5대 은행 모두 AI 기반 크리덴셜 스터핑 공격받았지만…
우리·NH농협은 패스워드리스(Passwordless)·다중인증(MFA)이 원천 차단
전문가 "AI는 '인증 공백' 찾았을 뿐… 임직원·협력사 시스템도 예외 없이 보안 적용해야"
[IT News] 최근 국내 5대 시중은행을 겨냥한 금융 해킹 공격이 잇따른 가운데, 은행별 보안 체계 구축 여부에 따라 피해 향방이 크게 엇갈린 것으로 나타났다.
신한은행(약 2만 5,000명), KB국민은행(119명), 하나은행(89명) 등에서 고객 정보가 유출된 반면, 동일한 방식의 공격을 받은 우리은행과 NH농협은행에서는 현재까지 단 한 건의 정보 유출도 확인되지 않았다. 금융권에서는 이번 결과에 대해 "첨단 보안 기술의 도입 유무보다 '예외 없는 보안 원칙'을 적용했는지가 성패를 갈랐다"는 분석이 나온다.
핵심 거래망 아닌 ‘업무지원 시스템’ 노려… 4회 제한 헛점 악용
세간을 뜨겁게 달군 'AI 해킹'이라는 표현과 달리, 실제 공격 수법은 내부 직원과 협력업체의 계정 정보 허점을 노린 다분히 클래식한 방식이었다. 공격 대상 역시 모바일뱅킹 등 핵심 금융거래 시스템이 아닌 직원과 대출모집인이 사용하는 업무지원 및 조회 시스템에 집중됐다.
신한은행의 경우 대출모집인이 ID와 비밀번호만으로 접근할 수 있는 정보 조회 서비스가 공격을 받았으며, 금융당국 역시 본인확인 절차 누락, 직원용 모바일 단말 접근통제 미비 등 임직원 및 협력사가 사용하는 시스템의 인증 허점을 이번 사고의 주요 원인으로 지적했다.
업계에서는 이번 사건을 다크웹 등에서 유출된 계정 정보를 대량으로 입력해 로그인을 시도하는 '크리덴셜 스터핑(Credential Stuffing)' 공격으로 보고 있다.
특히 공격자들은 현행 전자금융감독규정상 비밀번호를 일정 횟수(5회 이내) 이상 틀리면 거래가 중단된다는 점을 능숙하게 악용했다. 정상적인 직원도 로그인 시 실수할 수 있는 범주인 '4회'까지만 비밀번호 대입을 시도한 뒤, 실패하면 다음 계정으로 넘어가 이상 탐지 시스템(FDS) 및 계정 잠금 매커니즘을 유연하게 우회한 것이다.
고객에게는 생체인증과 OTP 등 강력한 인증 체계를 요구하면서 정작 내부 업무시스템에는 비밀번호 단독 로그인 방식을 남겨둔 보안 공백이 화를 불렀다는 지적이다.
뚫리지 않은 두 은행의 공통점: '패스워드리스'와 '국제표준 MFA’
박상원 금융보안원장은 피해 여부를 가른 결정적 요인으로 '다중인증체계(MFA, Multi-Factor Authentication)'의 철저한 구축을 꼽았다. 아이디와 비밀번호 외에 생체인증이나 자동 패스워드 등 추가적인 인증 절차를 의무화했는지가 보안의 성패를 갈랐다는 설명이다.
정보 유출을 차단한 우리은행과 NH농협은행은 내부 업무시스템 로그인 과정에 국제전기통신연합(ITU-T) 표준 기반의 생체인증(X.1277) 및 자동 패스워드(X.1280) 방식을 적극 활용하고 있다. 두 방식의 핵심은 "사용자가 기억해서 직접 입력하는 비밀번호 자체가 존재하지 않는다"는 점이다.
FIDO 기반 생체인증 (ITU-T X.1277)은 임직원이 로그인 시 PC에 연결된 지문이나 정맥 인식 센서 등을 통해 생체정보를 인증하는 방식이다. 비밀번호 자제가 존재하지 않으므로 대입 공격 자체가 불가능하다.
자동 패스워드 (ITU-T X.1280)은 사용자가 ID를 입력하면 시스템이 일회성 자동 패스워드를 생성하여 화면과 사용자의 스마트폰에 동시에 제시한다. 사용자는 스마트폰의 생체인증을 통해 두 값이 일치하는지 확인 및 승인하기만 하면 된다. 별도의 전용 PC 센서 없이도 높은 보안성을 제공하는 경제적 장점이 있다.
이들 국제표준 기술이 적용된 환경에서는 사람이 기억하는 고정 비밀번호가 없기 때문에 공격자가 다크웹 등에서 확보한 비밀번호를 대입할 접점 자체가 차단된다. 아무리 빠른 성능을 자랑하는 AI 공격자라 할지라도, 대입할 대상(비밀번호)이 없고 승인된 기기에서 실사용자의 생체인증 승인이 이뤄지지 않으면 시스템에 진입할 수 없다.
보안의 완성은 '단 하나의 예외도 허용하지 않는 것'
전문가들은 이번 사태가 고도의 첨단 기술 도입보다 '보안 원칙의 예외 없는 적용'이 얼마나 중요한지를 단적으로 보여준 사례라고 입을 모은다.
아무리 우수한 생체인증 및 다중인증 시스템을 갖추고 있더라도, 단 하나의 외곽 업무시스템이나 단 한 명의 협력사 직원에게 비밀번호 기반 로그인을 예외적으로 허용해둔다면 공격자는 그 틈새를 정확히 파고든다는 이유에서다.
금융업계 한 관계자는 "대형 은행의 경우 임직원과 외주 협력사, 업무 지원 시스템의 수가 수만 개에 달해 일관된 보안 수준을 유지하기가 쉽지 않다"며 "피해를 입은 은행들도 생체인증 등을 도입했으나 일부 비중요 시스템이나 사용자가 대상에서 누락되었던 반면, 방어에 성공한 은행들은 협력사를 포함한 내부 전체 시스템에 패스워드리스 MFA 원칙을 '예외 없이' 지킨 차이가 있다"고 설명했다.
이어 "AI 공격 기술이 대단해 보이지만 결국 사람보다 빠르게 빈틈을 찾고 정상 사용자처럼 위장해 로그인했을 뿐"이라며 "고객 보안 수준에 맞춰 내부 임직원과 협력업체 시스템에도 동일한 고강도 인증 체계를 예외 없이 적용하는 철저한 기본기 확립이 시급하다"고 강조했다.
김한비 기자 itnews@
