티스토리 뷰
목차
솔직히 고백하면, 저는 이번 금융권 해킹 뉴스를 처음 봤을 때 '설마 내 정보도?'라고 생각했습니다. 신한은행이 주거래 은행 중 하나라 바로 유출 대상자 조회를 해봤는데, 다행히 포함되지는 않았습니다. 그런데 안도감이 들자마자 남은 건 불안감이었습니다. 이번에 7개 금융회사에서 수만 건의 개인정보가 빠져나갔고, 은행들은 주말도 반납한 채 수습에 나섰습니다. 금융당국도 긴급 점검을 지시했지만, 결국 내 돈을 지키는 첫 번째 방어선은 나 자신이라는 생각이 들었습니다.
개인정보 유출, 이번엔 규모가 달랐다
이번 사태에서 가장 눈에 띄는 건 피해 규모의 차이입니다. 신한은행에서만 약 2만 5,000명의 개인정보가 유출됐고, KB국민은행과 하나은행에서도 각각 119명, 89명의 전화번호 등이 빠져나갔습니다. 같은 공격 파동 안에서도 은행마다 피해 규모가 이렇게 차이 나는 건, 각 기관의 보안 체계가 얼마나 다른지를 단적으로 보여준다고 봅니다.
공격에 사용된 기법은 이상금융거래탐지시스템(FDS) 우회였습니다. FDS란 계좌 접속 패턴이나 거래 행동이 평소와 다를 때 이를 자동으로 감지해 차단하는 시스템입니다. 쉽게 말해 '내 계좌를 24시간 지켜보는 AI 경비원' 같은 역할인데, 이번 공격자들은 그 감시망을 교묘히 비집고 들어온 셈입니다. 신한은행은 사후에 FDS에 이상 행위 탐지 시나리오를 추가했다고 밝혔지만(출처: 한국일보), 솔직히 이건 사후약방문에 가깝다는 느낌이 안 들기 어렵습니다.
또 한 가지 불안한 대목이 있었습니다. 신한은행을 해킹한 IP 일부가 토스뱅크 공격도 시도한 것으로 확인됐다는 점입니다. 이번 공격이 단발성이 아니라, 여러 기관을 동시에 겨냥한 조직적 공격일 가능성이 있다는 뜻입니다. 금융당국이 온라인투자연계금융업(온투업)까지 긴급 소집해 연관성을 조사하기로 한 것도 그 연장선으로 보입니다.
- 신한은행: 대출모집인 서비스 경유, 약 2만 5,000명 유출
- KB국민은행: 고객 119명 전화번호 등 유출, 침투 테스트로 대응
- 하나은행: 고객 89명 정보 유출, 악성 IP 차단 및 전수 점검
- 토스뱅크: 직접 피해 없으나 동일 IP로부터 공격 시도 확인
- 우리은행·NH농협은행: 별도 피해 없이 선제적 보안 강화에 집중
크리덴셜 스터핑, 제 비밀번호가 문제였습니다
이번 사태를 계기로 제 비밀번호 관리 습관을 돌아봤는데, 솔직히 부끄러웠습니다. 은행 앱 비밀번호를 몇 년 전 설정해 둔 것에서 숫자 하나만 바꿔 쓰고 있었고, 몇몇 사이트는 아예 같은 비밀번호를 그대로 쓰고 있었습니다. 이게 얼마나 위험한 행동인지, 이번에야 제대로 실감했습니다.
해커들이 즐겨 쓰는 기법이 바로 크리덴셜 스터핑(Credential Stuffing)입니다. 크리덴셜 스터핑이란 한 사이트에서 훔친 아이디와 비밀번호 조합을 다른 은행이나 쇼핑몰에도 그대로 대입해 보는 공격 방식입니다. 쉽게 말해 '마스터키 하나로 여러 자물쇠를 동시에 열어보는 시도'입니다. 비밀번호를 여러 곳에서 돌려쓰면, 딱 한 곳만 뚫려도 나머지 계좌까지 줄줄이 위협받을 수 있다는 뜻입니다.
커뮤니티에서는 "비밀번호를 12자리 이상으로 바꾸는 게 좋다"는 이야기가 많이 나왔고, 저도 그 말에 동의하는 편입니다. 다만 자릿수만 늘리는 것만으로는 부족하다고 봅니다. 영문 대소문자, 숫자, 특수문자를 모두 섞되 각 사이트마다 완전히 다른 조합을 쓰는 것이 핵심입니다. 기억하기 불편한 건 사실인데, 저는 이번에 패스워드 매니저 앱을 처음 써봤습니다. 처음 설정할 때는 번거롭지만, 막상 써보니 "로그인이 이렇게 편할 수 있구나" 싶었습니다.
로그인할 때 조금 귀찮은 게, 계좌가 털리는 것보다 100배는 낫다는 걸 제 경험상 이제는 분명히 압니다. 출처: 한국인터넷진흥원(KISA)도 비밀번호를 사이트별로 다르게 설정하고 정기적으로 변경할 것을 공식 권고하고 있습니다.
셀프 방어, 지금 당장 할 수 있는 것들
은행들이 출처 불분명 앱을 설치하지 말라고 당부하는 걸 보고, 솔직히 저는 예전에 택배 조회 문자 링크를 무심코 눌러본 적 경험이 떠올랐습니다. 그 링크 하나를 누르는 순간 스마트폰에 악성 애플리케이션이 설치될 수 있고, 저장된 은행 보안카드 사진이나 공인인증서가 해커에게 그대로 넘어갈 수 있습니다. 제 경우엔 그때 별 일이 없었던 게 운이었지, 대처가 잘 된 게 아니었습니다.
