세계 최대 가상화폐 거래소 바이낸스에서 8조 원대 해킹 사건이 발생해 전 세계가 충격에 휩싸인 가운데 프랑스의 한 지방은행도 사이버 공격을 받아 자체 보유 자금 1500억 원을 도난 당하는 사건이 발생했다. 우리나라 소규모 가상자산 거래소도 관리자금이 탈취되는 사건이 보고 되고 있는 상황에서 은행도 대응 방안을 마련해야하는 것 아니냐는 지적이 나온다.
프랑스 은행 크레디 뮈튀엘 아르케아는 4일(현지시간) 해커들이 은행 계좌에 접근해 자금을 외부로 빼돌렸다고 밝혔다고 AFP통신이 전했다. 은행 측은 구체적인 피해 규모를 공개하지 않았으나 현지 매체 르 텔레그람은 탈취된 자금이 약 1억 유로(약 1500억 원)에 달한다고 보도했다. 은행 자체 계좌가 피해를 봤으며 고객 계좌는 안전하다고 은행 측은 설명했다.
바이낸스 해킹과 유사 방법으로 프랑스 은행 털어
이번 공격은 세계 최대 가상화폐 거래소 바이낸스가 당한 해킹과 침입 방식이 매우 유사한 것으로 알려졌다. 프랑스 일간 르몽드에 따르면 해커들은 거래 권한을 가진 제3 자의 컴퓨터를 해킹해 은행 시스템 침투했다. 이후 은행의 자기자본에 접근해 보유 자금 100억 유로 가운데 1억 유로 이상을 빼낸 것으로 전해졌다.
탈취된 자금은 가상화폐로 전환된 뒤 여러 거래소로 분산됐다. 미국 가상화폐 거래소 크라켄은 유럽 은행에서 이례적으로 큰 규모의 자금이 이체되는 것을 감지하고 지난 3일 경보를 발령했으며, 진행 중이던 거래를 차단했다. 해킹의 배후는 아직 명확히 밝혀지지 않았다.
프랑스 금융권에서는 이번 사건이 전통적인 은행 시스템의 취약성을 드러냈다는 우려가 나온다. 한 은행가는 르몽드에 “이는 프랑스와 유럽 금융권 전체에 대한 큰 경고 신호”라며 “전통적인 은행들이 여전히 상당한 위험에 처해 있음을 보여준다”고 말했다.
北해커, 바이낸스 직원 면접해 PC에 악성코드 심어
앞서 지난달 31일 세계 최대 가상자산 거래소 바이낸스에서는 60억 달러 이상의 가상자산 탈취 사건이 발생했다. 북한 해커들은 바이낸스 해킹을 위해 고도의 정교한 다단계 공격을 지난 6월부터 5개월간 단행했다.
공격자들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 벌였다.
북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 엔지니어 B에게 접근해 가짜 채용 절차를 진행하는 사회공학적 공격을 펼쳤다.
2차 면접에서 최고경영자(CEO)로 위장한 인물이 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받도록 했다.
해커들은 지난달 20일 이렇게 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용, A와 엔지니어 C에 대한 제어권을 단계적으로 얻으면서, A가 보유한 프로그램 배포 인증키까지 확보했다.
북한 해커들은 탈취 당일인 29일 C의 컴퓨터에 로그인한 뒤 A의 인증키를 사용해 자신들이 만든 프로그램을 배포, 공격을 감행했다.
37개 금융사 정보유출 47.3만건…10억 탈취도
문제는 우리나라도 안전지대가 아니라는 점이다. 지난 한 달간 국내 금융권을 통틀어 37개사에서 약 47만 3000건의 정보가 유출된 것으로 파악됐다. 자금 탈취 규모는 약 10억 원 수준이다.
금융위원회는 5일 이억원 위원장 주재로 금융감독원·금융보안원과 가상자산·전자금융·온라인투자연계금융업(온투업) 등 전금융권 협회장, 관계부처와 함께 인공지능(AI) 시대 보안체계 혁신을 위한 전 금융권 간담회를 하고 현황을 점검했다.
9월 30일 첫 침해사고 확인 이후 지난 3일까지 총 37개사에서 40건의 침해신고가 있었다. 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신 2개사, 온투업 4개사, 전자금융업 10개사, 가상자산 3개사 등이다.
유출된 정보는 임직원 정보나 고객 성명, 주민등록번호, 계좌번호 등이며, 계좌 비밀번호 등 부정 결제 우려가 있는 정보 유출은 아직 확인되지 않았다고 금융위는 설명했다.
이용자 개인 자금 손실은 없지만 현실화하면 패닉
주로 소규모 가상자산거래소·전금업·온투업에서 관리자금이 탈취됐는데, 인터넷에 연결된 상태에서 디지털자산을 보관하는 핫월렛, 소비성 포인트, 온투업 예치금 등 회사가 관리하는 자금이었다. 다만 개별 이용자의 자금손실이 아직 현실화하지는 않은 것으로 파악 중이다.
당국은 전수점검 과정에서 발견되는 취약점이나 그간 관리 부실에는 즉각적인 보완 조치를 전제로 유연하게 처리하되, 전수점검 이후 침해사고가 발생하는 경우 엄정 조치할 방침이다.
이억원 금융위원회 위원장은 “보안상 위험을 알고도 방치하거나 기본적인 관리조차 소홀히 하고 형식적인 점검과 안이한 대응으로 사고를 초래하거나 피해를 키우는 행태는 용납하지 않겠다”며 “중대한 관리 부실이나 대응 소홀은 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다”고 말했다.