통념과 확인된 사실은 다르다
북한 IP가 금융사에 접근했다면 북한이 직접 공격했다고 볼 수 있을까. 그렇게 단정하기 쉽지만, 출발지 IP는 공격 주체를 입증하는 증거와 같지 않다. 금융보안원(금보원)은 21일 북한 IP의 금융사 접근을 대량 탐지해 회원사에 주의를 공지했고, 29일 설명 자료에서 해당 IP만으로 북한의 직접 공격이라고 단정하기 어렵다고 밝혔다.
금보원에 따르면 이런 공지는 다수의 트래픽 공격 시도 등 징후가 있을 때 금융사 보안을 강화하기 위해 취하는 통상적 조치다. 특정 국가를 공격 주체로 지목해 공지한 것은 아니라는 설명이다.
IP 주소가 가리키는 것과 가리키지 않는 것
IP 주소는 네트워크 통신의 출발지를 나타낸다. 그러나 금보원은 공격자의 출발지 IP가 임의로 위·변조될 수 있고, 제3의 공격자가 북한 서버를 경유지로 악용했을 가능성도 있다고 설명했다. 따라서 북한 IP 대역이 식별됐다는 사실은 접속 경로의 단서일 수 있지만, 공격자의 정체를 확정하는 근거는 아니다.
여기서 실무자가 경계할 함정은 IP의 국가 분류와 공격자 귀속을 같은 판단으로 취급하는 것이다. 보안 공지의 목적은 사전 차단과 대비일 수 있는데, 이를 특정 국가의 공격 확정으로 읽으면 대응의 초점이 빗나갈 수 있다.
놓치기 쉬운 리스크와 최악의 경우
금보원은 이번 북한 IP 공격 시도와 최근 금융권 침해사고 사이에 뚜렷한 연관성을 찾기 어렵고, 해당 IP를 통한 침해사고도 아직 확인되지 않았다고 밝혔다. 이는 공격 시도가 없었다는 뜻도, 침해가 확인됐다는 뜻도 아니다. 현재 공개된 설명만으로는 공격 주체와 실제 피해 여부를 더 단정할 수 없다.
반대 해석도 가능하다. 북한 IP에서 대량 접근이 탐지된 만큼 국가 배후 가능성을 의심하고 경계해야 한다는 주장이다. 다만 경계 수준을 높이는 것과 귀속을 확정하는 것은 별개다. 잘못 단정하면 실제 경유지나 다른 공격 경로에 대한 점검이 밀릴 수 있고, 반대로 IP 귀속이 불확실하다는 이유로 공격 시도 자체를 가볍게 보면 사전 차단 기회를 놓칠 수 있다. 최악의 리스크는 성급한 결론과 안이한 대응이 함께 발생해 실질적인 침해 징후를 놓치는 것이다.
결론
지금 확인되는 핵심은 북한 IP 대역의 대량 접근 탐지와 금보원의 사전 주의 공지다. 그것만으로 북한의 직접 공격이나 금융사 침해를 확정할 수는 없다. 금보원은 이상 IP를 금융권과 실시간 공유하고 사전 차단하는 대응 체계를 상시 가동한다고 설명했다.
- 발표 내용을 인용할 때 ‘북한 IP 탐지’와 ‘북한의 공격 확정’을 구분한다.
- 침해 여부와 최근 사고와의 연관성은 금보원이 확인했다고 밝힌 범위 안에서 판단한다.
- 추가 정보가 나오면 IP 경유 가능성, 실제 침해 확인 여부, 사고 간 연관성을 각각 확인한다.
- #금보원
- #금융보안원
- #금융권해킹
- #북한IP
- #사이버보안