"원가에 안 잡히는 보안"…금융IT 사업 발주서에 없던 API 관리 작성일 10-07 45 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[SI 구조가 만든 해킹 빈틈 ㊤] 단위 발주·프리랜서로 짓고 떠나는 구조가 공백 키워</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="2Q0zMKCETm"> <figure class="figure_frm origin_fig" contents-hash="606b29bfd04f89031c21e84bb2c3366a125966324e3422aee2810cfb4aa4adf7" dmcf-pid="VxpqR9hDyr" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/07/552796-pzfp7fF/20261007131227232jhkw.jpg" data-org-width="640" dmcf-mid="9JG120kLys" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/07/552796-pzfp7fF/20261007131227232jhkw.jpg" width="658"></p> </figure> <p contents-hash="b3d7ce533ba4b55d581955ebd670099d70ffb918727c41305ddc8bf0f4d9e5e5" dmcf-pid="fMUBe2lwWw" dmcf-ptype="general">[디지털데일리 박재현기자] 은행권 연쇄 해킹의 여파가 IT서비스 업계로 번지고 있다. 핵심 전산망은 철옹성이었다. 문제가된 부분은 대출모집인 조회 서비스, 직원용 업무지원 시스템 같은 주변부였다.</p> <p contents-hash="1fa9ac17e758be0aa41e7d46a35e943e2e991f81b6a5d01c44c6271500dc2d60" dmcf-pid="4RubdVSrlD" dmcf-ptype="general">금융당국은 전 금융권에 외부에 노출된 IT 자산부터 빠짐없이 파악할 것을 주문했다. IT서비스 업계에서는 이 작업이 그동안 SI 발주서에 없던 항목이라는 말도 나온다. 시스템을 짓는 단계에서 응용 프로그램 인터페이스(API) 관리가 빠졌고, 그 공백이 운영 단계까지 이어졌다는 지적이다.</p> <p contents-hash="d5060cb63390504cbc959e4b6c3ff6987f88e8bf663f81f6df0c91bfa2524e82" dmcf-pid="8e7KJfvmlE" dmcf-ptype="general"><strong>◆ 핵심 전산망 대신 '주변부'…업계 "API 인가 결함"도</strong></p> <p contents-hash="d25e9b8e4e9635dc90c31977c69a1a4990542e2be82b89cf326fb5bf55433504" dmcf-pid="6dz9i4Tsvk" dmcf-ptype="general">이번 사고는 고객들이 사용하는 금융거래 시스템 외부에서 터졌다. 신한은행은 대출모집인용 조회 서비스, KB국민은행은 직원용 모바일 업무지원시스템, 하나은행은 영업지원시스템(ODS)이 표적이 됐다. 신한은행에서만 2만5000여명의 정보가 빠져나갔다. KB국민은행은 119명, 하나은행은 89명이다.</p> <p contents-hash="6ebaffbe8ac325d5566a7247628949937e4e9c25c2e29b475383e50a1195b200" dmcf-pid="PP37xbIkyc" dmcf-ptype="general">지금까지 공개된 바에 따르면, 신한은행이 당한 공격 경로는 일부 드러났다. 공격자는 서비스 작동 방식을 분석해 본인확인을 우회했다. 이어 고객 식별 번호 등 조회값을 무작위로 바꿔 가며 반복 입력했다. 확보한 번호로는 전화번호와 연 소득, 대출 한도까지 빼냈다.</p> <p contents-hash="9f871a08327890fd5cdfcbe46df0c3e3900138d0bfdf7e11bceeeca2b3220700" dmcf-pid="QQ0zMKCEhA" dmcf-ptype="general">API 관리 업계는 근본 원인으로 인가 결함을 꼽는다. 요청자와 조회 대상 고객번호의 관계를 서버가 교차 검증하지 않았다는 분석이다. 