은행 대출 조회부터 백화점 예약까지…외부 노출 서비스가 공격 통로
한일 공격서 AI 도구 아르텍스 흔적…동일 공격자 근거는 없어
ADVERTISEMENT
(서울=연합뉴스) 심재훈 기자 = 최근 한일 양국이 연이어 터지는 해킹에 의한 대규모 개인 정보 유출에 시달리고 있다.
한국에서는 시중은행의 대출모집인 전용 조회 서비스, 일본에서는 백화점 그룹의 예약 사이트가 개인정보 유출 통로가 됐다. 핵심 전산이 아닌 외부에 노출된 조회·예약 서비스 등을 통해 침입한 해커가 고객정보를 빼 간 것이다.
한일 양국의 잇따른 정보 유출 사건을 분석한 국내 보안업체는 보고서에서 외부에 공개된 업무용 웹페이지와 앱에 연결된 서버, 외부 업체에 맡긴 위탁 서비스를 공통된 취약 지점으로 꼽았다.
해커가 인공지능(AI)으로 취약점을 찾아 공격한 사실은 일본 침해사고 대응 기관의 조사에서 드러났으며, 한국과 일본을 겨냥한 공격에 같은 AI 침투 도구가 쓰인 정황도 나와 한국과 일본 모두 해킹 비상에 걸렸다.
◇ 은행 조회에서 백화점 예약까지…정보가 새는 연결 지점
안랩 보안 인텔리전스 센터(ASEC)는 최근 공개한 보고서에서 한국과 일본의 정보 유출 사건을 침입 경로별로 비교했다.
보고서에 따르면 국내 금융권 해킹의 경우 공격자가 파고든 곳은 예금과 이체를 처리하는 은행 핵심 시스템이 아니라 주요 서비스에 딸린 보조 시스템이었다.
금융권 해킹 사례로 대출모집인 전용 조회 서비스와 직원용 영업지원 시스템, 공제 관련 외부 웹페이지가 포함됐다.
일본도 사정이 다르진 않았다.
일본에서는 백화점 예약 사이트를 거쳐 고객관리 시스템에 접근한 사례가 제시됐고 외부에 맡긴 쇼핑몰과 문의 관리 서비스도 유출 경로로 등장했다.
개인 정보와 관련한 데이터를 어디에 남겨뒀는지도 문제가 됐다.
국내 커피 프랜차이즈 사례에서는 과거 서비스 개편 때 만든 임시 파일이 클라우드에 남아 있었다. 일본 전자책 서비스에서는 회원 데이터베이스뿐 아니라 시스템 로그에 남은 정보도 유출됐다.
안랩은 주요 서비스에 붙은 부가 기능과 외부 위탁 서비스, 보존 기간이 지난 데이터까지 관리 대상에 넣어야 한다고 지적했다. 다만 보고서는 개별 사건의 원인에 대해 조사 중이라면서 사례들을 하나의 공격이나 동일한 원인으로 판단하지는 않았다.
ADVERTISEMENT
◇ 내 스마트폰 대신 앱 뒤의 서버를 노린다
일본 정보통신연구기구(NICT)가 최근 내놓은 분석은 앱이 공격의 단서가 되는 과정을 보여준다.
해커는 일반에 공개된 안드로이드 앱을 입수해 분석한 뒤 앱이 어느 서버에 연결되는지, 어떤 방식으로 정보를 주고받는지 알아낸 뒤 해당 서버를 공격한다. NICT는 이를 'A2B'(App-to-Backend) 공격이라고 이름을 붙였다.
백엔드 서버는 앱 화면 뒤에서 로그인 인증과 이용자 정보 관리 등을 처리하는 시스템이며, 앱과 서버가 정보를 주고받는 통로는 응용 프로그램 인터페이스(API)라고 부른다.
NICT는 앱 자체에 취약점이 없어도 서버가 이용자의 신원이나 정보 열람 권한을 제대로 확인하지 않으면 개인정보 유출로 이어질 수 있다고 지적했다. 아울러 AI를 쓰면 앱 분석과 취약점 탐색이 빨라져 이런 공격이 더 많은 시스템으로 번질 수 있다고 경고했다.
실제 공격에 AI가 동원된 사실은 일본 침해사고 대응 기관인 JPCERT/CC가 확인했다.
