금융권 해킹 시도서 북한 IP 대량 탐지, 접근은 실제 침해를 뜻하나

증권사와 가상자산거래소 등 금융권을 겨냥한 해킹 시도가 이어지는 가운데, 금융당국이 북한 IP 대역의 대량 접근 정황을 탐지했다. 금융권 해킹 사태가 알려진 뒤 북한 IP 대역의 접근이 공식 확인된 첫 사례로 보도됐다. 다만 IP 대역이 북한과 관련돼 있다는 사실만으로 공격 주체의 국적까지 확정할 수는 없다.

10월 28일 보도에 따르면 금융당국은 10월 21일 오전 3시부터 다수의 북한 IP가 금융회사를 상대로 스캔성 접근을 시도한 정황을 금융보안 통합관제시스템 ‘퍼스트(FIRST)’에서 탐지했다. 당국은 가상자산거래소를 포함한 금융회사들에 관련 유의사항을 담은 공문을 보냈다.

확인된 IP 대역은 175.45.[176].0/22이며, 대역에 속한 IP 가운데 다수는 북한 IP로 설명됐다. 공문 발송 당시까지 탐지된 접근은 약 440만4101건이었다. 스캔성 접근은 시스템의 취약점이나 열려 있는 네트워크 포트를 찾으려는 접속 시도다. 따라서 탐지 건수가 실제 침입이나 피해 건수를 뜻하지는 않는다.

당국에 따르면 해당 IP를 통한 시도가 실제 침해사고로 이어져 피해가 신고된 사례는 당시까지 없었다. 당국은 금융회사에 정보보호와 내부통제, 이상징후 실시간 모니터링을 점검하고 해당 IP의 접근 이력을 확인해 특이사항이 있으면 알리도록 요청했다.

당국 관계자는 IP 국적을 조작할 수 있어 IP만으로 해커의 국적을 특정하기 어렵다고 설명했다. 금융감독원도 10월 6일 언론 공지에서 국가를 특정하기 어려운 IP가 있고, 국가가 확인된 경우에도 우회 가능성이 있어 해석에 유의해야 한다고 밝혔다.

이번에 확인된 것은 북한 IP 대역에서 발생한 접근 정황이지, 북한 해커의 공격으로 확정된 사실은 아니다. 10월 28일 보도 당시 국가안보실은 송기호 3차장 주재로 금융위원회 관계자들과 긴급 대응회의를 열어 빗썸과 미래에셋자산운용 등에서 발생한 해킹 관련 사고의 추가 피해를 막을 방안을 논의할 계획이었다.