::: 검경타임즈 :::

Paper
경찰News

ㆍ작성일	2026-10-08 (목) 14:44

금융권 해킹 IP 상당수 ‘세탁용’ 확인…경찰, 국제공조로 공격자 추적
금융권 해킹 IP 상당수 ‘세탁용’ 확인…경찰, 국제공조로 공격자 추적
공격 IP 33개 중 중복 제외 28개 분석…VPN 우회 흔적 확인

사이버테러수사대 4개 팀·28명 투입…정보통신망법 위반 혐의 정식 수사

중수청 통보 대상 여부도 검토…전자금융기반시설 해당성 판단 주목

최근 금융권을 대상으로 잇따라 발생한 해킹 사건과 관련해 경찰이 공격에 사용된 인터넷주소(IP)를 분석한 결과, 상당수가 실제 공격자의 위치를 숨기기 위한 우회 접속에 이용된 것으로 확인됐다.

경찰은 공격자의 신원과 위치를 직접 확인하기 어려운 이른바 ‘세탁용 IP’를 선별하고, 해외 수사기관과의 국제공조를 통해 실제 공격 경로와 범행 주체를 추적하고 있다.

특히 이번 사건이 새롭게 출범한 중대범죄수사청(중수청)에 통보해야 하는 범죄에 해당하는지도 검토하고 있어 향후 수사 관할 판단에도 관심이 쏠린다.

◇ 공격 IP 28개 분석…상당수 VPN 등 우회 접속

경찰청 국가수사본부는 지난 7일 금융권 해킹 사건과 관련해 확보한 IP 28개를 분석한 결과 상당수가 가상사설망(VPN) 등을 통한 우회 접속에 사용된 것으로 파악됐다고 밝혔다.

경찰은 나머지 IP에 대해서도 동일한 방식의 우회 접속에 활용됐는지 정밀 분석을 진행하고 있다.

세탁용 IP는 공격자가 실제 접속 위치와 신원을 숨기기 위해 VPN이나 다른 지역의 서버 등을 경유하면서 외부에 나타나는 인터넷주소를 의미한다.

따라서 접속기록에 특정 국가의 IP가 남아 있더라도 해당 국가에서 실제 공격이 시작됐다고 단정할 수 없다.

경찰은 실제 공격자 특정에 도움이 될 가능성이 낮은 IP의 추가 추적은 선별적으로 진행하고, 공격자의 접속 흔적이나 관련 기록을 확보할 가능성이 있는 경로에 수사력을 집중하고 있다.

◇ 금융당국, IP 33개 공유…중복 제외 28개

앞서 금융감독원과 금융보안원은 금융기관을 대상으로 한 해킹 시도와 관련해 IP 주소 33개를 파악해 금융권에 공유했다.

중복된 주소를 제외하면 분석 대상은 28개다.

신한은행과 KB국민은행, 하나은행, BNK부산은행 등 주요 은행을 겨냥한 공격에서는 동일한 IP 흔적이 발견된 것으로 알려졌다.

다만 여러 금융기관에서 같은 IP가 확인됐다는 사실만으로 모든 공격이 동일한 범죄조직에 의해 이뤄졌다고 확정할 수는 없다.

하나의 우회 서버가 복수의 공격자에게 이용됐을 가능성도 배제할 수 없기 때문이다.

경찰은 공격에 사용된 서버와 접속기록, 침해 경로 등을 종합적으로 분석해 각 사건의 연관성을 확인할 방침이다.

◇ ‘아르텍스’ 흔적 발견…실제 공격 사용 여부는 미확인

이번 해킹 사건에서는 중국어 기반의 인공지능(AI) 자율형 침투테스트 도구인 ‘아르텍스(ARTEX)’와 관련된 흔적도 발견됐다.

아르텍스는 AI 기술을 활용해 시스템의 보안 취약점을 탐색하고 침투 가능성을 시험하는 도구로 알려져 있다.

그러나 현재까지 이 도구가 실제 금융기관 공격에 사용됐는지는 확인되지 않았다.

특히 중국어 기반 도구라는 사실만으로 공격자의 국적이나 특정 국가의 관여를 판단하는 것은 적절하지 않다.

공개적으로 이용할 수 있는 보안 도구는 개발 국가나 사용 언어와 관계없이 다양한 공격자가 활용할 수 있기 때문이다.

경찰이 실제 공격자를 특정하기 위해서는 해당 도구의 사용 여부뿐 아니라 접속기록과 공격 명령, 서버 이용 내역 등 추가적인 디지털 증거를 확보해야 한다.

◇ 경찰, 4개 팀 28명 투입…국제공조 착수

경찰은 지난 1일 이번 금융권 해킹 사건에 대한 입건 전 조사에 착수한 뒤 사실관계를 확인해 정보통신망법 위반 혐의로 정식 수사에 전환했다.

경찰청 사이버테러수사대를 전담수사팀으로 지정하고 사이버테러대응과장을 팀장으로 하는 4개 팀, 28명의 수사 인력을 투입했다.

해외 서버를 경유한 공격 가능성이 확인됨에 따라 국제공조도 진행하고 있다.

경찰은 관계기관의 협조를 통해 확보한 자료를 분석하는 한편, 해외 관계기관과 협력해 공격 경로와 접속 흔적을 확인하고 있다.

