숨기기에만 급급 치명적 위협 노출… 정보 공유안돼 악순환
#1. 농협과 신한은행 등 복수의 금융권이 공격당했던 지난 3.20 사이버대란 수사에 참여했던 수사관 A씨는 수사 과정 내내 아쉬움을 토로했다. 평소 금융사 사이에 IP 등 기초적인 IT 유관 정보를 공유하고 있었으면 사이버 공격에 대한 수사가 3~4배는 빨리 진행될 수 있었기 때문이다.
이 수사관은 최근 정부 합동대응팀의 북한 소행 발표 이후 또 다시 낙담했다. 추가적인 수사 자료 요청을 위해 피해를 입었던 금융사를 찾았더니 담당자가 "로그를 다 지워버렸다. 북한으로 발표가 끝나지 않았느냐"고 반문한 것이다. 이 수사관은 "국내 굴지의 금융사의 IT보안 인식에 혀를 찼다"며 "이런 사고방식으로는 더 큰 사고가 터질 수 있다"고 한탄했다.
금융권의 IT정보 불통이 심각하다. 고객 정보 등을 앞세운 금융사들의 지나친 정보 불통이 오히려 전체 금융권의 보안 위협을 키우고 있다는 목소리다.
28일 금융권 및 보안 전문가들에 따르면, 금융권을 겨냥한 각종 사이버공격 기법은 나날이 진보하고 있지만 각 금융사들이 정보 공유를 통해 공동 대책을 마련하기보다는 숨기기에만 급급하고 있어 잠재적이고 치명적인 위협을 더 키우고 있다는 지적이 나온다.
전문가들이 지적하는 가장 큰 문제는 금융권을 노린 기초적인 해킹 사례들이 전혀 공유되지 않는다는 점이다.
국내 수사기관의 한 관계자는 최근 한 중국IP발 해커가 국내 모 은행 계좌에 자유자재로 드나든 것을 발견했다. 이 범죄자는 수개월동안 자신이 악성코드를 통해 장악한 PC를 통해 당 계좌에 들어와 잔액만 확인하고 빠져나갔다. 오랫동안 지켜보고 일거에 치명적인 공격을 가하는 지능형지속위협(APT) 공격의 징후라는 것이 관계자의 분석이다.
이 관계자는 "이런 상황을 발견했을 때 금융사간 정보 공유시스템이 구축돼 있으면 즉시 이를 공지하고 해당 IP를 차단할 수 있지만 현재 그런 시스템이 없다"며 "다른 어느 금융사가 같은 IP를 통해 같은 수법으로 계좌 모니터링을 당하고 있는지 금융사의 신고가 없으면 알 길이 없다"고 말했다.
이같은 정보 불통 상황에서 금융사들은 해커들의 `놀이터'가 되고 있다. 해커들은 A사를 공격했던 방법으로 B사, C사를 공격하고 대형사고가 터져 금융사들이 허둥지둥 방어대책을 찾는 사이 해커들은 또 다른 방법을 통해 다른 금융사를 공격하는 악순환이 반복되고 있다는 것이다.
복수의 금융 프로젝트를 수행했던 한 보안업체 관계자는 "새로운 공격은 차치하더라도 한번 당했던 공격은 철저하게 공유해 당하지 않도록 대책을 수립해야 하는데 금융권의 보수적인 특성상 정보 공유가 잘 되지 않고 있다"고 털어놨다.
지난 2011년 4월 농협 전산망 마비 사태 이후 금융감독원은 이른바 `557 모범규준(총 직원수 중 IT인력 5% 이상, IT인력 중 정보보안인력 5% 이상, IT부문 전체 예산 중 정보보안예산 비중 7% 이상)'을 만들어 금융사에 권고했지만, 이 규준은 경영진 처벌 등 강제력을 동반한 것이 아니어서 근본적인 대책이 되기 위해서는 보완이 필요하다는 평가다.
금융권 보안을 오랫동안 컨설팅해온 보안전문가들은 향후 은행의 가장 민감한 부분인 `계정 원장 해킹' 가능성까지 조심스럽게 나오고 있다. 이번 3.20 공격도 MBR(마스터부팅영역) 파괴 이상으로 더 깊은 부분까지 타격을 줄 수 있었다는 평가가 지배적이다.
현재 금융사 보안 사고 관련 정보를 공유하는 통로는 금융결제원에서 운영중인 `금융ISAC'이 유일하다. 금융ISAC은 금융권을 노린 침해사고 발생시 1차적인 대응을 맡고 있지만 각종 방법을 동원해 공격중인 해커들에 비해 수박 겉핥기식 모니터링에 그치고 있다는 지적이다.
전문가들은 우선 의심 IP 공유 시스템을 금융사간에 구축하고 해외 신용카드 관련 범죄 사례가 접수되면 이미지 타격을 우려해 숨기려 하기보다 관련 기관과 이를 즉시 공유해 다른 금융사들간에 대책을 수립할 수 있도록 해야한다고 주장하고 있다.
