금융권 해킹 시도에서 북한 IP 대량 탐지…440만4101건은 무엇을 보여주나

증권사와 가상자산거래소 등 금융권을 겨냥한 해킹 시도가 이어지는 가운데, 금융당국이 북한 IP 대역에서 대량의 스캔성 접근을 탐지했다. 금융권 해킹 사태가 알려진 뒤 북한 IP를 통한 접근 정황이 공식 확인된 것은 이번이 처음이다. 다만 탐지된 접근이 실제 침해로 이어졌다는 뜻은 아니다.

금융당국은 지난 21일 오전 3시부터 다수의 북한 IP가 금융회사들을 대상으로 스캔성 접근을 시도한 정황을 확인했다. 당국은 금융보안 통합관제시스템 ‘퍼스트(FIRST)’를 통해 금융회사와 가상자산거래소에 유의사항 공문을 보냈다. 공문 발송 당시까지 탐지된 접근은 약 440만4101건이었다.

확인된 IP 대역은 175.45.[176].0/22이며, 대역에 속한 IP의 다수는 북한으로 분류됐다.

스캔성 접근은 시스템의 취약점이나 열려 있는 네트워크 포트를 파악하려고 접속을 시도하는 행위다. 보안상 빈틈을 탐색하는 단계일 수 있지만, 해당 IP를 통한 시도가 실제 침해사고로 이어져 피해가 신고된 사례는 현재까지 없는 것으로 전해졌다.

당국은 금융회사에 정보보호와 내부통제 상태를 점검하고 이상징후를 실시간으로 살피며, 해당 IP의 접근 기록에서 특이사항이 발견되면 당국에 연락해 달라고 당부했다.

IP 주소가 북한으로 분류됐다고 공격자를 북한 해커로 단정할 수는 없다. 당국 관계자는 IP 국적을 조작할 수 있어 IP만으로 해커의 국적을 특정하기 어렵다고 설명했다. 금융감독원도 10월 6일 언론 공지에서 일부 IP는 국가를 특정하기 어렵고, 국가가 확인되더라도 우회 가능성이 있으므로 해석에 유의해야 한다고 밝혔다.

따라서 탐지 건수는 금융권을 향한 접근 규모를 보여주는 수치이지, 공격 주체나 실제 피해 규모를 확정하는 근거는 아니다.

청와대 국가안보실은 28일 오후 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열어 빗썸과 미래에셋자산운용 등에서 발생한 해킹 관련 사고와 추가 피해 확산을 막기 위한 대응 방안을 논의할 계획이다.