해킹 공격후 은행장 보고 '81시간'…은행별 들쭉날쭉

최근 금융권을 덮친 연쇄 인공지능(AI) 해킹 사태 당시 5대 은행의 보안 대응 속도에 상당한 차이가 있었던 것으로 나타났다. 국민은행은 공격자가 처음 접근한 순간 이상 징후를 탐지하고도 은행장 보고까지 사흘 넘게 걸렸고, 하나은행은 최초 접근 후 이상 징후를 탐지하기까지 38시간 넘게 걸려 5대 은행 중 가장 길었다.

5대 은행장이 19일 금융감독원 국정감사에 일제히 출석할 예정인 가운데, 은행권의 대응 체계와 경영진의 관리 책임이 도마 위에 오를 전망이다. 즉시 탐지하고도 보고까지 사흘…내부 보고체계 도마 위 19일 CBS노컷뉴스가 국회 정보위원장인 이양수 국민의힘 의원실을 통해 5대 은행(KB국민·신한·하나·우리·NH농협)에서 제출받은 자료에 따르면, 국민은행은 지난달 27일 오후 11시 19분 공격자의 최초 접근과 동시에 보안관제센터(SOC)에서 이상 징후를 탐지했다. 그러나 정보보호최고책임자(CISO)에게 보고한 시각은 지난달 30일 오전 9시 27분으로, 최초 탐지 이후 58시간 8분이 지난 뒤였다. 은행장 보고는 이보다 약 하루 늦은 이달 1일 오전 9시에 이뤄졌다. 최초 탐지부터 은행장 보고까지 81시간 41분이 걸려 5대 은행 중 가장 길었다. 국민은행은 이상 징후를 탐지한 뒤 공격자 IP와 경로를 최종 차단하기까지도 8시간 45분이 걸렸다. 은행 측은 위협 여부를 상세 분석해 정탐(正探)과 오탐(誤探)을 판단하는 데 시간이 걸렸으며, 추가 분석 결과 위험도가 높다고 판단해 CISO에게 보고했다고 설명했다.

NH농협은행 역시 이상 징후 탐지와 내부 보고 사이에 상당한 시간 차이가 있었다. 농협은행은 지난달 29일 오전 10시 44분 54초 위협 IP의 최초 접속을 확인했고, 같은 날 낮 12시 1분 15초 이상 트래픽을 감지해 차단했다. 이후 약 8분 만인 낮 12시 9분 해당 IP에 대한 추가 차단 조치를 마쳤다. 하지만 CISO 보고는 이틀 뒤인 이달 1일 오전 11시 10분, 은행장 보고는 같은 날 오전 11시 47분 이뤄졌다. 최초 접속부터 은행장 보고까지 약 49시간 2분, 이상 징후 탐지 이후로는 약 47시간 46분이 소요됐다. 전문가들은 중대한 해킹 징후가 확인되면 신속한 보고와 선제적인 피해 차단 조치가 이뤄져야 한다고 지적한다. 동국대학교 정보보호대학원 황석진 교수는 "금융회사는 사고 규모가 확정될 때까지 기다리기보다 중대한 침해 정황이 확인되면 즉시 경영진에게 보고하고 선제적으로 대응해야 한다"며 "금융 보안의 핵심은 사고를 빨리 발견하는 데 그치지 않고, 경영진의 신속한 의사결정과 피해 차단 조치로 연결하는 데 있다"고 말했다. 이어 "모든 공격 시도를 경영진에게 보고하기는 어렵겠지만, 보고까지 상당한 시간이 걸렸다면 이상 징후 탐지가 늦어진 것인지, 내부 보고 과정에서 지연이 발생한 것인지 구분해 조사할 필요가 있다"고 강조했다. 이상 징후 탐지까지 최대 38시간…국감 5대 은행장 증인으로위협 IP의 최초 접근부터 이상 징후를 탐지하기까지 상당한 시간이 걸린 은행도 있었다. 하나은행은 지난달 30일 오전 1시 위협 IP가 최초 접근한 뒤 38시간 40분이 지난 이튿날 오후 3시 40분 SOC에서 이상 징후를 인지했다.

5대 은행 중 탐지까지 가장 오랜 시간이 걸렸다. 다만 하나은행은 다른 금융사의 해킹 사고와 관련해 공유받은 위협 정보를 토대로 이상 징후 탐지보다 3시간 35분 앞선 같은 날 낮 12시 5분 해당 IP를 선제 차단했다. 해당 이상 징후와 침해사고의 연관성을 인지한 것은 같은 날 오후 8시였다.

CISO 보고는 같은 날 오후 10시 42분, 은행장 보고는 이달 2일 오전 11시 30분에 이뤄졌다. 최초 접근부터 은행장 보고까지 58시간 30분, 이상 징후 탐지부터는 19시간 50분이 걸렸다. 우리은행도 지난달 28일 오후 6시 42분 위협 IP의 최초 접속이 이뤄졌지만, SOC에서 이상 트래픽을 감지한 것은 17시간 22분이 지난 이튿날 낮 12시 4분이었다. 감지 7분 만에 관련 IP를 차단했지만, CISO 보고는 이달 1일 오전 10시 55분, 은행장 보고는 오전 11시 22분 이뤄졌다. 최초 접속부터 은행장 보고까지는 64시간 40분, 이상 징후 탐지부터는 47시간 18분이 걸렸다. 신한은행은 지난달 28일 오후 6시 4분 공격자가 최초 접근한 뒤 15시간 26분이 지난 이튿날 오전 9시 30분 이상 징후를 탐지했다.

CISO 보고는 같은 날 오후 1시 56분, 은행장 보고는 오후 11시 30분 이뤄졌다. 최초 접근부터 은행장 보고까지 29시간 26분이 걸렸으며, 이상 징후 인지부터 은행장 보고까지는 14시간이었다. 은행별로 최초 접근부터 이상 징후 탐지까지 걸린 시간에도 차이가 나타나면서 실시간 보안관제 체계의 실효성을 점검해야 한다는 지적이 나온다. 이번 연쇄 해킹 사태로 금융권에서는 은행·저축은행·캐피탈사 등 16개 금융회사에서 침해사고가 발생했으며, 이 가운데 9개사에서 개인정보 유출이 확인됐다. 금융당국은 개인정보 유출 피해 규모를 약 10만명으로 추산하고 있다.

5대 은행 중에서는 신한은행에서 약 2만5727명, 국민은행에서 119명, 하나은행에서 89명의 개인정보가 유출된 것으로 파악됐다. 반면 우리은행과 농협은행에서는 개인정보 유출 피해가 확인되지 않았다. 현재까지 정보 유출로 인한 2차 금전 피해는 확인되지 않았다. 이양수 의원은 "은행마다 인지부터 경영진·당국 보고까지 걸린 시간이 크게 다르다"며 "금융당국은 중대 침해 징후 발생 시 보고와 신고 기준을 명확히 하고 이행 여부를 점검해야 한다"고 말했다. 한편 5대 은행장은 이날 금융감독원 국정감사에 출석할 예정이다.