또 하나 제가 간과하고 있었던 게 공용 와이파이 사용입니다. 카페나 지하철에서 제공하는 공용 와이파이는 암호화가 제대로 되지 않은 경우가 많아, 같은 네트워크에 접속한 다른 사람이 내 데이터를 가로채는 '스니핑(Sniffing)' 공격에 노출될 수 있습니다. 스니핑이란 네트워크를 오가는 데이터 패킷을 몰래 엿보는 해킹 기법으로, 별다른 전문 장비 없이도 시도가 가능합니다. 공용 와이파이에서 은행 앱을 켜는 건 카페에서 큰 소리로 계좌번호를 말하는 것과 비슷하다고 생각하면 됩니다.
이번 사태를 계기로 저는 몇 가지 습관을 바꾸기로 했습니다. VPN 서비스가 공용 와이파이 환경에서 어느 정도 보호가 되는지도 직접 써볼 생각입니다. VPN이란 내 인터넷 연결을 암호화된 터널로 감싸서 외부의 감시나 탈취를 어렵게 만드는 기술입니다. 만능은 아니라는 의견도 있고, 유료 서비스를 골라야 효과적이라는 이야기도 있어서 조금 더 알아봐야 할 것 같습니다. 지금 당장 실천할 수 있는 것들을 정리해 보면 아래와 같습니다.
- 여신거래 안심차단 서비스 가입: 본인 명의로 신규 대출이 실행되지 않도록 선제적으로 막는 서비스
- 스마트폰 설정에서 '출처를 알 수 없는 앱 설치 제한' 기능 활성화
- 문자·카카오톡 링크는 공식 앱이나 직접 검색으로 확인 후 접속
- 공용 와이파이에서 은행 앱 접속 자제, 가급적 LTE·5G 사용
- 스마트폰 운영체제(OS) 및 은행 앱 최신 버전으로 유지
자주 묻는 질문
Q. 내가 이번 금융 해킹 피해 대상인지 어떻게 확인하나요?
A. 각 은행 공식 앱이나 홈페이지에서 개인정보 유출 조회 서비스를 이용하면 됩니다. 신한은행의 경우 공식 앱 내 공지사항에서 조회 경로를 안내하고 있었고, 저도 해당 경로로 바로 확인했습니다. 문자나 이메일로 안내를 받은 경우 링크를 누르지 말고, 반드시 앱이나 공식 홈페이지에서 직접 접속해 확인하는 편이 안전합니다.
Q. 크리덴셜 스터핑 피해를 막으려면 비밀번호를 얼마나 자주 바꿔야 하나요?
A. 정기적으로 교체하는 게 좋다고들 하는데, 저는 주기보다 '각 사이트마다 다른 비밀번호를 쓰는 것'이 더 중요하다고 봅니다. 같은 비밀번호를 자주 바꿔봤자, 다른 사이트에서 유출되면 소용없기 때문입니다. 한국인터넷진흥원(KISA)은 3개월 주기 변경과 사이트별 독립 비밀번호 사용을 함께 권고하고 있습니다.
Q. 공용 와이파이에서 VPN을 쓰면 은행 앱 접속이 안전한가요?
A. VPN이 스니핑 공격을 상당 부분 막아준다는 시각도 있고, 무료 VPN은 오히려 데이터를 수집할 수 있다는 우려도 있습니다. 저도 아직 알아보는 중인데, 개인적으로는 유료 신뢰 가능한 VPN을 쓰거나, 아예 공용 와이파이에서는 은행 앱 접속을 피하는 게 가장 현실적인 방법이라고 봅니다.
Q. 여신거래 안심차단 서비스가 뭔가요?
A. 본인 명의로 새로운 대출이 실행되지 않도록 금융회사 전체에 걸어두는 사전 차단 서비스입니다. 개인정보가 유출돼도 제3자가 내 명의로 대출을 받는 것을 원천 봉쇄할 수 있어서, 커뮤니티에서 이번 사태 이후 가입하겠다는 반응이 많았습니다. 각 은행 앱이나 금융결제원 어카운트인포 앱을 통해 신청할 수 있습니다.
결론
이번 금융 해킹 사태를 보면서 제가 얻은 결론은 하나입니다. 돈을 모으고 굴리는 것만큼이나, 지키는 것도 따로 공부가 필요하다는 점입니다. 은행과 금융당국이 주말을 반납하며 대응에 나서고 있지만, FDS와 보안 시스템이 아무리 고도화돼도 계정 비밀번호가 허술하거나 악성 앱 하나를 잘못 설치하면 소용이 없습니다. 제 경험상 이런 사고는 항상 '설마 나한테'라고 생각할 때 터졌습니다.
비밀번호를 사이트마다 다르게, 12자리 이상으로 바꾸는 것부터 시작해보는 게 좋을 것 같습니다. 번거롭더라도 패스워드 매니저를 활용하면 생각보다 금방 적응됩니다. 그다음은 스마트폰의 알 수 없는 소스 앱 설치 제한을 켜두고, 공용 와이파이에서 은행 앱은 열지 않는 습관을 들이는 것입니다. 작은 습관 하나가 큰 피해를 막는다는 걸, 이번 사태가 다시 한번 일깨워줬습니다.
참고: https://www.hankookilbo.com/news/article/A2026100509480005684?did=NA