119명인 줄 알았는데 2210명 정보 유출… 금융권 해킹, 피해 규모 작아 보여도 안심 못하는 이유는 작성일 10-28 52 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">KB국민은행 침해사고, 정밀 재검증 후 피해 규모 19배로 확대<br>“다른 금융사도 추가 확인 가능성”<br>AI 자동화로 해킹에 필요한 시간·비용 줄어<br>소량 개인정보도 결합하면 2차 범죄 악용 우려</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="GMRksfTso3"> <figure class="figure_frm origin_fig" contents-hash="21797dcc53171cbfd8599cd43a5b8aacab580f0c0836adc151fea53bb79abfc1" dmcf-pid="HReEO4yOgF" dmcf-ptype="figure"> <p class="link_figure"><img alt="서울 시내에 시중은행 ATM기들이 모여있는 모습./뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/28/chosunbiz/20261028060255596pttw.jpg" data-org-width="3835" dmcf-mid="Y9beo0Eoa0" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/28/chosunbiz/20261028060255596pttw.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 서울 시내에 시중은행 ATM기들이 모여있는 모습./뉴스1 </figcaption> </figure> <p contents-hash="ab2a180fc275aa2b08fedad3d78cd602ce783ee1e3ce085e562f6e908a8ff9b0" dmcf-pid="XedDI8WINt" dmcf-ptype="general">KB국민은행의 개인정보 유출 인원이 최초 119명에서 2210명으로 늘어나면서 최근 금융권 해킹 사고의 피해 규모를 둘러싼 우려가 커지고 있다. 전문가들은 최초 조사에서 일부 유출 사실을 파악하지 못할 수 있는 데다, 유출 인원이 적더라도 공격 위협과 2차 피해 가능성까지 낮아지는 것은 아니라고 지적한다. 아울러 인공지능(AI)을 활용한 자동화 공격이 주요 위협으로 떠오르고 있으며, 소량의 개인정보도 다른 정보와 결합해 범죄에 악용될 수 있다는 분석이 나온다.</p> <p contents-hash="1b484bf54c6c5960ea4cb0afa76daa91e6723dc571812084afbb974149aeee29" dmcf-pid="ZwrGtNzto1" dmcf-ptype="general">28일 금융당국과 보안업계에 따르면 KB국민은행은 지난 26일 기존 침해사고를 정밀 재검증한 결과 개인정보 유출 인원이 기존 119명에서 2210명으로 늘었다고 밝혔다. 새롭게 확인된 인원은 고객 1631명과 임직원 460명 등 2091명이다. 유출이 확인된 정보 항목도 기존 17개에서 39개로 확대됐다. 여기에는 계좌번호와 예금잔액, 대출 거래내역, 신용등급 등 금융정보도 포함됐다.</p> <p contents-hash="dc0c02dca5f6ac0d2cb57a73a995afbcf37c6fa3d824e22f191dff54056b30b5" dmcf-pid="5rmHFjqFa5" dmcf-ptype="general">이번에 추가로 확인된 개인정보 유출은 새로운 해킹에 따른 것은 아니다. KB국민은행이 기존 침해 사고와 관련된 시스템의 데이터와 업무 처리 과정을 재검증하면서 당초 파악하지 못한 유출 사실이 드러났다.</p> <p contents-hash="7178ee7f06c8a703ad5945b08da9cf2a11021d8b9f41508b327850ab6376de61" dmcf-pid="1msX3AB3gZ" dmcf-ptype="general"><strong>◇ 여러 시스템에 흩어진 접속 기록… 추가 조사서 유출 규모 늘어날 수도</strong></p> <p contents-hash="5a0475f2e0ccf5a6f79fa8f212b5c6367efb2007a6737d33f3cd5403a4eaeb9c" dmcf-pid="tsOZ0cb0gX" dmcf-ptype="general">전문가들은 해킹 사고가 발생했을 때 최초 조사만으로 정확한 개인정보 유출 규모를 파악하기 어려울 수 있다고 설명한다. 일반적으로 유출 규모는 로그(접속 기록)를 바탕으로 추정한다. 데이터베이스(DB)에 얼마나 접근했고 어느 정도의 정보가 외부로 빠져나갔는지 등을 확인하는 방식이다.</p> <p contents-hash="292326c35c50aadc8f503407d642bc61ab389294af0cfbe921964b0c17173a32" dmcf-pid="FOI5pkKpkH" dmcf-ptype="general">문제는 이러한 기록이 여러 시스템에 분산돼 있다는 점이다. DB뿐 아니라 웹서버와 방화벽, 침입탐지시스템 등에도 관련 기록이 남아 있어 이를 모두 수집해 종합적으로 분석해야 한다. 최초 조사에서 일부 기록을 확인하지 못했다면 추가 분석 과정에서 새로운 유출 정황이 발견될 수 있다.</p> <p contents-hash="83f200384b2f0a3787233254821d76b96f840f56c1d5c6df29f0e58b1859caf4" dmcf-pid="3IC1UE9UoG" dmcf-ptype="general">또한 공격자가 접근한 정보와 실제 탈취한 정보의 범위가 다를 수 있다는 점도 조사를 어렵게 한다. 