JPCERT/CC는 최근 공개한 조사에서 해커가 AI로 기존 취약점을 탐색하고 API를 통해 공격한 사실을 확인했다고 밝혔다.
조사 대상 서버에서는 안드로이드 앱 배포 파일과 앱 분석 도구 관련 파일들이 발견됐으며 앱을 분석해 찾아낸 API에 취약점이 있는지 조사한 흔적도 발견됐다. 이들 공격 서버는 일본 이외 지역의 웹서비스도 공격하고 있었다.
◇ 한일 공격서 아르텍스 흔적…실험 환경에선 짧은 지시로 침투
한일 양국 공격에서 공통으로 등장한 이름도 있다. AI 기반 자동 침투 테스트 도구 '아르텍스'(ARTEX)다.
안랩 보고서에 따르면 국내 보안업계는 금융권 공격에 쓰인 웹서버에서 아르텍스 관련 문자열을 처음 발견했다.
일본에서는 현지 보안업체 GMO사이버시큐리티 바이 이에라에가 지난달 일본 기업 공격에 쓰인 인프라에서 아르텍스를 찾아냈다고 발표했다.
국내에서는 지난달 생성형 AI를 이용한 해킹 혐의로 피의자가 처음 검거되기도 했다. 경찰에 따르면 이들은 국내 업체 90여 곳에서 개인정보와 내부 업무자료 등 820만건 이상을 탈취한 혐의를 받고 있으며, 범행 과정에서 아르텍스와 AI 코딩 에이전트도 활용한 것으로 조사됐다.
안랩은 아르텍스가 스스로 어디까지 움직이는지 알아보려고 별도 실험 환경에서 이 도구를 재현했다.
연구진이 보안 지식이 없는 사람도 입력할 만한 수준으로 공격 대상에 침투하라는 짧은 지시만 내리자 아르텍스는 웹서버의 파일 업로드 기능을 찾아냈다. 이어 사람의 개입 없이 웹셸(서버에서 명령을 실행하는 악성 스크립트)을 이용해 프로그램을 실행했다.
안랩은 새로운 기법이 아니라 외부에 공개된 서비스의 취약점과 설정 오류를 파고든 결과라면서, AI 에이전트가 먼저 노리는 곳이 관리가 허술한 외곽 접점이라고 강조했다.
아르텍스가 국내 금융권 사건에 실제로 얼마나 관여했는지는 아직 조사가 진행 중이다. 한일 사건을 같은 공격자의 소행으로 볼 근거도 나오지 않았지만 같은 도구가 양국에서 쓰였다는 점은 주목할 만하다.
◇ 앱은 뺏겨도 서버는 지켜야…권한 확인·데이터 정리 필요
일본 기관들의 권고는 앱의 겉모습보다 서버의 실제 접근 통제에 맞춰져 있다.
JPCERT/CC는 앱 안의 서명 처리에만 기대지 말고 서버에서 이용자를 인증한 뒤 요청한 정보를 열람하거나 조작할 권한이 있는지 확인하라고 권고했다. API 인증에 쓰는 비밀키나 유효기간이 긴 인증정보를 앱에 심지 말고 요청 횟수를 제한하면서 비정상 요청을 감시하라는 내용도 담았다.
NICT는 공개된 앱이 분석된다는 것을 전제로 백엔드 서버의 안전을 확보해야 한다고 강조했다. 공개 API와 서버에 부정 접근의 흔적이 남았는지 점검하고 불필요한 API는 멈추며 인증정보는 폐기한 뒤 다시 발급하라는 것이다.
안랩[053800]은 외부에 노출된 웹서비스와 API, 관리 페이지의 목록을 만들어 담당자를 지정하고 위탁업체가 가진 데이터와 접근 권한을 정기적으로 점검하라고 권했다.
국내 IT 보안업계 관계자는 "자사 홈페이지나 앱만 점검해서는 고객정보를 충분히 보호하기 어렵다"면서 "조회·예약 같은 부가 서비스와 외부 위탁 시스템까지 누가 어떤 정보에 접근할 수 있는지 확인해야 하며 쓰지 않는 파일이나 인증정보도 반드시 정리해야 한다"고 조언했다.
president21@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT