같은 IP가 1월부터 금융사 공격?…반복 공격에도 ‘위험 IP’ 못 막았다

금보원, 위험 IP는 ‘요주의 IP’로 분류침해 시도만으로 IP 공유·전파 안 해사고 발생·하루 4개 기관 공격 등 엄격한 기준사전 예방 한계…위험정보 공유 확대 필요성 제기 등록 2026-10-07 오후 5:17:46 수정 2026-10-07 오후 5:17:46 가 가 [이데일리 김세연 기자] 금융보안원이 ‘사전 예방 중심’의 보안관제를 강화하고 있다고 여러 차례 밝혔지만, 정작 반복적인 공격 징후가 있음에도 금융권 공동 위험정보로 활용하지 못하는 것으로 나타났다. 같은 인터넷주소(IP)가 금융회사를 수차례 공격했더라도, 실제 침해가 발생하기 전에는 금융권 전체에 경보를 공유하기 어려워 사전 예방 체계에 공백이 있다는 지적이다. 금융권 연쇄 해킹 사건과 관련 대해 경찰이 28명 규모 전담수사팀을 꾸리고 정식 수사에 나선다고 밝힌 6일 서울 시내 한 건물에 설치된 시중 은행 현금 자동 입출금기(ATM) 모습이다.(사진=뉴시스)7일 금융권에 따르면 금융보안원(금보원)은 금융권 공격표면관리(ASM) 서비스를 통해 사이버 위협정보를 금융회사와 공유하고 있다. 또 위험도가 높다고 판단한 IP는 ‘요주의 IP’로 분류해 금보원에 가입한 회원 금융회사 전체에 전파하고 별도로 관리한다. 문제는 금융회사를 공격했더라도 실제 침해로 이어지지 않은 IP는 요주의 IP로 분류되지 않는다는 점이다. 개별 금융회사가 자체 보안시스템을 통해 공격을 탐지하고 차단하는 데 성공했다면 해당 IP가 다른 금융회사에 공동 위험정보로 전달되지 않을 수 있는 셈이다. 금보원은 특정 IP를 ‘요주의 IP’로 분류하는 데 엄격한 기준을 적용하고 있다. 침해사고에 사용된 IP 외에도 일정 기준을 동시에 충족한 공격 IP를 요주의 IP로 지정하는데, 대표적으로 하루에 4개 이상 기관을 공격한 경우 등이 해당한다. 인공지능(AI)을 활용한 이번 해킹 사고도 7개사의 침해 사고에서 동일한 공격자의 IP가 여러 곳에서 발견됐지만 ‘하루에 4개 기관을 공격해야 한다’는 기준은 충족하지 못할 수 있다. 침해 사고에서 나타난 공격자 IP는 신한은행 침해사고 발생 이후 회원사들에 전파됐다. 결국 보안관제를 ‘사전 예방’ 중심으로 전환하겠다는 목표에도 한계가 생긴다. 금보원은 지난해부터 공격표면관리(Atlas ASM) 서비스를 고도화해 인터넷에 노출된 금융회사 자산의 취약점을 분석하고 있다. 기존 침입 이벤트 수집·분석 중심의 보안관제가 사후 대응에 치우친다며 보완책으...