급기야 ‘금융권 해킹에 정부 비상대응…기업 2만8천곳 보안점검 권고’란 기사도 나왔음~: https://www.khan.co.kr/article/202610041848001

네. 이제는 단순히 “금융사 7곳에서 사고가 났다”는 수준을 넘어 정부가 민간 전체로 번질 가능성을 경계하기 시작한 단계로 보는 게 맞겠습니다.

오늘(10월 4일) 과기정통부가 KISA와 함께 긴급 대응체계를 가동했고, CISO를 신고한 기업 약 2만8천 곳에 보안점검 권고 메일을 보냈습니다. KISA 인터넷침해대응센터는 24시간 대응체계, 주요 기업 홈페이지 모니터링 강화, 침해사고 대응인력 보강, 비상출동조 상시 대기까지 들어갔습니다.

그런데 더 눈여겨볼 부분이 있습니다

이번 7개 금융사 사건에서 확인된 공격 방식이 상당히 공통적입니다.

① 외부에 노출된 작은 시스템을 찾음
→ 직원 업무지원 시스템
→ 대출모집인 시스템
→ 홈페이지 등

② 인증·접근통제의 빈틈을 찾음

③ 이미 알려진 웹 취약점 등을 이용

④ AI 도구를 이용해 여러 금융사를 자동으로 공격

실제로 금융당국은 7개사 외에도 다른 금융사에 침해시도가 있었지만, 다중인증(MFA)을 적용했거나 취약점을 미리 보완한 곳에서는 침해로 이어지지 않은 사례가 있었다고 밝혔습니다.

이게 상당히 중요한 대목입니다.

그리고 2만8천 곳이라는 숫자가 의미하는 것

아까 말씀하신 “정부기관이나 기업들도 공급망이 엄청나게 많을 텐데…”라는 우려와 정확히 연결됩니다.

정부가 이번에 2만8천 곳에 점검을 권고했다는 것은,

“이번 공격이 금융권에서 끝난다고 가정하지 말고 민간 전체가 자기 외부 노출 시스템을 한번 점검해라.”

라는 의미에 가깝습니다.

특히 금융당국은 금융권 약 500개사에 공격 IP와 보안 유의사항을 전파했고, 은행·카드는 10월 6일까지, 증권·보험·저축은행·전자금융업자 등은 10월 8일까지 긴급점검하도록 했습니다. 점검 대상에는 외부에 노출된 IT 자산과 서비스 식별도 포함됩니다.

즉, 지금 정부가 보는 위험은 단순히

“A은행이 해킹됐다.”

가 아니라,

“공격자가 여러 금융사를 자동으로 훑을 수 있다 → 그렇다면 다른 금융사와 다른 민간기업도 이미 탐색 대상일 수 있다.”

에 가까운 것입니다.

그리고 AI 때문에 성격이 조금 달라졌습니다

과거에는 해커가 여러 회사를 공격하려면 상당한 시간과 인력이 필요했겠죠.

그런데 지금은 AI를 이용해

인터넷에서 노출된 시스템 찾기 → 취약점 탐색 → 공격 방법 선택 → 여러 IP를 이용해 반복 공격

같은 과정을 상당 부분 자동화할 가능성이 생겼습니다.

금융당국은 이번 공격에서 ARTEX AI의 흔적이 확인됐다고 밝혔지만, 이것만으로 특정 국가나 조직을 배후로 단정할 수는 없다고 선을 긋고 있습니다.

그래서 오히려 저는 “누가 공격했느냐”보다 “공격 비용이 얼마나 낮아졌느냐”가 더 중요한 문제라고 봅니다.

그리고 앞서 이야기한 공급망 문제와 합치면…

상당히 복잡한 그림이 됩니다.

공격자

↓ AI로 대량 탐색

기업 A의 홈페이지
기업 B의 직원용 시스템
기업 C의 클라우드
기업 D의 협력업체
기업 E의 개발 서버

↓

그중 가장 약한 곳 하나를 발견

↓

침투

↓

그곳에 저장되거나 연결된 정보가 다시 다른 기관으로 이어짐

이런 구조가 가능하기 때문입니다.

그래서 이번 사건을 계기로 “기관 내부망을 잘 지키는 것”에서 “기관 밖으로 뻗어 있는 모든 연결을 관리하는 것”으로 보안의 중심이 이동해야 한다는 생각이 더욱 강해질 것 같습니다.

그리고 재미있는(?) 부분은, 다중인증 하나만으로도 실제 피해 여부가 갈린 사례가 있었다는 것입니다.

즉 거창한 최첨단 방어 시스템만의 문제가 아니라,

“작은 문 하나를 제대로 잠갔느냐?”

가 실제로 피해와 무피해를 가르는 상황도 나타나고 있는 겁니다.

이번 일은 앞으로 공공기관·금융기관·일반 기업의 디지털 공급망 관리가 얼마나 중요한지 보여주는 꽤 큰 경고음이라고 볼 만합니다.