금융권 해킹 수사팀 43명 확대…AI 도구 대화기록이 단서

해외발 해킹은 공격 근거지가 해외 인터넷주소(IP)로 확인되거나 추정되는 사이버 공격을 뜻한다. 시중은행 개인정보 유출에 이어 저축은행과 캐피탈사까지 공격 범위가 커진 가운데, 경찰이 수사 규모를 확대하며 배후 추적에 속도를 내고 있다.

경찰 수사팀 28명서 43명으로…포렌식·국제공조 인력 투입

경찰청 국사수사본부는 9일 언론 설명자료를 내고 기존 28명이던 금융기관 해킹 수사팀을 43명으로 늦렸다고 밝혔다. 디지털 포렌식과 국제공조를 담당하는 전문 인력 15명이 보강된 것이다.

경찰은 관련 자료를 확보하고 피해 시스템을 분석 중이라며, 공격 서버를 차단하는 등 국제공조수사도 병행하고 있다고 설명했다. 수사는 지난 1일 입건 전 조사에 들어간 뒤 본격화됐다. 연합뉴스 보도

공격 서버의 AI 코딩 도구 대화기록…중국 광둥성 26세 지목

배후를 둘러싼 단서도 나왔다. 미국 사이버보안 기업 크라우드스트라이크가 공격자 서버에서 확보한 생성형 AI 코딩 도구 클로드 코드의 대화 기록을 분석해, 중국 광둥성에 거주하는 26세 인물이 공격에 관여했을 가능성을 제기한 것이다.

다만 이 인물은 이번 해킹과의 관련성을 부인한 것으로 알려졌다. 공격자들이 IP를 바꾸거나 가상사설망(VPN)으로 신분을 숨기는 탓에 추적이 쉽지 않다는 게 수사 당국의 설명이다.

3년간 해외발 해킹 18건 중 배후 확인은 2건뿐

이번 수사가 어려운 이유는 통계로도 확인된다. 국회 정무위원회 송언석 의원이 금융감독원에서 받은 자료에 따르면 2024년부터 이달 8일까지 약 2년9개월 동안 국내 금융사에서 발생한 해외발 해킹 추정 사고는 18건이다.

이 가운데 공격 주체가 확인된 사례는 2건, 11.1%에 불과하다. 13건은 도메인 조회나 보안장비 탐지 과정에서 공격 근원지가 해외로 추정됐을 뿐이고, 3건은 배후를 가늠할 수 없어 해외국가 미상으로 분류됐다. 중국발로 추정된 사건에는 약 297만 명의 고객 데이터가 샜던 롯데카드 사태와 SC제일은행, KB라이프생명 사고 등이 포함됐다.

확인된 2건은 모두 랜섬웨어…SGI서울보증·바로저축은행

배후가 밝혀진 2건에는 공통점이 있다. 공격자 스스로 모습을 드러낸 경우라는 것이다. 작년 7월 SGI서울보증 서버 감염 사건은 국제 랜섬웨어 조직 건라의 소행으로 파악됐다. 이 사건으로 서비스가 약 64시간 마비됐고 회사는 고객에게 1191만원을 배상했다.

올해 4월 바로저축은행 침해 사고는 랜섬웨어 그룹 INC 랜섬이 직접 금전을 요구하면서 주체가 특정됐다. 전자금융업과 온라인투자연계금융 업권에서도 같은 기간 12건의 해외발 해킹 중 범인이 밝혀진 것은 엑심베이 분산서비스거부공격 사건 등 1건뿐이었다.

중수청 이첩 전까지 수사 공백 없다…AI 방어체계 구축 주문도

이번 사건은 지난 2일 출범한 중대범죄수사청으로 이첩될지 여부에도 이목이 쏠린다. 경찰청은 이첩되더라도 그 순간까지 수사 공백이 없도록 철저하게 피의자를 추적하겠다고 강조했다. 관할이 명확히 정해지는 만큼 사건을 서로 미루는 이른바 핑퐁은 없을 것이라는 설명이다.

대책 논의도 이어진다. 송 의원은 공격자가 IP를 우회·위장하는 만큼 해외 IP만으로는 공격 주체를 특정하기 어렵다며, AI 기반 방어체계와 공격 경로 식별 기술 개발이 시급하다고 지적했다.