되는지 살펴볼 필요가 있다.
  • 금융회사별 피해 범위가 확인되기 전에는 전체 유출 규모를 단정하지 말고, 본인에게 해당하는 안내가 있는지 구분해 확인하는 것이 중요하다.

참고 자료