커다란 방향은 설정했으나 구체적인 내용은 아직 미공개
양지 금융시장의 가장 기초적인 신뢰 유지하는 게 관건

[보안뉴스 문가용] 방글라데시 중앙은행 사건을 시작으로 따가운 눈총을 받게 된 국제은행간 통신협회(이하 SWIFT)가 은행 고객들의 사이버 보안에 대한 우려를 불식시키고 달래기 위한 5단계 계획을 발표했다. 계획은 크게 ‘은행 간 정보 공유’, ‘SWIFT 네트워크와 상관이 있는 은행용 소프트웨어에 대한 엄격한 보안 규칙 적용’, ‘새로운 감사 및 인증 표준’, ‘SWIFT를 통한 사기 거래에 대한 탐지 툴 사용’으로 구분된다.



하지만 SWIFT는 여전히 “최근 발생한 사건들은 SWIFT의 프로그램이 직접 공격받아서 발생한 것은 아니”라고 강조하며 “이번 계획은 ‘보완’ 차원에서 하는 게 아니라 ‘제안’을 하는 의미에서 발표하는 것”이라고 선을 분명히 그었다.

최근 전 세계 12개소의 은행이 방글라데시 중앙은행에서 일어난 것과 비슷한 수법의 공격을 받았다는 주장이 있었다. 공격자들이 SWIFT 네트워크에 접속을 하게 해주는 계정 번호 및 로그인 정보를 훔쳐 불법 자금 전송을 한 흔적이 발견되었기 때문이다. 방글라데시 경찰은 미제로 남아있던 과거의 은행털이 사건에 대한 수사를 재개하기도 했다.

한편 이번 사건을 조사하던 시만텍(Symantec)은 방글라데시 중앙은행 공격에 사용된 멀웨어가 2014년 11월에 발생한 소니 해킹 사건에 사용된 멀웨어와 연관이 있어 보인다는 증거를 확보, 발표하기도 했다. 시만텍은 방글라데시 중앙은행 외에 필리핀과 베트남에 있는 은행에서 발생한 사이버 범죄 사건을 조사하면서, 해당 사건들에도 이 멀웨어를 발견할 수 있었다고 밝혔다. SWIFT의 신뢰성에도 의문부호가 붙기 시작했다.

그런 와중에 이번 ‘제안’을 통해 SWIFT는 은행이 SWIFT 네트워크를 통해 거래를 진행할 때 반드시 지켜야 하는 항목들을 새롭게 수립하고자 하는 움직임을 보인 것. 그 중 하나가 정보 공유로, 은행들은 SWIFT 인프라를 통해 발생한 사건들을 보다 빠르고 자세하게 공유해야만 한다. 그밖에 소프트웨어 보안도 강화해야 한다는 항목도 삽입했다.

2중 인증
SWIFT는 자사의 소프트웨어의 보안도 보다 더 강력하게 만들어갈 예정이라고도 밝혔다. 2중 인증 옵션은 물론, 추가적인 통제 솔루션도 도입할 것이라고 발표한 것. 하지만 어떤 통제 솔루션을 도입할 것인지는 구체적으로 밝히지 않고 있다. 고객 환경에 대한 보다 정확한 파악을 위해 원격 모니터링 체제도 늘어날 전망이기도 하다. 그밖에 SWIFT 네트워크를 통해 이뤄지는 거래가 ‘비정상적’인지 아닌지 탐지하고 거래를 즉각 중지시키는 툴도 사용할 것이라고 한다.

“방글라데시 중앙은행 사건은 단발의 사건이 아닙니다.” SWIFT의 CEO인 갓프리드 레이브란트(Gottfried Leibbrandt)는 브뤼셀에서 최근 열린 한 컨퍼런스에서 다음과 같이 발표했다. “저희가 내부적으로 확인한 것만 두 건이고, 바깥에서는 12건이나 연결되어 있다고 제기되고 있죠. 다만 다른 범죄자들이 비슷한 방법을 사용하고 있는 것인지, 같은 조직이 벌이고 있는 일인지는 두고 봐야 알 일이죠.”

하지만 이것보다 이번 사건으로 인한 충격이 더 큰 것은 “이런 식으로 공격을 당한 은행은 문을 닫아야 할 수도 있기 때문”이며 “이미 세계 금융기관들은 상당 수가 서로 긴밀하게 연결되어 있고 이는 신뢰를 기반으로 하고 있는데, 그 핵심인 SWIFT에 대한 불신이 커져가고 있기 때문”이라고 레이브란트 CEO는 지적했다. “비트코인과 달리 더 이상 독자적으로 흘러갈 수 없는 게 양지의 금융경제 구조인데, 방글라데시 사건이 그 뿌리부터 흔들고 있습니다. 결코 작은 일이 아닙니다.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)