같은 요청이 대량으로 반복돼도 막히지 않았다. 응답에는 주민등록번호와 연계정보(CI)까지 담겼다.</p> <p contents-hash="7be49e83055406b93b5dd6e38e9658d1f6bcd0bfb72615da7fe116537d34f6f8" dmcf-pid="xxpqR9hDhj" dmcf-ptype="general">업계는 AI의 역할을 공격 속도를 높인 도구로 본다. 뚫린 곳은 결국 API의 인증·인가·호출 통제였다는 판단이다. 외부 노출 자산 관리, 권한 검증, 호출 제한, 응답 데이터 범위는 모두 구축 단계에서 정해진다.</p> <p contents-hash="e40fe83e20b8924ad623e639ba219c72d3707bc33045e91af22783f833836266" dmcf-pid="yyjDYs4qSN" dmcf-ptype="general"><strong>◆ API 인벤토리·폐기 계획은 '별도 비용'…발주서 밖으로</strong></p> <p contents-hash="38cd48b905530465e7eee44fb5123ccf7827e618709b6255b15c36f896fdd1fa" dmcf-pid="WWAwGO8BSa" dmcf-ptype="general">금융당국의 요구는 구축 현장에서 빠져 있던 작업과 겹친다. 금융위원회는 지난 4일 긴급 점검회의에서 외부접점과 인증·접근통제, 침해 탐지체계를 전면 재점검하라고 지시했다. 대고객 서비스가 아니어도 임직원이 업무상 쓰는 외부 접점은 모두 점검 대상이다. 업무상 필요 이상으로 정보가 보관·조회되는 점도 사각지대로 짚었다.</p> <p contents-hash="c9ade56d3a23243a647db15cd67866f57fe1ce9afe84088288170dcab9685658" dmcf-pid="YYcrHI6bSg" dmcf-ptype="general">자산 목록이 없으면 점검도 어렵다. API 관리 기업의 한 관계자는 운영 이관 이후 필요한 API 인벤토리, 보안 정책, 폐기 계획이 별도 비용 항목이라 추가 투자를 받기 어렵다고 말했다. 그는 "현재 금융권은 API 자체가 취약한지 모르는 상태에 가깝다"고 표현했다.</p> <p contents-hash="bd7594c6f935994a77a7123fa53fc2a24be6e495d461471b0f2e27ebddfd28ba" dmcf-pid="GGkmXCPKTo" dmcf-ptype="general">이러한 양상은 금융 SI 사업 발주 구조도 한 몫한다. 통상 금융 시스템 SI 사업에서 기존 API 구축이 기능 단위로 발주되고, 검수도 동작 확인 수준에서 끝났을 것으로 봤다. 서비스 연결에만 무게를 뒀고, 인증·인가·호출 제어는 설계에서 빠졌다는 설명이다. API가 얼마나 쓰이는지, 누가 호출할 수 있는지는 아무도 보지 않았다.</p> <p contents-hash="d08ae11893f8f56d88ff1803438065aea8dbfb2a9b0aa3407d654ee16bf7803e" dmcf-pid="HHEsZhQ9SL" dmcf-ptype="general">특히 금융 SI 시장의 구조적 한계가 보안 설계를 가로막는다는 지적이 나온다. IT서비스 기업 관계자는 "금융사 RFP는 단위 프로세스와 데이터 기능 위주로 기능점수(FP)를 산출해 예산을 책정하기 때문에, API 인벤토리 매핑이나 세분화된 인가 통제 같은 비기능 보안 아키텍처는 별도 공수(M/M)로 인정받기 어렵다"며 "수주 경쟁이 치열한 상황에서 원가에 잡히지 않는 비기능 보안 설계를 선제적으로 제안해 넣기는 현실적으로 불가능한 구조"라고 말했다.</p> <p contents-hash="1d43d4e0d58f9f918d1375d6f1e17026f0e82a9aef12b25a9c362fd51b38253b" dmcf-pid="XXDO5lx2Cn" dmcf-ptype="general"><strong>◆ 짓고 떠나는 외주…주인 없는 API</strong></p> <p contents-hash="28880f762db29e2b6be716bde1d6ec769de331a2f3d83197b847ab1222b2a495" dmcf-pid="ZZwI1SMVWi" dmcf-ptype="general">IT서비스 외주 구조도 공백을 키웠다. 