정진완號 우리은행, 해킹 피해 없었던 배경은…ODS·WON인증·LTE망 '3중 방어' [금융안전망 점검]

[한국금융신문 지다혜 기자] 금융권을 겨냥한 연쇄 해킹이 이어지는 가운데 우리은행과 NH농협은행은 현재까지 정보유출 피해가 확인되지 않았다. 이번 공격이 외부 업무지원 시스템을 집중 공략하면서 인증·접근통제와 시스템 노출 범위의 차이가 은행별 피해 여부를 가른 주요 변수로 지목된다.

우리은행은 영업지원시스템(ODS)의 외부 접근을 제한하는 인증·통신 구조를 갖추고 있고, 농협은행은 대출모집인용 별도 외부 지원시스템을 두지 않는다. 두 은행은 접속 기록 모니터링과 행위 기반 분석 등 이상징후 탐지 체계도 운영해 왔다.

전문가들은 AI가 취약점 탐색 속도와 범위를 키운 만큼 핵심망뿐 아니라 외부 지원망에도 강한 인증과 접근통제를 적용해야 한다고 진단한다.

외부 지원망 노린 연쇄 해킹

이번 연쇄 해킹에서는 은행의 핵심 금융거래 시스템보다 업무 과정에서 외부와 연결되는 지원시스템이 주요 공격 지점이 됐다.

신한은행에서는 대출모집인 전용 모바일 홈페이지를 통해 고객 2만5700여명의 정보가 유출됐다. KB국민은행은 직원용 업무지원 시스템에서 119명, 하나은행은 영업지원시스템(ODS)에서 89명의 고객·임직원 정보가 빠져나갔다. BNK부산은행에서도 외주 개발직원 11명의 정보가 유출됐다. 반면 우리은행과 농협은행에서는 유사한 해킹 접근이 있었지만 현재까지 정보유출 피해가 확인되지 않았다.

신한·국민·하나은행에서 피해가 발생한 곳은 대출모집인이나 직원 등이 업무상 이용하는 지원 영역이라는 공통점이 있다. 핵심 뱅킹시스템을 직접 겨냥하기보다 외부에 노출된 시스템의 인증·접근통제 취약점을 파고든 것이다.

우리, ODS·WON인증으로 차단

우리은행은 타행의 개인정보 유출 사고를 인지한 직후 윤태진 정보보호최고책임자(CISO) 주관으로 긴급 대응체계를 가동했다. 공격에 사용된 것으로 의심되는 IP를 대상으로 전수 점검과 영향도 분석을 실시하고 확인된 의심 IP는 선제적으로 차단했다.

과거 해당 IP의 접근 시도 이력과 정보유출 여부도 조사했다. 현재까지 특이 사항은 확인되지 않았다는 게 우리은행의 설명이다. 추가 공격 의심 IP가 확인되면 즉시 접근 이력을 분석하고 차단하도록 이상징후 모니터링도 강화했다.

대출모집인이 이용하는 시스템의 접근 방식에서도 차이가 있다. 우리은행은 관련 정보를 지정 ODS 태블릿 단말기에서 입력하도록 하고 시스템 로그인 때 WON인증서를 통한 스마트폰 인증을 거치도록 했다. ODS 단말기는 일반 인터넷망이 아닌 LTE망으로 통신한다.

우리은행 관계자는 "관련 정보는 ODS 태블릿 단말기를 통해 입력하도록 하고 있다"며 "시스템 로그인 과정에서도 WON인증서를 통한 스마트폰 인증 절차를 거쳐야 접속할 수 있어 일반적인 외부 환경에서는 로그인이 어려운 구조"라고 설명했다.

이어 "ODS 단말기와 WON인증 등 기존 인증·접근통제 체계가 외부의 비인가 접근을 제한하는 데 일정 부분 기여하고 있는 것으로 볼 수 있다"며 "통신망 자체에 대한 침해 가능성 등을 포함해 관련 보안 위협은 지속적으로 모니터링하고 있다"고 말했다.

사고 이후에는 방어 측에서도 AI 활용을 확대했다. 우리은행은 추가 공격 대상이 될 수 있는 서비스를 찾아내기 위해 보안기업 티오리의 고성능 AI 기반 취약점 점검 솔루션 '진트(Xint)'와 자체 개발 점검 도구를 병행해 취약점을 살피고 있다.

정진완號 우리은행, 해킹 피해 없었던 배경은…ODS·WON인증·LTE망 '3중 방어' [금융안전망 점검]

농협, 외부지원시스템 최소화

농협은행도 현재까지 이번 공격에 따른 정보유출은 확인되지 않았다. 농협은행이 파악한 공격은 특정 업무지원 시스템 한 곳을 겨냥했다기보다 농협 전산망에 대한 해킹 접근이었다.

구조적으로는 대출모집인이 사용하는 별도의 외부 지원시스템을 운영하지 않는다. 이번 사고에서 대출모집인·직원 등이 이용하는 외부 연결 지원시스템이 주요 공격 대상이 된 것과 비교하면 외부에 노출되는 업무 접점에서 차이가 난다.

