### 금융권 신규 해킹 위협 '동시다발'…인증만으로는 무방비

금융기관들이 중국발 해킹 도구와 AI 기반 공격에 동시 노출되고 있다. ISMS-P 인증을 받은 기관들마저 200건 이상 침해당하면서 기존 보안체계의 한계가 여실히 드러났다.

---

본문

1. 다층 해킹 위협의 실상

금융권을 겨냥한 해킹 공격이 단순 침입 수준을 넘어섰다. 중국발 해킹 도구 ARTEX와 AI 크리덴셜 스터핑이라는 두 가지 공격 기법이 동시에 활용되면서 기관별로 200건 이상의 침해사고가 연쇄 발생하고 있다.

ARTEX는 이미 알려진 취약점을 자동화된 방식으로 악용하는 도구다. 이는 대규모 금융기관을 광범위하게 스캔하고 침입점을 찾는 데 효율적이다. 반면 AI 크리덴셜 스터핑은 기계학습을 기반으로 사용자 비밀번호 패턴을 분석해 대량의 로그인 시도를 감행한다. 기존 방어 시스템으로는 정상 접근과 악의적 접근을 구별하기 어렵다는 점이 가장 큰 문제다.

2. ISMS-P 인증 기관도 피하지 못한 침해

부산은행·KT 등 ISMS-P 인증을 보유한 주요 금융·통신사들이 연쇄 침해당했다는 점은 극히 심각하다. ISMS-P는 정보보안관리체계 인증으로, 기술·관리·물리적 보안조치를 종합 평가하는 국내 최고 수준의 인증이다.

부산은행 사건의 경우 개발자 인증정보가 유출되면서 내부 시스템 접근이 가능해졌다. 이는 개발 단계의 보안 취약점이 적절히 통제되지 못했음을 의미한다.

KT 사건은 더욱 심각하다. 해킹 서버를 임의로 폐기하고 허위 침해 시점을 보고해 개인정보보호법 제75조(보유기간·폐기) 위반 혐의까지 받게 됐다. 단순 침해를 넘어 사후 대응 과정에서 법적 책임을 지게 된 것이다.

3. 공통 패턴과 근본 원인

세 사례의 공통점은 신규 위협에 대한 대비 부족이다:

• 기술 한계: 기존 침입탐지시스템(IDS)과 방화벽은 정상 프로토콜 범위 내 공격에 무방비
• 사람 요소 무시: 개발자·운영자의 접근제어와 감시 부족
• 탐지 지연: AI 기반 공격은 패턴 변형이 빠르고 감지 후 대응까지 시간 소요

결과적으로 보안 인증은 과거의 위협에 최적화돼 있고, 신규 위협에는 대응 속도가 떨어진다는 것이 명확해졌다.

4. 금융기관·기관의 대응 방안

즉각적 조치:
- AI 기반 이상탐지 시스템 도입 (정상 접근 패턴 학습)
- 크리덴셜 스터핑 대응: 다중인증(MFA) 필수화, 로그인 시도 횟수 제한
- 개발 환경과 운영 환경 네트워크 완전 분리

중기 전략:
- 보안 인증 갱신 주기 단축 (현행 3년 → 연 1회 심사)
- 신규 위협 정보 공유 채널 강화 (금융통신보안협의회)
- 침해사고 대응 프로세스 외부감시 체계 도입

준법 강화:
- 개인정보보호법 준수: 침해 발생 시 지체 없는 보고체계
- KT 사건처럼 증거 폐기 시 가중처벌 기준 마련

---

📌 CPPG·ISMS-P 시험 연계

[개인정보보호 기본 원칙 - 신뢰성 확보]

KT 사건은 개인정보보호 일반원칙 중 신뢰성 원칙 위반의 대표 사례다. 침해사고 후 증거를 임의 폐기하고 허위 시점을 보고한 행위는 단순 보안 실패를 넘어 개인정보 처리자의 기본 의무 위반이다. ISMS-P 인증 기관도 법적 책임에서 자유롭지 못하다는 점은 기술 인증만으로는 개인정보 보호가 불완전함을 시사한다.

---

백남정 기자