중국인으로 추정되는 해커가 국내 정부기관 88곳과 기업 20여곳을 공격해 금융·개인·군사 관련 정보를 확보했다고 주장했다. 그러나 정부기관 88곳과 기업 20여곳이 실제로 모두 해킹됐다는 사실은 확인되지 않았다. 현재 정부와 관계 기관은 해커가 제시한 자료의 진위, 실제 시스템 침입 여부, 정보 유출 범위를 조사하고 있다.
일부 기업에서는 비정상적인 접근이나 인증정보 노출 정황이 확인됐지만 해커가 주장한 침입 방식과 기업 자체 조사 결과가 일치하지 않는 사례도 나왔다. 따라서 이번 사안은 해커가 제기한 주장과 기업·당국이 현재까지 확인한 사실을 구분해서 볼 필요가 있다.
해커가 주장한 내용은 어디까지인가
관련 업계에 따르면 해당 해커는 약 6일 동안 국내 주요 기관과 기업을 공격했다며 9월 초 과학기술정보통신부와 한국인터넷진흥원(KISA) 등에 관련 내용을 전달한 것으로 알려졌다.
해커는 자신이 정부기관 88곳과 기업 20여곳을 공격했다고 주장했다. 공격 대상과 유출 정보의 종류도 구체적으로 언급했지만, 이 숫자 전체가 실제 침해 기관 수로 확정된 것은 아니다.
공공기관과 지방자치단체 분야에서는 인천시의 전자태그 기반 정부자산관리 시스템과 청주시 CCTV 위치 정보에 접근했다고 주장했다. 또 인천시청과 광주시청, 경기도청 등을 포함한 다수 정부기관의 데이터베이스 접속정보가 암호화되지 않은 평문으로 저장돼 있었고, 인증 절차가 없는 응용프로그램 인터페이스를 통해 이를 추출했다고 주장했다.
여기서 API는 시스템이나 프로그램 사이에서 데이터를 주고받도록 만든 연결 통로를 뜻한다. 인증이 제대로 적용되지 않은 API가 외부에 노출될 경우 보안 문제가 발생할 수 있지만, 이번 사건에서 해커가 설명한 취약점이 실제 각 기관에 존재했는지와 이를 통해 정보를 확보했는지는 별도의 확인이 필요한 사안이다.
금융·결제 분야에서도 여러 주장이 나왔다. 해커는 코엠페이먼츠에서 신용카드 번호 수만개를 확보했고 토스페이먼츠에서는 카드번호 수천개를 빼냈다고 주장했다. SSG닷컴 내부 결제 시스템에 침입했고 암호화폐 트론 지갑의 개인키까지 확보했다고도 밝혔다.
B2B은행 판매자 플랫폼 비밀번호와 정부 구매기관 계정에 접근해 입찰 등록, 발주서, 결제 방법, 포인트 이력 등을 확인했다는 주장도 제기됐다.
군사·공공 분야와 관련해서는 충북 진천의 무기고 출입 기록과 부대시설 설비 정보, 군번 등을 확보했다고 주장했다. 한국국제협력단 직원의 주민등록번호와 급여 정보, 학교폭력 피해 학생 관련 정보, 전국금속노동조합 조합원 현황, 무신사 광고주 개인정보, 한화 직원 비밀번호 등도 확보했다고 주장했다.
생성형 AI 서비스에 대한 주장도 포함됐다. 해커는 챗GPT 프로, 구글 제미나이, 앤트로픽 클로드 맥스, 딥시크 계정 일부에 접근해 AI 대화 내용 약 1만건을 확보했다고 밝혔다. 다만 이 역시 각 AI 서비스의 시스템 자체가 침해됐다는 의미로 확인된 것은 아니다.
현재 확인된 사실은 무엇인가
현재까지 비교적 분명하게 확인된 사실은 해커의 제보 이후 관계 기관과 해당 기업들이 조사와 자체 점검에 착수했다는 점이다. 그러나 조사 과정에서 확인된 내용은 해커의 주장과 일부 차이가 있다.
SSG닷컴은 프론트 API에서 비정상적인 접근 흔적을 확인하고 KISA에 신고했다. 다만 회사 측은 해당 영역이 고객에게 상품과 가격 등을 보여주는 웹 전시 시스템이라고 설명했다. 해커가 주장한 것처럼 내부 결제 시스템이 침입당한 것은 확인되지 않았으며 고객 개인정보 유출도 현재까지 확인되지 않았다는 입장이다.
즉 SSG닷컴의 경우 비정상적인 접근 흔적 자체는 확인됐지만, 내부 결제 시스템 침입과 개인정보 유출은 확인되지 않은 상태로 구분된다.
토스페이먼츠 역시 해커가 주장한 직접적인 시스템 침입을 부인했다. 회사가 확인한 내용은 특정 가맹점 한 곳의 결제 연동 인증정보가 외부에 노출돼 제3자가 결제 내역을 조회한 정황이다.
따라서 토스페이먼츠와 관련해서는 특정 가맹점의 인증정보 노출과 결제 내역 조회가 확인된 사안과, 토스페이먼츠 내부 시스템이 직접 해킹됐다는 주장을 구별해야 한다. 회사 측은 자사 내부 시스템에 침입한 정황은 확인되지 않았다는 입장이다.