국내 대형 금융사를 포함해 내부 직원이 API 아키텍처를 직접 설계하고 관리하는 곳은 드물다. 외주 개발팀이 짓고 검수가 끝나면 철수한다. 프로젝트 이후 유지보수는 고려 대상이 아니었다.</p> <p contents-hash="a7a02f1b55210b7d2a676b43a000ac0613b2a9d8d2ed1d2cb44b84f2102eff38" dmcf-pid="55rCtvRfCJ" dmcf-ptype="general">외주 개발팀도 IT서비스 기업 자체 인력으로만 꾸려지지 않는다. 개별 프로젝트마다 필요한 기술과 투입 규모가 다르기 때문에, 수행 인력을 모두 자체 인력으로 채우기 어렵다. 이에 사업 수행사는 사업이 추진되는 시점에 프리랜서 인력을 공급받는다. 현재 이러한 방식은 금융을 넘어 전 IT서비스 업계에 자리를 잡았다.</p> <p contents-hash="008235ba6379ffb960368876b4d63c01f651dca6f8a200280d5d194474c6c5b3" dmcf-pid="1BWZKFAiyd" dmcf-ptype="general">인력 공급 경로도 굳어졌다. 한 중소 IT서비스 기업 대표는 "IT서비스 기업 출신이 퇴직 후 소규모 업체를 차리는 경우가 적지 않다. 이들은 특정 금융 프로젝트가 나온다는 정보를 먼저 파악하고, 채용 플랫폼으로 필요한 개발자를 모아 현장에 투입한다. 발주 금융사와 수주 IT서비스 기업 아래에 인력 공급 업체가 한 겹 더 붙는 구조다"라고 설명했다.</p> <p contents-hash="5c49380d7dbf47eacbec10e7075ed8c5d734323ff7af4b23c2a04c0a5d07d5d4" dmcf-pid="tbY593cnve" dmcf-ptype="general">이 구조에서는 API를 만든 사람이 프로젝트와 함께 흩어진다. 어떤 API를 왜 열었는지, 개발 중 임시로 열어 둔 경로가 어디인지 아는 인력은 계약이 끝나면 다음 현장으로 옮긴다. 인수인계 문서에 이런 내용이 빠지면 운영 조직은 설계 의도를 모르는 API를 넘겨받는다. 장애를 우려해 손대지 못한 API가 그대로 열려 있게 된다.</p> <p contents-hash="19031f10b850f9a77f24621652b327a7e8ff6662a166abd93436d1ae50e8d7b5" dmcf-pid="FKG120kLlR" dmcf-ptype="general">외주 인력이 드나드는 시스템도 관리 사각지대였다. BNK부산은행에서는 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소가 외부 웹페이지에 노출됐다. 은행은 직원용 모바일 영업지원시스템 등을 노린 해킹 과정에서 벌어진 일로 보고 해당 페이지를 막았다.</p> <p contents-hash="b29f2e7c5d8ba5f580fbab5bf3acbff41fc0876ae9a99bc7e50df0a69a48d389" dmcf-pid="39HtVpEoyM" dmcf-ptype="general">운영으로 넘어가면 API의 주인이 사라진다. 구축 이후 운영·현업 부서로 이관될 때 API별 책임자가 지정되지 않는다. 이 관계자는 과거 금융권 MSA(마이크로서비스 아키텍처) 도입 실패와 같은 구조라고 짚었다. 서비스마다 독립된 관리 주체가 필요했지만, 단일 팀이나 외주 인력이 도맡으면서 조직과 아키텍처가 어긋났다.</p> <p contents-hash="8d5e1a859a000d6a1f4465a00e3a3cf5fde30141d5dda411062ba42c226e9f12" dmcf-pid="02XFfUDgvx" dmcf-ptype="general">이번 연쇄 금융 사고로 인해 금융사들은 당국의 체크리스트에 따라 자체 점검 결과를 보고해야 한다. 외부 노출 자산은 이번 점검으로 드러난다. 하지만 자산마다 책임자를 붙이고 쓰지 않는 API를 폐기하는 작업은 여전히 예산 밖에 있다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 모비젠, 온톨로지 구축부터 현장 지원까지…기업 AX 전환 부담 최소화 10-07 다음 사우나 회원관리 프로그램 웰니스파트너스, 장부·카운터 관리 디지털로 전환 10-07 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
