금융권 해외발 해킹의 공격자 식별 현황과 한계

집계 대상은 2024년부터 2026년 10월 8일까지 금융회사에서 발생한 해외발 추정 해킹 사고 18건이며, 이 가운데 공격 주체가 확인된 사고는 2건이었습니다. 이 수치는 전체 금융권 해킹 건수가 아니라 해외에서 비롯된 것으로 추정된 사고의 공격자 식별 현황을 보여줍니다.

공격 주체를 확인하지 못한 16건도 추적 수준은 같지 않았습니다. 13건은 도메인 조회, 자체 보안장비 탐지, 침해사고 조사 등을 통해 공격에 사용된 인터넷주소인 IP가 해외에 있다고 추정한 경우이며, 나머지 3건은 국가도 식별하지 못해 ‘해외 국가 미상’으로 분류됐습니다. 따라서 해외발로 집계됐다는 사실과 실제 공격자가 어느 나라에서 활동하는지 확인했다는 것은 구분해야 합니다.

공격 주체가 확인된 사례는 2025년 7월 서울보증보험과 2026년 4월 바로저축은행 사고였습니다. 서울보증보험은 국제 랜섬웨어 조직 ‘건라’의 공격을 받았고, 바로저축은행은 ‘INC Ransom’이 직접 금전을 요구하는 과정에서 공격 주체가 특정됐습니다.

2025년 롯데카드와 SC제일은행, KB라이프생명 사고 등은 공격 IP의 소재 국가를 바탕으로 중국발 공격으로 추정됐습니다. 금융감독원은 공격자가 IP를 변조하거나 가상사설망인 VPN을 거쳐 우회 접속하기 때문에 IP 소재 국가 정보만으로 실제 공격 주체를 파악하기는 사실상 불가능하다고 설명했습니다. VPN은 다른 서버를 거쳐 접속하도록 하는 기술로, 이 경우 드러난 접속 국가가 공격자의 실제 위치와 다를 수 있습니다.

전자금융업자와 온라인투자연계금융업권에서도 같은 기간 해외발 해킹 12건 가운데 공격 주체가 확인된 사례는 1건이었습니다. 이 집계는 앞서 제시한 금융회사 18건과 대상 업권이 다르므로 각각의 범위를 구분해서 읽어야 합니다. 최근 금융권 해킹에서는 AI 도구 사용 기록을 통해 공격자의 신원을 추정하는 분석도 나왔지만, 지목된 인물이 관련성을 부인해 신원이 확정된 결과로 받아들일 수는 없습니다.