예를 들어 개인정보 1만건이 저장된 DB에 공격자가 접근했더라도 전체 정보가 유출됐다고 단정할 수는 없다. 실제로는 이 가운데 일부만 해킹했을 수도 있어 관련 기록을 하나씩 대조해야 한다.</p> <p contents-hash="ac943a7303478a40657f43891c54e7b875dcee6f2cb8df71cf182dd4a3cda187" dmcf-pid="0ChtuD2uAY" dmcf-ptype="general">염흥열 순천향대 정보보호학과 명예교수는 “KB국민은행의 유출 인원이 추가 조사에서 더 늘어날 가능성과 다른 금융회사에서도 최초 발표보다 유출 규모가 확대될 가능성을 배제할 수 없다”고 말했다.</p> <p contents-hash="783689462dec4ea1c28869b020bb1304dfa9176628d46167c3a721f0cb72e4e7" dmcf-pid="phlF7wV7kW" dmcf-ptype="general"><strong>◇ 유출 인원 적어도 공격 위험은 여전… 정보 결합해 2차 범죄 악용 가능성</strong></p> <p contents-hash="fe76db91be0a83f933efabf9533ebaf7766f20796e2f0b2918ca5e3d4b922080" dmcf-pid="UlS3zrfzjy" dmcf-ptype="general">최근 금융권에서 확인된 개인정보 유출 규모는 지난해 대형 사고와 비교하면 상대적으로 작다. 신한은행에서는 약 2만5000명, 예가람저축은행에서는 약 4만명, 하나은행에서는 89명, BNK부산은행에서는 외주 직원 11명의 정보가 유출됐다. 지난해 쿠팡에서 약 3750만명, SK텔레콤에서 약 2324만명의 개인정보가 유출된 것과 대조적이다.</p> <p contents-hash="514181162fa6bd52e21d23a9b98906300eb81a5eee423abebd6b6ea4fe3b6462" dmcf-pid="uSv0qm4qjT" dmcf-ptype="general">그러나 개인정보 유출 인원이 적다고 해서 기업을 겨냥한 공격 시도까지 적거나 위험성이 낮아졌다고 볼 수는 없다. 인공지능(AI) 기술의 발전으로 여러 기업의 웹사이트와 응용 프로그램 인터페이스(API)에서 취약점을 탐색하고 공격을 반복하는 데 필요한 시간과 비용이 줄어들고 있기 때문이다. 특히 정상적인 웹 서비스나 API의 조회 기능을 이용해 개인정보를 반복적으로 수집하는 자동화 공격은 개별 요청만으로는 일반 이용자의 정상적인 조회 행위와 구분하기 어려워 초기 단계에서 탐지하기가 쉽지 않다.</p> <p contents-hash="7872a4351d95d895f4f5aa5531facc2cf6abf76c8b80bf90d3d6182c75f59e52" dmcf-pid="7vTpBs8BNv" dmcf-ptype="general">보안기업 에버스핀이 지난 9월 1일부터 이달 17일까지 웹 보안 솔루션이 적용된 고객사 7곳의 데이터를 분석한 결과, 총 6204만6671건의 공격 시도와 21만784개의 위협 인터넷 주소(IP)가 탐지됐다.</p> <p contents-hash="ffb4d50ddb30df0225ec9f0d8458071fddef93e618c74dec7bc417daa421a54f" dmcf-pid="zTyUbO6baS" dmcf-ptype="general">에버스핀 관계자는 “현재 공개된 피해 규모가 작다는 이유만으로 실제 공격의 위험성이 낮다고 판단해서는 안 된다”며 “앞으로 이러한 공격이 더욱 거세질 것이며, 대비하지 못한 곳들은 더욱 큰 위험에 직면하게 될 것으로 예상된다”고 말했다.</p> <p contents-hash="c8f991c4a857456adcd664998f22d434d06c25b0a80d1ae3305936821c12a40c" dmcf-pid="qyWuKIPKcl" dmcf-ptype="general">소량의 개인정보만 탈취되더라도 다른 정보와 결합하면 범죄에 악용될 수 있다는 점도 문제다. 보안 기업 S2W에 따르면 최근 다크웹 등 불법 거래 시장에서는 대량의 개인정보뿐 아니라 특정 기업 침투나 계정 탈취 등 구체적인 목적에 맞게 선별·정리된 정보를 거래하려는 움직임도 나타나고 있다.</p> <p contents-hash="a7c49e25f5a45fee1fcd133498cc9ed93edbd9e56f6eebcb911ca0aaea7fb05b" dmcf-pid="BWY79CQ9Ah" dmcf-ptype="general">양종헌 S2W 통합분석실장은 “유효한 계정 정보, 인증 정보, 시스템 접근 권한 등은 후속 공격에 직접 활용할 수 있으며, 목적에 따라 분류된 데이터는 공격자가 이를 활용하거나 자동화된 공격에 적용하기에도 용이하다”며 “불법 거래 게시글에서 나타나는 양상을 고려하면 정보의 규모보다 실제 활용 가치와 목적 적합성을 중시하는 경향이 있는 것으로 볼 수 있다”고 했다.</p> <p contents-hash="c3a5e60531921493364877b88f4da2e00dc50ffe019aa3d5d2c98a17982eae8e" dmcf-pid="bYGz2hx2kC" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 검색창 밖으로 나온 네이버…공연장·경기장까지 파고드는 이유 10-28 다음 "역시 1세대는 피하는 게 상책?"…'크랙게이트' 맞은 애플, '터너스호' 첫 시험대 10-28 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
