### "S등급도 뚫렸다" 금융권 APT38 동시 침해, 법적 책임 강화로 '안전관리' 필수

북한 해킹조직 APT38의 동시다발 침해로 금융기관 16곳이 피해를 입었다. 보안 등급이 높은 신한은행도 2만 건대의 개인정보 유출 피해를 겪었으며, 대법원은 기업의 안전관리 의무 소홀을 법적 책임으로 규정하며 업계에 경고음을 울렸다.

---

1. APT38의 "PHP 웹셸" 취약점 악용, 16개 금융기관 동시 침해

국내 금융권이 북한 해킹조직 APT38의 대규모 공격에 노출되었다. PHP 웹셸 취약점을 악용한 이번 침해는 금융기관 16곳을 동시에 타격했으며, 약 10만 건대의 개인정보가 유출된 것으로 파악되었다.

특히 주목할 점은 신한은행의 피해다. 신한은행은 6년 연속 S등급(최상위 등급)을 획득한 금융보안의 '모범사례'로 평가받던 기관이었다. 그럼에도 약 2만 건의 개인정보가 유출되었고, 더 충격적인 것은 사이버보안 예산 집행률이 70% 미만에 그쳤다는 점이다. 이는 보안 등급과 실제 예산 집행 사이의 심각한 괴리를 시사한다.

APT38은 이전 '암호화폐 거래소 해킹' 등으로 악명이 높은 조직이다. 이번 PHP 웹셸 공격은 다음과 같은 특징을 보인다:
- 지속적 접근(Persistent Access): 웹셸을 통해 장기간 시스템 접근 유지
- 다단계 공격: 초기 침입 후 내부 네트워크 탐색 및 추가 악성코드 배포
- 대량 데이터 유출: 동시다발 침해로 인한 광범위한 개인정보 탈취

---

2. 대법원의 "안전관리 의무" 판결, 기업 책임 확대

2018년 10월 25일 대법원의 판결은 개인정보보호 체계에 패러다임 전환을 가져왔다.

종전에는 해킹 피해에서 "당사자(해커)의 책임"만 강조되는 경향이 있었다. 그러나 대법원은 정보를 유출한 해커뿐 아니라 안전관리 의무를 소홀히 한 기업도 법적 책임을 진다고 명확히 규정했다.

이 판결의 의미:
- ✓ 기업의 "적극적 보안투자" 의무화
- ✓ 예산 계획 → 예산 집행까지의 투명성 요구
- ✓ 보안 등급 획득 후에도 지속적 개선 필수

신한은행 사례는 이 판결의 중요성을 생생하게 증명한다. S등급을 받았다는 것만으로는 충분하지 않으며, 현실적인 예산 집행과 지속적 보안 운영이 필수 요소임을 보여준다.

---

3. 공통 패턴 분석: "보안 등급의 함정"

두 사례를 관통하는 핵심 문제점:

항목	문제	원인
등급 과신	S등급 획득 후 긴장 완화	1회성 심사 의존
예산-실행 괴리	70% 미만의 집행률	보안투자 우선순위 낮음
기술적 허점	PHP 웹셸 취약점 미처리	정기적 취약점 점검 부족
사후 책임	법적 책임 강화	기업 보안 의식 부족

결론: 보안 등급은 "과거의 성적표"일 뿐, "현재의 방어력"을 보장하지 않는다.

---

4. 금융기관의 실행 전략: "3단계 방어"

금융권이 즉시 추진해야 할 대응책:

① 기술적 대응
- PHP 웹셸 등 알려진 취약점의 즉시 패치
- 정기적 침투 테스트 및 보안 감시 강화
- EDR(Endpoint Detection & Response) 도입

② 조직적 개선
- 보안 예산 집행률 목표 설정 (최소 90% 이상)
- 보안담당부서의 독립성 강화
- 경영진 정보보안 리더십 강화

③ 법적 준비
- 대법원 판결에 따른 안전관리 의무 재점검
- 개인정보 유출 시 대응 매뉴얼 사전 구성
- 피해자 배상 및 신고 체계 정비

---

📋 CPPG·ISMS-P 시험 연계 포인트

"안전관리 의무의 법적 책임화"

• 관련 기준: ISMS-P 2.1 (정보보호 정책 수립), CPPG 4장 (보안요구사항)
• 핵심: 기업은 "보안 등급 획득 후" 지속적인 "예산 집행"과 "취약점 관리"의 의무를 진다
• 시험 대비: 신한은행 사례처럼 "S등급에도 불구한 예산 미집행"은 대법원 판결상 법적 책임 대상이므로, 시험에서는 '등급=안전'의 오류를 지적하고 '지속적 개선'을 강조해야 함

---

마무리

금융권의 이번 피해는 단순한 '해킹 사건'이 아니다. 이는 보안 등급에 안주하지 말고, 법적 책임을 인식하며, **현실적인 보