AI부터 대피소까지…금융권 '보안총력전'에 사이버 공격 줄었네(종합)

전자적 침해시도 분석 616만건…35.9% ↓
대규모 랜섬 디도스 18건은 모두 방어 성공
변종공격 위협 여전 "안심하기 일러" 경고도

[아시아경제 송승섭 기자]"디도스 공격(사이트나 서버에 과부하를 주는 행위)을 할 예정입니다. 원치 않는다면 이 주소로 비트코인을 보내세요." 지난해 8월 국내 3개 은행에 금전갈취 목적의 디도스 공격이 감행됐다. 금융사는 내부의 침입방지시스템(IPS)을 즉각 가동하고 대응 매뉴얼에 따라 대처했다. 과도한 트래픽은 금융보안원이 운영하는 ‘클라우드 대피소’로 우회시켰다. 2~3시간 동안 공격이 이어졌지만 피해는 일부 시스템이 잠깐 느려지는 정도에 그쳤다.

디지털 비대면 금융이 가속화되는 와중에도 ‘전자적 침해시도’가 줄어든 것으로 파악됐다. 첨단보안 기술 도입과 관계기관과의 협력, 내부 직원의 보안 의식 제고로 금융사의 디지털 대응 역량이 높아졌다는 분석이 나온다.

17일 금융보안원에 따르면 지난해 말 이뤄진 전자적 침해시도 분석 건수는 616만건으로 1년 전 962만건에서 346만건(35.9%) 줄었다. 전자적 침해시도란 물리적 공격과 달리 해킹이나 디도스, 랜섬웨어처럼 사이버상에서 이뤄지는 공격을 말한다. 같은 기간 전자적 침해시도 대응 건수도 274만건에서 237만건으로 소폭 감소했다.

금융사와 유사한 홈페이지를 만들어 개인정보를 빼내는 피싱 사이트는 4만건 탐지됐다. 피싱 사이트는 2018년 1만8000건에서 1년 만에 5만건으로 대폭 늘었지만 다시 줄어들었다. 링크나 불법 애플리케이션(앱)을 통해 유포되는 악성코드의 분석 건수도 매해 감소추세다. 지난해 3143만건으로 전년 4188만건보다 1043만건(24.9%) 적고, 2018년 4627만건과 비교하면 1484만건(32.0%) 줄어든 수치다.

지난해 금융사를 목표로 했던 대규모 랜섬 디도스는 총 18건으로 모두 방어하는 데 성공했다. 랜섬 디도스란 기업 홈페이지 등을 인질로 삼아 디도스 공격으로 협박하며 비트코인 등의 금전을 요구하는 사이버 공격이다.

금융권 보안역량 높아졌지만 "아직 안심 이르다" 목소리도

침해시도가 전자금융기반시설의 교란이나 마비와 같은 사고로 이어져 금보원의 조사·분석 대상에 오른 사례는 24개였다. 2019년 22개보다 소폭 증가했지만 2018년 32개였던 것에 비해 전반적으로 감소세다.

금융권 전반의 사이버 공격 대응 역량이 높아졌다는 평가다. 금융사들은 자체적인 예산을 투입하며 각종 첨단보안기술을 도입하고 있다. KB국민은행을 비롯한 다수의 금융사는 악성 앱 탐지를 위해 ‘페이크파인더’를 앞다퉈 적용했다. 페이크 파인더는 인공지능(AI) 기술로 정상 앱(화이트리스트)을 벗어난 앱을 전부 적발한다. 신한은행과 토스는 해커가 앱을 위·변조하거나 해킹할 수 없게 막는 ‘앱수트’를 탑재했다. 하나은행의 경우 자체적인 보안 코드를 적용해 암호화를 구현하는 ‘화이트박스’를 적용 PIN번호나 QR코드의 탈취 자체가 불가능하다.

금보원에서는 범금융권 보이스피싱 사기 정보 공유체계를 마련하고, 이상금융거래정보 공유시스템과의 연동을 추진했다. 국내 189개 금융사를 대상으로 534회의 침해사고 대응훈련을 하고, 73개사와 비상대응센터를 연동시켰다.

금보원 자체 공격 비상대응센터와 클라우드 디도스 대피소를 연계한 디도스 공격 대응 체계도 구축 운영 중이다. 금융사가 자체적으로 대응하기 어려운 규모의 트래픽을 우회시키며 방어해낸다. 해당 체계를 이용하면 최대 5테라(Tbps)급 대용량 디도스 공격까지 막아낼 수 있다.

다만 안심하기 이르다는 지적도 있다. 건수가 줄어들었을 뿐 표적이 정교화됐고 해커 그룹의 변종공격 가능성도 있기 때문이다. 금보원도 임직원 계정 유출과 가상시설망 장비 공격, 소프트웨어 공급망 공격 등이 새로운 위협이 됐다고 분석한 바 있다. 금보원 관계자는 "디도스 공격의 경우 주로 홀수 연도에 많이 일어나는 경향이 있다"며 "현재 규모가 커지는 추세"라고 경고했다.

금융사와 기관의 방어역량은 늘었지만 금융소비자를 대상으로 한 ‘스미싱’이 여전히 활개 치는 것도 문제점이다. 최근에는 코로나19 상황을 이용한 전화와 문자가 기승을 부리고 있다. 특히 상품신청을 위한 자격조건과 구체적인 방식 및 금리까지 상세히 적혀있어 소비자들이 피싱 여부를 판단하기 어려운 만큼 각별한 주의가 필요하다.

송승섭 기자 tmdtjq8506@asiae.co.kr