금융권 연쇄 해킹에 공격 IP 17개 포착…北·中 아닌 네덜란드·프랑스 등 6개국發

네덜란드·프랑스 각 6개로 최다…한국 2개 등 해외 IP 15개

우회접속 기술로 IP 위장…실제 공격자 소재지와 다를 가능성

대신증권·빗썸 등 침해사고 잇따라…PHP 취약점 긴급점검도

[서울=뉴시스] 박주성 기자 = 20일 서울 시내 시중은행 ATM 기기 모습. [email protected]

[서울=뉴시스]김민수 기자 = 최근 금융권에서 다시 해킹 사고가 잇따르는 가운데 금융보안원이 침해사고와 관련된 공격자 인터넷주소(IP) 17개를 금융회사들에 공유한 것으로 파악됐다. 네덜란드와 프랑스에 할당된 IP가 각각 6개로 가장 많았으며 전체 17개 중 15개가 해외 IP로 나타났다.

29일 금융권에 따르면 금융보안원은 전날 금융회사들에 '최근 발생 침해사고 관련 침해지표(IoC) 공유' 안내를 통해 공격자 IP 17개와 공격 특성, 대응 조치 등을 전달했다.

공유된 IP는 네덜란드와 프랑스가 각각 6개로 가장 많았다. 이어 한국이 2개였으며 러시아와 싱가포르, 홍콩이 각각 1개씩 포함됐다. 총 6개 국가·지역에 걸쳐 분산된 것으로 나타났으며 북한이나 중국 IP는 없었다.

이번 침해지표 공유는 전 금융권에서 연쇄적으로 해킹 사고가 발생하는 가운데 이뤄졌다. 전날 대신증권과 미래에셋자산운용, 가상자산거래소 빗썸 등에서 추가 침해사고가 확인됐다.

대신증권에서는 고객 3만8490명의 개인·신용정보가 유출됐다. 빗썸에서는 사내 모바일 그룹웨어 시스템에 외부 비인가자가 접근해 임직원 정보가 유출됐으며, 미래에셋자산운용에서도 일부 업무용 시스템 관련 정보가 유출된 것으로 파악됐다.

앞서 지난 26일에는 미래에셋생명에서도 일부 웹 시스템에 대한 비정상적인 접근과 정보 유출 사고가 발생했다.

금융보안원은 공격자들이 클라우드플레어 워프(Cloudflare WARP), 임대 서버(VPS), 토르(Tor) 등을 이용해 IP 주소를 위장한 것으로 파악했다. 이에 따라 공격에 사용된 IP가 특정 국가에 할당돼 있더라도 실제 공격자의 소재지와는 다를 수 있다.

금융보안원은 금융회사들에 방화벽 등 보안장비에서 해당 IP의 접근 이력을 확인하고 필요한 대응 조치를 취하도록 안내했다.

접근 이력이 확인될 경우 관련 로그와 비정상적인 외부 통신 등 이상 행위를 종합적으로 점검하도록 했다. 다만 단순히 해당 IP의 접근 기록이 있다는 사실만으로 실제 침해가 발생했다고 단정할 수는 없다고 강조했다.

아울러 외부에 노출된 시스템에 최신 보안 업데이트를 적용하고 불필요한 서비스와 포트를 차단하는 등 접근통제를 강화하도록 했다. 토르 출구 노드와 클라우드플레어 워프 대역에 대한 접근 모니터링 강화도 검토하도록 권고했다.

앞서 금융감독원도 지난 4일 금융권 연쇄 해킹과 관련해 해외 여러 국가에 분산된 공격자 IP 19개를 금융회사들에 공유하고 긴급 보안점검을 요청한 바 있다.

한편 금융당국은 최근 공개된 PHP 보안 취약점과 관련해 금융회사들에 긴급 자체점검을 요청하고, 점검 결과와 조치 계획을 이날까지 제출하도록 했다.

이번 점검은 지난 21일 공개된 'PHP투셸(PHP2Shell)' 취약점 2건과 관련된 것으로, 해당 취약점이 악용될 경우 별도의 인증 절차 없이 원격에서 악성코드가 실행될 수 있다.

금융당국은 금융회사들에 취약한 PHP 버전의 사용 여부를 확인하고 보안 업데이트를 적용하도록 안내했다. 특히 PHP 8.1 이하 버전을 사용하는 경우 보안패치가 지원되는 버전으로 업그레이드하고, 즉각적인 조치가 어려우면 대체 보안조치를 적용하거나 해당 시스템의 인터넷 노출을 중단하도록 권고했다.

또 침해사고가 발생한 경우 금융감독원 등 관련 기관에 즉시 보고하도록 안내했다.


◎공감언론 뉴시스 [email protected]