증권ㆍ보험 타깃 될라…금융권 대응책 부심

증권HTS, 웹방식과 달라 공격 가능성 적어
분산서비스거부(DDoS) 공격이 연일 발생하면서 은행권뿐만 아니라 증권사와 보험사 등 자칫 금융권 전체가 공격 타깃이 되지 않을까 하는 두려움이 증폭되고 있다.

이번 DDoS 공격이 은행들에 이어 증권과 보험업권으로 확산될 가능성은 얼마나 될까. 증권사에서도 은행의 인터넷뱅킹과 마찬가지로 온라인 상에서의 주식거래에 활용되는 홈트레이딩시스템(HTS)을 구동하고 있다. 악의적인 해커들이 HTS서버를 타깃으로 한 공격을 감행할 경우 시스템이 마비되거나 접속 속도가 저하되면서 사용자들의 주문 및 결제 지연으로 큰 혼란 상태에 빠질 수 있는 위험성은 충분하다. 보험은 예금이나 주식과 달리 계약이 주로 대면접촉으로 이뤄지는 속성상, DDoS 공격을 받더라도 피해가 적고 공격자 입장에서도 은행과 증권에 비해 타깃의 매력이 떨어져 상대적으로 안전한 상황이라고 할 수 있다. 그러나 삼성화재에서 운영하고 있는 인터넷 자동차보험 `마이애니카' 서비스처럼 웹 기반 서비스에 영향을 미칠 가능성까지 완전 배제할 수는 없다.

이론상으로는 시간별 시나리오에 따라 단계별로 이뤄지는 타이머 방식으로 설계된 이번 DDoS 공격의 속성상 홈페이지와 같은 웹사이트의 경우 대상 사이트 주소만 변경하면 되기 때문에 큰 어려움은 없다는 것이 보안전문가들의 의견이다. 공격자들이 타깃 사이트에 증권사와 보험사 사이트를 추가하기만 하면 된다는 것이다.일각에서는 시중은행들은 지난해 금융결제원과 함께 구축한 DDoS 방어 시스템을 통해 공격 대응력을 갖추고 있지만 증권사들은 이에 대한 대응책이 전무해 문제가 심각한 상황으로 증권사 시스템이 공격을 당하면 주식거래 지연으로 인한 피해 규모가 상당할 것이라는 의견도 있다.

그러나 웹 단말 전용 포트인 80포트를 이용, 웹 기반으로 작동하는 은행의 인터넷뱅킹 시스템과는 달리 증권사의 HTS는 시스템 구동 기반이 다르기 때문에 공격 타깃이 될 가능성이 낮다는 것이 금융권과 보안업계의 대체적인 시각이다. TCP/IP 프로토콜로 웹 단말 전용 포트인 80포트를 사용한 이번 DDoS 공격은 웹 기반의 은행 인터넷뱅킹에는 영향력을 행사할 수 있었지만 HTS는 공개된 단일 80포트가 아니라 증권사별로 각기 다른 포트를 사용하기 때문에 각 사의 포트를 파악하지 못하고는 공격을 감행할 수가 없다는 것이다. 이는 지난해 3월 미래에셋증권의 홈페이지가 DDoS 공격을 받았지만 HTS는 아무 이상 없이 동작했다는 것에서도 이미 방증된 사실이다.

금융보안연구원 성재모 보안기술팀장은 "설령 해커가 특정 증권사가 사용하는 HTS 단말포트를 찾아낸다 하더라도 공격에 활용할 수 있는 명령어가 웹에서와는 달리 모두 암호화되어 있기 때문에 이를 복호화해 의미를 파악해야만 한다"면서 "이 때문에 상대적으로 노력 대비 효과가 높은 은행 인터넷뱅킹 시스템을 노리기가 쉬울 것"이라고 말했다. 그는 이어 "HTS와 함께 웹트레이딩시스템(WTS)을 함께 활용하고 있는 증권사들도 있지만 WTS가 공격을 당한다고 해서 HTS가 마비되는 것은 아니기 때문에 고객들은 아무 불편 없이 이용할 수 있다"고 말했다.

이 때문에 은행에서 시작된 이번 DDoS 공격이 증권과 보험 등 타 금융권 전체로 확대될 가능성은 그리 높지 않다는 것이 전반적인 분위기이지만 가능성을 전혀 배제할 수 없는 만큼 긴장의 끈을 늦춰서는 안 된다는 것이 중론이다.

이에 금융위원회ㆍ금융감독원ㆍ금융결제원 등 금융감독당국도 이번 DDoS 공격과 관련, 관계기관으로 구성된 위기상황대응반을 가동하고 실시간 모니터링을 강화하는 한편 전 금융권으로 확산될 가능성에 대비해 비상대응체제를 가동하고 있다. 은행ㆍ증권ㆍ보험사 등 인터넷 금융서비스를 제공하는 전 금융사가 24시간 실시간 비상대응반을 가동하도록 해 DDoS 공격 여부를 모니터링하고 이에 대한 대응 보안시스템도 점검하도록 조치하고 있다.

금융감독원 감독서비스총괄국 최재환 부국장(IT업무팀장)은 "공격 상황이 악화될 경우, 텔레뱅킹과 지점창구 등 인터넷뱅킹 서비스 대체채널 확보와 비상계획 점검 및 가동 등 기 수립된 단계별 비상계획을 순차적으로 시행할 계획"이라고 말했다.

이홍석기자 redstone@