은행 넘어 증권·거래소까지
금융권 해킹이 은행을 넘어 증권사와 자산운용사, 보험, 가상자산거래소까지 번졌습니다. 대신증권은 고객 3만8,490명의 이름과 이메일, 계좌번호 등 8개 항목이 유출됐다고 밝혔는데요. 지난 17일 비대면 계좌개설 서버에서 비정상 접근 징후가 잡힌 뒤 확인된 피해입니다.
미래에셋자산운용도 외부 IP가 웹 시스템에 접근해 일부 업무용 자료가 새어 나갔습니다. 주민등록번호 같은 고유식별정보와 개인신용정보는 유출되지 않았고 서버에 직접 침투한 흔적도 없다는 설명입니다. 빗썸은 사내 모바일 그룹웨어가 뚫렸고 미래에셋생명은 청약시스템에서 41개 파일이 조회됐습니다. 당국이 파악한 피해 기관은 16곳, 유출된 개인정보는 약 10만 건입니다.
4.3%라는 숫자
공격의 발판으로 지목된 건 전 세계 웹사이트 70%가 쓰는 PHP의 결함입니다. 로그인 없이 서버 명령 창구를 가로챌 수 있는 'PHP2셸' 취약점인데, 국내 PHP 서비스 51만914개 중 패치를 마친 곳은 4.3%인 2만2,027개뿐입니다. 핀란드는 공공 웹사이트를 일시 폐쇄했고 미국은 연방 민간기관에 3일 내 패치를 지시했습니다.
발신지 추적 결과도 만만치 않습니다. 44만 건 규모의 시도가 평양에 등록된 IP에서 나왔고, 보안기업 사이퍼마는 한국어를 쓰는 조직이 PHP 공격을 시뮬레이션하는 정황을 포착해 라자루스 연관 가능성을 제기했습니다. 다만 당국은 북한 IP가 곧 북한 소행은 아니라며 AI 에이전트를 주된 원인으로 꼽았습니다. 한국과 미국, 러시아, 홍콩 등 10개국 IP 37개가 동원된 사례도 확인됐습니다.
대응은 이제부터
정부는 통신 3사와 인터넷데이터센터를 포함한 111개 기관 172곳을 연말까지 집중 점검합니다. 이재명 대통령이 국무회의에서 핵심 시스템 점검을 주문한 데 따른 후속 조치로, 외부에 노출된 서버와 PHP 패치 현황을 체크리스트로 확인합니다. 사이버위기 경보는 '주의' 단계로 올라갔습니다.
금융회사 555곳 가운데 130곳이 보안 미흡 사례를 보였다는 점도 드러났습니다. 이찬진 금융감독원장은 AI 해킹이 비핵심 시설까지 확대된다며 이사회가 직접 나설 것을 요구했습니다. 증시는 이 분위기를 곧바로 숫자로 반영했습니다. 에스피소프트가 상한가를 기록했고 지니언스와 아이씨티케이, 이니텍도 동반 상승했습니다. 사고가 반복될수록 보안 투자 기대는 커지지만, 그만큼 남은 숙제도 뚜렷합니다.