송현 금융감독원 IT감독국장은 "현재 금융결제원에서 운영중인 `금융 ISAC' 등 침해사고시 대응체계 수준을 높이고 있지만 금융사간 체계적인 공유시스템은 없는 상태"라며 "3.20 전산망 마비 이후 대책반이 금융위 등과 함께 6월까지 구체적인 대책을 제시할 것"이라고 밝혔다.
신동규기자 dkshin@
이 수사관은 최근 정부 합동대응팀의 북한 소행 발표 이후 또 다시 낙담했다. 추가적인 수사 자료 요청을 위해 피해를 입었던 금융사를 찾았더니 담당자가 "로그를 다 지워버렸다. 북한으로 발표가 끝나지 않았느냐"고 반문한 것이다. 이 수사관은 "국내 굴지의 금융사의 IT보안 인식에 혀를 찼다"며 "이런 사고방식으로는 더 큰 사고가 터질 수 있다"고 한탄했다.
금융권의 IT정보 불통이 심각하다. 고객 정보 등을 앞세운 금융사들의 지나친 정보 불통이 오히려 전체 금융권의 보안 위협을 키우고 있다는 목소리다.
28일 금융권 및 보안 전문가들에 따르면, 금융권을 겨냥한 각종 사이버공격 기법은 나날이 진보하고 있지만 각 금융사들이 정보 공유를 통해 공동 대책을 마련하기보다는 숨기기에만 급급하고 있어 잠재적이고 치명적인 위협을 더 키우고 있다는 지적이 나온다.
전문가들이 지적하는 가장 큰 문제는 금융권을 노린 기초적인 해킹 사례들이 전혀 공유되지 않는다는 점이다.
국내 수사기관의 한 관계자는 최근 한 중국IP발 해커가 국내 모 은행 계좌에 자유자재로 드나든 것을 발견했다. 이 범죄자는 수개월동안 자신이 악성코드를 통해 장악한 PC를 통해 당 계좌에 들어와 잔액만 확인하고 빠져나갔다. 오랫동안 지켜보고 일거에 치명적인 공격을 가하는 지능형지속위협(APT) 공격의 징후라는 것이 관계자의 분석이다.
이 관계자는 "이런 상황을 발견했을 때 금융사간 정보 공유시스템이 구축돼 있으면 즉시 이를 공지하고 해당 IP를 차단할 수 있지만 현재 그런 시스템이 없다"며 "다른 어느 금융사가 같은 IP를 통해 같은 수법으로 계좌 모니터링을 당하고 있는지 금융사의 신고가 없으면 알 길이 없다"고 말했다.
이같은 정보 불통 상황에서 금융사들은 해커들의 `놀이터'가 되고 있다. 해커들은 A사를 공격했던 방법으로 B사, C사를 공격하고 대형사고가 터져 금융사들이 허둥지둥 방어대책을 찾는 사이 해커들은 또 다른 방법을 통해 다른 금융사를 공격하는 악순환이 반복되고 있다는 것이다.
복수의 금융 프로젝트를 수행했던 한 보안업체 관계자는 "새로운 공격은 차치하더라도 한번 당했던 공격은 철저하게 공유해 당하지 않도록 대책을 수립해야 하는데 금융권의 보수적인 특성상 정보 공유가 잘 되지 않고 있다"고 털어놨다.
지난 2011년 4월 농협 전산망 마비 사태 이후 금융감독원은 이른바 `557 모범규준(총 직원수 중 IT인력 5% 이상, IT인력 중 정보보안인력 5% 이상, IT부문 전체 예산 중 정보보안예산 비중 7% 이상)'을 만들어 금융사에 권고했지만, 이 규준은 경영진 처벌 등 강제력을 동반한 것이 아니어서 근본적인 대책이 되기 위해서는 보완이 필요하다는 평가다.
금융권 보안을 오랫동안 컨설팅해온 보안전문가들은 향후 은행의 가장 민감한 부분인 `계정 원장 해킹' 가능성까지 조심스럽게 나오고 있다. 이번 3.20 공격도 MBR(마스터부팅영역) 파괴 이상으로 더 깊은 부분까지 타격을 줄 수 있었다는 평가가 지배적이다.
현재 금융사 보안 사고 관련 정보를 공유하는 통로는 금융결제원에서 운영중인 `금융ISAC'이 유일하다. 금융ISAC은 금융권을 노린 침해사고 발생시 1차적인 대응을 맡고 있지만 각종 방법을 동원해 공격중인 해커들에 비해 수박 겉핥기식 모니터링에 그치고 있다는 지적이다.
전문가들은 우선 의심 IP 공유 시스템을 금융사간에 구축하고 해외 신용카드 관련 범죄 사례가 접수되면 이미지 타격을 우려해 숨기려 하기보다 관련 기관과 이를 즉시 공유해 다른 금융사들간에 대책을 수립할 수 있도록 해야한다고 주장하고 있다.
송현 금융감독원 IT감독국장은 "현재 금융결제원에서 운영중인 `금융 ISAC' 등 침해사고시 대응체계 수준을 높이고 있지만 금융사간 체계적인 공유시스템은 없는 상태"라며 "3.20 전산망 마비 이후 대책반이 금융위 등과 함께 6월까지 구체적인 대책을 제시할 것"이라고 밝혔다.
신동규기자 dkshin@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
