SK쉴더스 “금융권 해킹 사태, 핵심은 새도우 IT·API”

최근 금융권에서 잇따라 발생한 침해사고에서 인공지능(AI)은 새로운 공격기법을 만들어냈다기보다 기존 공격의 속도와 규모를 키우는 역할을 했다는 분석이 나왔다.

SK쉴더스는 최근 금융권 침해사고와 AI 기반 공격 도구 ‘아르텍스(ARTEX)’를 분석한 ‘AI 자동화 공격 시대, 섀도우 IT를 노린 침해사고 분석 및 대응 가이드’를 8일 공개했다.

SK쉴더스는 현재까지 공개된 사고 정황을 토대로 공격자가 핵심 금융거래 시스템보다 대출모집인 시스템과 임직원 업무지원 서비스, 영업지원 플랫폼 등 관리 우선순위에서 밀려난 외부 노출 자산을 공략한 것으로 분석했다.

회사는 이런 보안 사각지대를 ‘섀도우 IT’ 관점에서 봐야 한다고 설명했다. 섀도우 IT는 보안 조직이 존재 자체를 파악하지 못한 시스템뿐 아니라 알고 있더라도 충분한 점검과 통제가 이뤄지지 않는 시스템·서비스·애플리케이션 프로그래밍 인터페이스(API)를 포함한다.

SK쉴더스 화이트해커 조직 EQST는 이번 사고와 관련해 사용 가능성이 제기된 아르텍스의 동작 구조도 분석했다.

SK쉴더스에 따르면, 아르텍스는 사람이 수행하던 모의해킹 과정을 AI로 자동화하는 자율형 침투테스트 도구다. 이전 작업 결과를 토대로 다음 탐색 대상을 선택하고 공격 경로를 확장할 수 있다.

다만 SK쉴더스는 현재 공개된 정보와 자체 기술 분석을 바탕으로 한 결과이며 실제 금융권 침해사고에서 아르텍스가 어떤 방식으로 사용됐는지는 관계기관 조사 결과에 따라 달라질 수 있다고 전제했다.

SK쉴더스는 AI 기반 공격이 확대될수록 인터넷에 노출된 자산과 API를 먼저 식별하는 작업이 중요해진다고 봤다.

API 보안 대응을 ▲자산·API 식별 ▲API 모니터링 ▲위협 탐지·대응 등 3단계로 제시했다. 먼저 공격자 관점에서 외부 노출 자산을 파악하고 관리되지 않은 시스템을 찾아야 한다. 이후 API의 인증·인가 체계와 호출 행위를 지속적으로 확인하고 웹방화벽(WAF), 엔드포인트 탐지·대응(EDR), 네트워크 탐지·대응(NDR), 보안정보이벤트관리(SIEM) 등을 연계해 이상행위를 탐지하는 방식이다.

단순 IP 차단보다 사용자와 세션, 접근 패턴 등 행위를 중심으로 자동화 공격을 분석해야 한다는 설명이다.

김병무 SK쉴더스 사이버사업부문장 부사장은 “AI는 새로운 취약점을 만드는 기술이 아니라 공격을 증폭시키는 도구”라며 “기업은 보유 자산의 가시성을 확보하고 API를 비롯한 외부 노출 영역의 통제를 강화해야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network