다만 국제공조가 진행 중이라는 사실이 곧 해외 공격자의 신원이나 소재지가 특정됐다는 의미는 아니다.

◇ 검경 전문지 관점① IP 확보와 범인 특정은 별개의 문제

사이버범죄 수사에서 IP 주소는 공격 경로를 확인하는 중요한 단서다.

그러나 IP 주소는 특정 시점에 네트워크 통신에 사용된 주소일 뿐, 그 자체로 실제 이용자의 신원을 증명하지는 않는다.

특히 VPN이나 프록시 서버 등을 경유한 경우 금융기관의 접속기록에는 실제 공격자의 주소가 아니라 중간 경유 서버의 주소가 남을 수 있다.

따라서 경찰은 해당 IP가 어떤 서비스나 서버에 할당됐는지, 실제 공격 시간에 누가 접속했는지, 다른 서버로 연결된 기록이 있는지 등을 단계적으로 확인해야 한다.

해외 서버가 이용된 경우에는 서버 운영자나 현지 관계기관의 협조를 통해 추가 기록을 확보하는 절차가 필요할 수 있다.

다만 관련 기록의 보존 여부와 보존기간, 해외 법률에 따른 자료 제공 가능성 등에 따라 추적에 제약이 발생할 수 있다.

◇ 검경 전문지 관점② ‘동일 IP’가 곧 ‘동일 범인’은 아니다

여러 금융기관에서 동일한 IP가 발견됐다는 점은 사건 간 연관성을 조사할 중요한 단서다.

그러나 동일 IP가 사용됐다는 사실만으로 하나의 범죄조직이 모든 공격을 주도했다고 결론 내리기는 어렵다.

공격자가 공동으로 사용하는 서버나 상용 VPN 서비스, 제3자에게 침해된 서버 등이 공격 경유지로 활용됐을 가능성도 있기 때문이다.

동일 범행 주체 여부를 판단하려면 공격 시간대, 사용된 취약점, 악성코드의 특성, 접속 방식, 명령 실행 흔적 등을 함께 분석해야 한다.

따라서 현재 단계에서는 ‘공통된 공격 흔적이 발견됐다’고 표현하는 것이 정확하다.

◇ 검경 전문지 관점③ 중수청 통보 대상 여부도 검토

이번 사건에서 형사사법제도상 주목되는 또 하나의 쟁점은 중대범죄수사청과 경찰 사이의 사건 관할 문제다.

경찰은 이번 금융권 해킹 사건이 중수청에 통보해야 하는 범죄에 해당하는지 검토하고 있다.

중수청법상 국가핵심기반을 대상으로 한 일정한 정보통신망법 위반 범죄와 전자금융거래법상 범죄 등이 관련될 수 있기 때문이다.

경찰은 피해 금융기관 자체는 국가핵심기반에 해당하지 않는다고 판단하면서도 실제 침해된 시스템이 법률상 전자금융기반시설에 해당하는지 확인하기 위해 금융위원회에 유권해석을 요청한 것으로 전해졌다.

여기서 중요한 것은 금융기관이라는 이유만으로 모든 해킹 사건이 자동으로 중수청 관할 범죄가 되는 것은 아니라는 점이다.

실제 침해 대상과 적용 법률, 구체적인 범죄사실에 따라 통보 의무나 수사 관할이 달라질 수 있다.

경찰은 이러한 관할 검토와 별개로 기존 수사를 계속 진행하고 있다.

◇ 공격자 추적과 함께 금융정보 2차 피해 방지도 과제

이번 사건은 여러 금융기관을 대상으로 한 공격이라는 점에서 실제 침해 범위와 유출된 정보의 종류, 고객 피해 여부를 정확하게 확인하는 작업도 중요하다.

금융기관의 시스템에 비정상적인 접속이 있었다는 사실과 실제 고객정보가 외부로 유출됐다는 사실은 구분해서 판단해야 한다.

또 정보 유출이 확인된 경우에도 어떤 정보가 유출됐는지에 따라 금융사기나 명의도용 등 2차 피해 위험이 달라질 수 있다.

따라서 수사기관의 공격자 추적과 별도로 금융당국과 해당 금융회사의 피해 범위 확인, 고객 통지 및 보호조치가 병행돼야 한다.

◇ 국제공조 성과와 중수청 관할 판단이 향후 변수

경찰은 현재 확보한 IP와 접속기록, 공격 경로 등을 분석하면서 해외 관계기관과의 공조를 통해 실제 공격자를 특정하는 데 수사력을 집중하고 있다.

그러나 상당수 IP가 우회 접속에 이용된 것으로 확인되면서 공격자의 실제 접속 위치와 신원을 밝혀내기까지는 추가적인 디지털 증거 확보가 필요한 상황이다.

아울러 이번 사건이 중수청 통보 대상에 해당하는지에 대한 법률적 판단도 남아 있다.

결국 수사의 핵심은 외부에 드러난 IP의 국가나 사용된 것으로 의심되는 도구의 명칭이 아니라, 실제 침입 행위를 수행한 주체와 범행 경로를 객관적인 증거로 입증하는 데 있다.

김성은 기자