농협은행 관계자는 "농협은행은 대출모집인이 사용하는 외부 지원시스템이 없다"며 "인증받은 보안전문기업과 함께 농협 전산망의 취약점을 찾기 위해 정기·수시로 다양한 점검을 수행하고 있으며 관련 결과를 금융당국에도 보고하고 있다"고 말했다.

기존 보안관제도 정상 사용자로 위장한 공격을 찾아내는 방향으로 고도화해 왔다. 정태영

정태영기사 모아보기 농협은행 정보보호최고책임자(CISO)는 앞서 본지와의 인터뷰에서 개별 보안 이벤트만 확인하는 방식에서 벗어나 사용자·계정·시스템 간 연관관계를 분석하는 '행위 기반 분석(Behavior Analytics)'에 중점을 두고 있다고 밝혔다.

사용자와 단말, 서버의 움직임을 함께 분석해 평소 정상 패턴에서 벗어난 행위를 조기에 식별하는 구조다. 정 부행장은 당시 "AI를 활용한 공격이 증가하는 환경에서는 AI 기반 방어 역량 확보가 금융권 보안 수준을 좌우할 것"이라고 내다봤다.

우리 '역할 분담'·농협 '통합 관제'

두 은행은 정보보호 조직 운영 방식에서도 차별화된 체계를 갖추고 있다.

우리은행은 윤태진 CISO가 이끄는 정보보호본부가 보안 정책과 전략을 총괄하고 우리금융그룹 IT 전문 자회사인 우리FIS가 기술적 운영을 담당한다. 우리FIS는 지주·은행·카드 등 그룹 계열사의 보안시스템을 통합 운영한다. 정보보호본부가 정책과 통제 기준을 세우고 IT 전문조직이 실제 시스템 운영을 뒷받침하는 구조다.

접근통제는 사용자 단위까지 세분화했다. 우리은행은 2025년 구축한 개인정보 접속 기록 관리시스템을 통해 180여개 개인정보처리시스템에서 발생하는 모든 접속 활동을 통합 모니터링하고 이상 접속을 확인·검증한다.

주요 서버에 접속하는 PC에는 모니터 카메라와 안면 인식 기술을 활용한 '지속 인증' 체계도 구축하고 있다. 최초 로그인 때만 사용자를 확인하는 데 그치지 않고 업무 수행 과정에서도 정당한 사용자인지 확인한다. 최소권한 원칙에 따라 업무에 필요하지 않은 권한도 적시에 회수한다.

농협은행은 정태영 정보보호부문 부행장이 CISO와 개인정보보호책임자(CPO), 신용정보관리·보호인(CIAP), 고객정보관리인을 함께 맡는 '통합 정보보호 컨트롤타워' 체계를 운영한다. 사이버 침해와 개인정보 관련 이슈를 하나의 책임체계에서 판단해 위기 상황에서 의사결정과 초동대응 시간을 줄이는 방식이다.

지역 조직과 해외법인까지 계정 및 권한관리(IAM), 보안관제(SOC), 취약점 관리, 침해사고 대응도 중앙에서 통제한다. 최소권한 원칙에 따라 업무에 필요한 범위에서만 권한을 부여하고 특권계정과 중요정보 접근을 별도로 관리한다. 개인정보 대량조회와 반출 행위도 집중 모니터링하고 있다.

AI가 키운 취약점 탐색 속도

이번 공격의 특징은 AI가 완전히 새로운 해킹 수법을 만들어냈다기보다 기존 공격 과정의 속도와 범위를 크게 넓혔다는 데 있다. 사람이 직접 외부 노출 시스템을 찾고 취약점을 확인하던 과정을 AI로 자동화하면서 짧은 시간에 더 많은 시스템을 공격 대상으로 탐색할 수 있게 된 것이다.

염흥열 순천향대학교 정보보호학과 명예교수 겸 한국개인정보보호책임자협의회(KCPO) 회장은 "피해를 입지 않은 금융회사는 강한 인증과 접근 통제가 적용됐을 것으로 보인다"고 말했다. 특히 일부 지원시스템에서 충분한 인증 과정 없이 정보조회가 이뤄질 경우 공격자가 파고들 수 있는 취약지점이 될 수 있다고 지적했다.

AI를 활용하면 취약점을 찾아내는 시간도 크게 줄어든다. 염 교수는 "인간이 찾았던 취약점을 AI가 신속하고 광범위하게 찾아 줄 수 있다"며 "AI를 이용하면 공격자가 취약점을 찾기 위한 시간이 크게 단축되고 공격 방법까지 알려준다"고 설명했다.

이에 따라 보안관리 범위 역시 핵심 금융망에서 외부 지원망까지 넓어지고 있다. 대출모집인이나 임직원 등이 사용하는 업무지원 시스템에도 인증과 접근권한을 촘촘하게 적용하고 취약점 발견 이후 빠르게 보완하는 체계가 요구된다.

염 교수는 "이러한 공격에 대응하기 위해서는 신속한 취약성 패치가 가능한 보안 거버넌스의 강화가 요구된다"며 "지원망에 대한 인증 등 보안 대책의 수준도 강화할 필요가 있다"고 강조했다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com