이상한 가을이다. 은행에서 시작된 해킹 소식이 저축은행, 캐피탈, 증권사, 가상자산 거래소로 번졌다. 이달 금융당국이 확인한 침해 사고만 열여섯 개사. 이 글을 쓰는 사이에도 명단은 늘고 있다. 한 회사가 뚫리면 그 회사의 실수다. 열여섯 개사가 연달아 뚫리면 금융권 전체의 문제다.
뚫린 자리에 공통점이 있다. 핵심 거래 시스템이 아니라 가장자리다. 대출 중개 연동 서버, 비대면 계좌 연계 서버, 사내 그룹웨어. 한 은행에서는 본인확인 절차에 값을 반복해 넣는 수법으로 2만 5천여 명의 정보가 빠졌고, 한 증권사에서는 정상 요청처럼 꾸민 접속 시도 6만 번이 비대면 계좌 서버를 두드렸다. 금고 문은 두꺼웠는데, 금고에 연결된 옆방 창문들이 열려 있었다.
이유가 있다. 보안 투자는 계속 핵심 시스템에 몰렸고, 그 사이 비대면 경쟁으로 외부와 연결된 시스템은 해마다 늘었는데 이쪽은 핵심만큼 대접받지 못했다. 당국이 555개사를 점검해보니 130개사에서 미비점이 나왔는데 항목이 낯익다. 패치 미적용, 지원 끝난 장비, 24시간 관제 부재. 전부 오래된 숙제다. 공격자가 천재라서 뚫린 게 아니다. 모두가 아는 허점이 모두의 회사에 그대로 있었다.
불편한 질문도 하나 해보자. 이 회사들, ISMS 인증 없었나? 있었다. 금융사는 대부분 인증 의무 대상이라 인증서를 걸어놓고 정기 점검까지 통과해온 회사들이다. 그런데 뚫렸다. 인증이 가짜라서가 아니다. 인증은 심사 범위에 든 시스템을 심사하던 그 시점에 확인한 문서다. 이번에 뚫린 가장자리들은 범위 밖에 있었거나, 심사 뒤에 생겼거나, 서류에는 있는데 실제로는 돌지 않던 곳이다. 인증서는 최소한을 증명하지, 방어를 보증하지 않는다.
더 아픈 건 늦은 탐지다. 한 거래소는 9월 초에 시작된 수상한 접근을 10월에야 알았고, 다시 세어보니 유출 규모가 백 건대에서 이천 건대로 늘어난 곳도 있다. 침입은 막지 못할 수 있다. 그런데 한 달을 모르고 있었고 처음 센 숫자도 틀렸다. 들어와 있는 걸 못 보고 있었다는 뜻이다.
그래서 뭘 해야 하나. 점검표를 하나 더 만드는 일은 아닐 거다. 먼저 인터넷에 닿아 있는 시스템이 몇 개고 누가 관리하는지부터 세어야 한다. 뚫린 곳들은 몰라서 안 지킨 게 아니라 목록에 없어서 못 지켰을 가능성이 크다. 관제의 눈도 옮겨야 한다. 알려진 공격 패턴을 기다리지 말고, 멀쩡한 계정이 갑자기 수만 건을 조회하는 순간을 봐야 한다. 이번 공격들은 전부 정상처럼 보이는 요청으로 들어왔다.
열여섯이라는 숫자는 부끄럽지만 쓸모가 있다. 한 회사의 사고는 변명이 가능해도 열여섯 개사의 사고는 구조를 드러낸다. 이 가을이 금융 보안의 흑역사로 남을지, 가장자리까지 지키기 시작한 원년이 될지는 지금부터 몇 달이 정한다. "금고 문을 자랑하는 시대는 끝났다. 이제 창문 개수를 세는 회사가 안전한 회사다."
* 본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.
댓글
(0)