신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사고가 발생했습니다. 공격자는 다른 사이트에서 미리 훔친 아이디·비밀번호를 신한은행 로그인 창에 무작위로 대입하는 '크리덴셜 스터핑'이라는 잘 알려진 초보적 수법으로 대출모집인용 조회 서비스에 침투했습니다. 이후 조회 시스템이 요청자가 정말 그 정보를 볼 권한이 있는지 제대로 확인하지 않은 허점을 이용해, 고객 번호를 바꿔가며 대량으로 정보를 빼냈습니다. 유출된 정보에는 소득·대출 한도 같은 금융 자산 정보뿐 아니라 개인 식별값(CI) 97건, 주민등록번호 66건도 포함되어 보이스피싱 등 2차 피해 우려가 큽니다. 은행 측은 외부 IP 차단과 서비스 중단 등 긴급 조치를 하고 피해 발생 시 전액 보상을 약속했습니다.
신한은행 고객 약 2만5000명의 대출 관련 정보가 유출됐다. 대출모집인용 모바일 조회 서비스 'M 신한'이 최초 침투 경로로 지목됐다.
소득·대출 한도 등 금융 자산 정보와 함께 개인 식별값(CI) 97건, 주민등록번호 66건이 유출돼 보이스피싱 등 2차 금융사기 피해로 이어질 위험이 크다.
다크웹 등에서 미리 탈취된 계정 정보를 무작위로 대입하는 크리덴셜 스터핑 공격에 로그인 시도 제한(스로틀링·레이트리미팅) 같은 기본 방어가 없었고, 고객 번호를 조작한 API 요청에 대해 열람 권한을 제대로 검증하지 않는 인가 결함(Broken Access Control)이 겹쳐 발생했다.
신한은행은 공격 IP 차단과 관련 서비스 중단 등 긴급 조치를 완료하고 전담 상담센터 운영, 모바일 뱅킹 앱 내 유출 여부 조회 메뉴 신설, 실제 피해 발생 시 전액 보상을 발표했다.
고도의 지능형 공격이 아닌 크리덴셜 스터핑과 API 권한 검증 누락 같은 기본적인 보안 수칙 미비가 원인이므로, 로그인 시도 제한, DMZ를 통한 비정상 트래픽 모니터링, 서버단 인가 검증 강화 등 기본기 점검이 시급하다.
본문
가
가
기사의 본문 내용은 이 글자크기로 변경됩니다.
댓글
신한은행 고객 약 2만5000명의 대출 관련 정보가 유출되는 사태가 발생했다. 2차 피해로 이어지기 쉬운 민감한 정보다. 하지만 이를 빼간 공격은 널리 알려진 초보적 수법이었다.
정보보호의 기본기에 문제가 있던 것 아니냐는 의문이 나오는 이유다. 신한은행은 AI 활용 촉진을 위한 금융권 망분리 규제 완화 1차 실증에 참여하고 있다.
크리덴셜 스터핑과 API 요청 변조 결합... 지능형 해킹 아닌 '기본기 부재'
보안 업계에 따르면, 이번 사고는 고도의 지능형 지속 공격(APT)이 아니라 '크리덴셜 스터핑(Credential Stuffing)과 API 권한 검증 누락 등 기본적 공격에 제대로 대응하지 못한 점이 원인으로 꼽힌다.
대출모집인이 접수 현황을 확인하는 모바일 조회 서비스 'M 신한'이 최초 침투 경로로 추정된다. 공격자들은 다크웹 등에서 사전에 탈취한 다른 플랫폼 계정 정보를 무작위로 대입해 본인 인증 절차를 뚫었다. 이 서비스가 내부인 혹은 관계자를 위한 것임을 감안하더라도, 일정 횟수 이상의 로그인 시도에 제한을 두는 스로틀링(Throttling)이나 레이트리미팅(Rate Limiting), 계정 잠금 조치가 없었던 것으로 보인다.
공격자들은 최초 침투 이후 획득한 고객 번호를 조작해 일반 고객용 조회 서비스 API에 반복적으로 요청을 보내 데이터를 긁어모았다. 통상 금융권 환경에선 외부망과 내부망 사이 완충지대(DMZ)를 통해 비정상적 트래픽과 API 요청을 엄격히 제어해야 한다. 이같은 악의적 트래픽에 대한 모니터링이 소홀했던 것 아니냐는 지적이 나온다.
이는 계정 탈취를 통한 '인증'(Authentication) 이후, 계정이 요청한 데이터에 대한 실질적 열람 권한이 있는지 서버단에서 교차 검증하는 '인가'(Authorization) 절차가 미비했던 것 아니냐는 의구심을 낳는다. 대량의 비정상적 정보 호출을 실시간 차단하는 '런타임 방어' 체계가 제대로 작동하지 않았다는 것이다. 이는 전형적 '인가 결함'(Broken Access Control) 취약점이다.
최근 신한은행이 금융권 망분리 규제 완화의 1차 대상 기업으로 선정되며 AI 기술 도입의 선두에 서 있다는 점을 고려할 때, 외부 통신의 안전망 역할을 해야 할 DMZ 통제와 API 접근 제어 등에서 나타난 기초적 문제는 뼈아픈 대목이다.
또 하나 눈여겨볼 부분은 'AI 에이전트'의 악용이다. 이번 공격은 특정 대상을 정밀 조준했다기보다, 다방면에서 시스템 취약점에 무차별적으로 정보값을 자동 대입하는 봇 공격의 형태로 알려졌다. 실제로 확인된 10여개 침해지표(IoC) IP가 모두 해외로 파악됨에 따라, 플랫폼의 논리적 허점을 24시간 파고드는 자동화된 AI 에이전트 공격에 당했을 가능성에 무게가 실린다.
자산 데이터 직결된 정보 유출... 보이스피싱 등 2차 피해 확산 우려
유출된 정보의 민감성도 사태의 심각성을 더한다. 단순 이름이나 연락처 수준을 넘어, 연 소득과 대출 한도 등 개인 금융 자산 상황을 가늠할 수 있는 데이터가 빠져나갔다. 여기에 온라인 본인 확인에 범용적으로 쓰이는 개인 식별값(CI) 97건과 주민등록번호 66건까지 유출 항목에 포함됐다. 공격자가 유출된 정보를 다른 금융권 공격에 재활용하거나, 대출 상담을 가장한 정교한 스피어 피싱 혹은 보이스피싱 등 2차 금융 사기로 이어질 우려가 높다.
사태의 심각성을 인지한 신한은행은 외부 IP 차단 및 관련 서비스 중단 등 긴급 조치를 완료하고, 고객 피해 최소화를 위한 수습에 집중하고 있다. 현재 전담 상담센터를 가동 중이며, 모바일 뱅킹 앱에 유출 여부 조회 메뉴를 신설했다. 또 정보 유출로 인한 실제 금융 피해가 발생할 경우 전액 보상하겠다고 밝혔다.
익명을 요청한 금융 보안 전문가는 "이번 사건은 고도화된 타깃 해킹이나 단순 패치 누락이 아닌, 기본 중의 기본인 API 요청 변조 및 권한 검증 미흡으로 발생한 명백한 애플리케이션 보안 실패"라며 "설령 AI 에이전트 기반 공격에 당했다 하더라도, 기본적 관리 및 시스템 운용 소홀 책임은 면하기 어려울 것"이라고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