한화도 KISA의 연락을 받은 뒤 자체 점검을 진행했다. 해커는 직원 비밀번호를 확보했으며 직원 가운데 58%가 같은 비밀번호를 사용했다고 주장했지만, 한화는 자체 점검 결과 특별한 이상을 발견하지 못했다고 밝혔다.
따라서 ‘한화 직원 비밀번호가 실제 대규모로 유출됐다’거나 ‘직원 58%가 동일한 비밀번호를 사용했다’는 내용 역시 현재로서는 해커의 주장 단계에 있다.
금융감독원은 토스페이먼츠·코엠페이먼츠 검사 착수
당국의 공식 대응도 시작됐다. 금융감독원은 9월 9일부터 토스페이먼츠와 코엠페이먼츠를 대상으로 현장검사에 착수했다.
이는 두 업체에서 해커가 주장한 피해가 모두 사실로 확정됐다는 의미는 아니다. 실제로 어떤 정보가 노출됐는지, 외부 공격이 어떤 경로로 이뤄졌는지, 각 업체의 시스템이나 연동 환경에 문제가 있었는지를 확인하기 위한 절차다.
특히 결제 분야에서는 공격 대상이 결제업체 자체인지, 가맹점의 연동 계정이나 인증정보인지에 따라 사고의 성격이 크게 달라진다. 외부에서 확보한 인증정보를 이용해 정상적인 API를 호출한 경우와 결제업체 내부 시스템에 침입한 경우는 보안 사고의 범위가 다르기 때문이다.
정부와 관계 기관은 해커가 제공한 자료를 토대로 실제 정보인지, 시스템에서 직접 추출된 자료인지, 이미 외부에 노출돼 있던 정보를 수집한 것인지 등을 확인하고 있는 것으로 알려졌다.
과학기술정보통신부는 관련 질의에 별도의 입장을 밝히지 않았지만, 업계에서는 해커가 이메일을 보낸 이후 관계 기관의 조사가 시작됐다고 전했다.
‘88곳 해킹’으로 단정하면 안 되는 이유
이번 사건에서 가장 주의해야 할 부분은 해커가 주장한 공격 대상 숫자와 실제 피해 기관 숫자를 동일하게 취급하지 않는 것이다.
현재 공개된 정보만으로는 정부기관 88곳과 기업 20여곳에서 모두 시스템 침입이 발생했다고 확인할 수 없다. 해커는 다수 기관의 정보를 확보했다고 주장했지만, 기업들이 자체 점검한 결과 일부에서는 다른 형태의 접근만 확인됐고 일부에서는 특별한 이상이 발견되지 않았다.
SSG닷컴 사례가 대표적이다. 비정상적인 API 접근 흔적은 확인됐지만 회사가 확인한 범위에서는 내부 결제 시스템 침입이나 고객정보 유출이 발견되지 않았다. 토스페이먼츠 역시 특정 가맹점의 인증정보가 노출된 것은 확인했지만 자사 시스템에 대한 직접 침입 정황은 확인되지 않았다고 설명했다.
반대로 기업 내부 점검에서 즉시 침입 흔적을 찾지 못했다고 해서 모든 가능성이 사라지는 것도 아니다. 공격자가 로그를 남기지 않거나 정상 인증정보를 이용하는 방식으로 접근한 경우에는 추가 분석이 필요할 수 있다. 이런 이유로 KISA와 금융당국 등 관계 기관의 조사 결과가 중요하다.
보안업계에서는 해커가 먼저 기업이나 기관에 접촉해 침입 사실을 알리고, 대가를 요구하거나 취약점과 침입 경로를 알려주겠다고 제안하는 사례가 있다고 설명한다. 이번 사건에서도 해커 측이 먼저 국내 기관에 정보를 전달한 것으로 알려졌다.
향후 조사에서 확인해야 할 핵심은 크게 세 가지다. 첫째, 해커가 제시한 데이터가 실제 해당 기관과 기업의 정보인지 여부다. 둘째, 정보가 실제 해킹을 통해 확보됐는지 아니면 외부에 노출된 API나 인증정보를 이용해 조회된 것인지다. 셋째, 개인정보와 금융정보, 군사 관련 자료가 실제 외부로 유출됐다면 정확한 범위와 피해 규모가 어느 정도인지다.
현재 단계에서 확인된 사실을 기준으로 정리하면, 중국인으로 추정되는 해커가 국내 정부기관 88곳과 기업 20여곳을 공격했다고 주장했고 이에 따라 정부와 관계 기관이 조사에 착수했다. 일부 기업에서는 비정상 접근이나 인증정보 노출이 확인됐지만 해커가 주장한 모든 기관의 침입과 모든 정보 유출이 사실로 확인된 것은 아니다.
따라서 최종 피해 규모는 관계 기관의 조사 결과가 나온 뒤 판단해야 한다. 특히 정부기관 데이터베이스 접속정보와 금융·개인정보, 군사 관련 자료가 실제 유출됐는지, 해커가 제시한 자료 가운데 어느 범위까지 진위가 확인되는지가 이번 사건의 핵심 확인 대상이다.