끝나지 않은 금융권 해킹 우려⋯외부 시스템 지속 점검 필요성 커진다

주요 은행, PHP 긴급 조치 했지만⋯외부 접점 보안 우려↑
한국 금융기관 공격 준비 정황에 추가 PHP 취약점 발견
일본서는 금융거래 클라우드 해킹으로 정보 유출 사례도

▲최근 금융권 해킹 사고가 발생한 가운데 5일 서울 시내 한 건물 내에 설치된 은행 ATM기. (연합뉴스)

최근 금융권에서 연쇄 해킹 사고가 발생한 데 이어 PHP 보안 취약점까지 발견되면서 금융권의 사이버 보안 우려가 커지고 있다. 주요 은행들이 긴급 보안패치를 적용하는 등 대응에 나섰지만, 외부 업체가 공급하는 보안솔루션에서도 취약점이 확인되면서 점검 범위를 확대해야 할 필요성이 제기된다.

25일 금융권에 따르면 KB국민은행과 우리은행 등 PHP 기반 서비스를 사용하는 주요 은행들은 최근 공개된 보안 취약점에 대응해 긴급 점검과 보안패치 적용에 나섰다. 금융위원회와 금융감독원, 금융보안원도 금융회사들에 관련 보안조치를 긴급 안내하고 취약한 시스템에 대한 즉각적인 업데이트를 권고했다.

이번에 발견된 'PHP2Shell'은 웹사이트와 각종 서비스 개발에 사용되는 프로그래밍 언어 PHP의 보안 취약점이다. 공격자가 별도의 로그인이나 인증 없이 서버에서 악성 명령을 실행할 수 있어 피해가 발생하면 개인정보 유출이나 시스템 장악으로 이어질 수 있다.

주요 금융그룹도 계열사 전반으로 점검 범위를 넓히고 있다. KB금융그룹은 계열사를 대상으로 PHP 취약점 긴급점검을 실시하고 보안장비의 탐지·차단 체계를 강화했다. 국민은행도 자체 모니터링으로 문제를 인지하고 보안패치를 적용했다.

신한금융그룹은 금융보안 통합관제시스템 '퍼스트(FIRST)'에 가입하지 않은 자회사까지 긴급점검 범위를 확대했다. 점검 항목에는 취약한 PHP 사용 현황과 시스템 영향도, 보안조치 현황 및 일정 등이 포함됐다. 우리금융그룹은 금융업무와 무관한 서비스에서 PHP가 사용된 사례를 확인해 보안조치를 마쳤다. 하나은행은 PHP를 사용하지 않으며, NH농협은행은 PHP 기반 대고객 서비스가 없는 것으로 확인됐다.

금융회사가 자체 운영하는 대외 서비스와 달리 외부 업체가 개발·공급한 솔루션에 대한 점검 필요성도 대두된다. 글로벌 보안업체 브로드컴은 최근 PHP 취약점의 영향을 받는 제품으로 시만텍 엔드포인트 프로텍션 매니저, 카본블랙 앱컨트롤 서버, 클라우드SOC SpanVA 등 보안솔루션 3종을 공지했다. 외부 공격을 탐지·차단하기 위해 설치한 보안관리 프로그램 자체도 취약점의 영향을 받을 수 있다는 것이다. 특히 외부 공급업체가 개발·관리하는 솔루션은 금융회사가 자체적으로 보안패치를 적용하기 어려운 경우가 있어 지속 점검해야 한다는 목소리가 나온다.

앞서 한국인터넷진흥원(KISA) 역시 PHP 보안 대응 수칙을 발표하면서 호스팅 업체나 장비·솔루션 제조사가 PHP를 관리하는 경우 해당 업체에 보안조치 적용 여부를 확인하도록 권고했다. 이어 전날 PHP 세션 처리 과정에서 발생하는 새로운 원격 코드 실행 취약점(CVE-2026-115560)에 대한 임시 조치도 권고했으며 21일 배포된 패치로 해결되지 않는 것으로 파악됐다.

국내 금융기관을 겨냥한 새로운 공격 준비 정황도 포착됐다. 싱가포르 사이버보안 기업 사이퍼마는 23일 한국어를 사용하는 공격자들이 PHP 취약점을 활용해 정부기관과 은행 등 금융기관을 우선 공격 대상으로 삼는 계획을 확인했다고 발표했다. 공격 대상 국가에는 한국도 포함됐다.

해외에서는 금융거래에 활용되는 외부 클라우드 서비스가 해킹되는 사례가 발생하기도 했다. 일본 IT기업 GMO인터넷은 전날 해당 기업이 운영하는 '오나마에닷컴 데스크톱 클라우드'가 사이버 공격을 받아 고객정보가 외부로 유출됐으며 일부 고객으로부터 본인이 실행하지 않은 금융거래가 발생했다는 신고를 접수했다. 해당 클라우드 서비스는 고객이 원격 데스크톱 환경에서 증권·외환증거금거래(FX) 프로그램 등을 이용할 수 있도록 하는 서비스다.

최근 국내 은행권에서는 대출모집인 조회 시스템과 직원 업무지원 시스템 등 핵심 금융거래 서비스 외부의 시스템에서 침해사고가 잇따랐다. 금융당국이 금융회사 555곳을 대상으로 진행한 보안점검에서도 130곳에서 보안관리 미흡 사항이 발견됐다. 보안패치 미적용과 기술지원 종료 시스템 관리 부실 등이 주요 문제로 지적됐다. 금융권 관계자는 “정보보호 예산과 방어시스템을 늘리는 등 보안투자를 확대하고 있다”며 “외부와 연결되는 시스템, 벤더사 등 영향도 지속 점검할 것”이라고 말했다.