금융·공공기관 집중 표적, '다층 해킹' 무방비 상태

빗썸·KB국민은행 등 주요 기관 연쇄 침해로 수만 명 정보 유출
북한 APT38과 중국 AI 해킹 도구가 동시 다발적 공격, 국가 사이버 안보 위기 심화
기업들의 내부 보안과 망 분리 체계 허점 노출

---

연쇄 침해로 드러난 보안의 '빅뱅'

지난달 27일 국내 주요 금융·공공기관들이 동시다발적 해킹 피해를 입으면서 사이버 안보 체계의 근본적 허점이 드러났다. 가상자산거래소 빗썸의 사내 모바일 그룹웨어 해킹은 단순한 내부 정보 유출을 넘어, 직원 신원 정보가 또 다른 공격의 디딤돌이 될 수 있다는 위협을 드러냈다.

더 심각한 것은 KB국민은행의 피해 규모 급증이다. 초기 119명에서 2210명으로 18배 이상 증가한 통계는 기업들이 자신의 침해 규모조차 제대로 파악하지 못하고 있음을 의미한다. 이는 개인정보보호법상 통지·공표 의무 위반의 신호탄이면서 동시에 2차, 3차 피해 확산의 신호다.

국가 기반 해킹 조직의 정교한 공격 패턴

이번 사건의 가장 심각한 점은 북한 APT38과 중국산 AI 해킹 도구가 동일한 시기에 한국의 금융·공공기관을 집중 표적으로 했다는 것이다. APT38은 미래에셋생명을 시작으로 금융기관 16곳을 피싱과 웹셸 공격으로 침해, 약 10만 명의 개인·신용정보를 탈취했다.

이는 단순 해킹이 아닌 '고도화된 지속적 위협(APT)' 전략이다. 피싱메일로 임직원 계정을 탈취하고, 내부 네트워크에 웹셸을 심어 지속적 접근 권한을 유지하는 방식은 ISMS-P 감사에서 자주 적발되는 '취약한 접근 제어'의 결과다.

동시에 중국산 AI 해킹 도구가 공공기관과 대기업을 겨냥한 대량 정보 탈취는 자동화된 공격의 위험성을 보여준다. 과거 수동적 해킹에서 벗어나 AI 기반 자동 스캔·침투 도구가 방어체계를 우회하고 있는 상황이다.

공통 패턴: 내부 접근 제어 실패

세 사례의 공통분모는 '내부자 또는 내부 계정의 악용'이다.

• 빗썸: 사내 그룹웨어(내부 시스템) 직접 침해
• KB국민은행: 임직원 460명 정보 유출 = 직원 계정 탈취 가능성
• APT38: 피싱을 통한 임직원 계정 탈취 후 웹셸 설치

임직원 인증 강화(MFA), 망 분리 체계, 그룹웨어 등 핵심 내부 시스템의 보안이 최악의 수준이라는 의미다. 특히 모바일 그룹웨어는 VPN 없이도 회사 내부 정보에 접근 가능하도록 설계된 경우가 많아, 해킹 후 '손쉬운 정보 추출'의 통로가 된다.

기업·기관의 대응 방안

1단계: 즉시 조치
- 모든 임직원 계정 비밀번호 강제 변경
- 최근 3개월 내부 시스템 접속 로그 전수 조사
- 피싱 메일 발송자 IP 추적 및 차단

2단계: 구조적 개선
- 다요소 인증(MFA) 의무화 (특히 VPN, 그룹웨어)
- 망 분리 강화: 임직원 업무망 ↔ 고객정보망 완전 분리
- 웹셸 탐지 솔루션 도입 (웹방화벽 강화)

3단계: 법적·운영적 책임
- 개인정보보호위원회 처분 대비 (과징금 최대 3억 원)
- 고객 신용모니터링 서비스 무상 제공
- 임직원 정보보안 교육 강화 (CPPG 컴플라이언스)

---

📌 CPPG/ISMS-P 시험 연계 포인트

[접근 제어 & 로깅 감시] - 자주 출제되는 영역

이번 사건은 ISMS-P 인증기준의 '6.2 접근 제어' 및 '7.4 로깅·감시' 항목의 중요성을 재증명했다.
- ✅ 임직원 계정에 대한 강화된 인증 (다요소 인증)
- ✅ 내부 시스템 접근 기록의 암호화 저장 및 위변조 방지
- ✅ 의심 접속 패턴 자동 탐지 (AI 활용)
- ✅ 정기적 접근권한 재검토(3개월 주기)

기출 예상 문제: "금융기관의 임직원 계정이 해킹될 경우, 가장 먼저 적용해야 하는 접근 제어 수단은?"
답: 다요소 인증(MFA)과 동시 접속 감시

---

결론: 더 이상 '방어만으로는 부족'한 시대다. AI 기반 위협에 대항하려면 AI 기반 탐지 시스템과 함께 '영점(Zero Trust) 아키텍처' 도입이 시급하다.